La ciberseguridad ya no es un asunto reservado estrictamente a los directivos de TI o cumplimiento normativo; afecta a todos los miembros del consejo de administración.
La SEC está aumentando sus requisitos de divulgación sobre ciberseguridad, por lo que los consejos deben estar plenamente informados y conocer los riesgos cibernéticos y las respuestas previstas.
El nuevo Servicio de informes sobre riesgos cibernéticos de la NACD ayudará a las empresas a navegar sus responsabilidades regulatorias y los riesgos cibernéticos en tiempo real.
La nueva normativa de la Comisión de Bolsa y Valores de Estados Unidos (SEC) convierte la presentación de informes sobre riesgos cibernéticos y la planificación de la resiliencia empresarial en componentes clave de una gobernanza eficaz del consejo. A principios de este año, la SEC publicó una propuesta de norma de divulgación sobre ciberseguridad para impulsar la gestión de riesgos y la gobernanza en el tratamiento del riesgo cibernético.
Según la SEC: «La SEC propone normas para mejorar y estandarizar la divulgación de información sobre la gestión de riesgos de ciberseguridad, la estrategia, la gobernanza y la notificación de incidentes de ciberseguridad por parte de las empresas que cotizan en bolsa sujetas a los requisitos de presentación de informes de la Ley del Mercado de Valores de 1934. En concreto, proponemos modificaciones para exigir la notificación inmediata de incidentes materiales de ciberseguridad. También proponemos exigir divulgaciones periódicas sobre las políticas y los procedimientos de una entidad registrada para identificar y gestionar los riesgos de ciberseguridad, el papel de la dirección en la aplicación de dichas políticas y procedimientos, la experiencia del consejo de administración en ciberseguridad, si la tiene, y su supervisión del riesgo de ciberseguridad».
Ciberseguridad: una responsabilidad del consejo de administración
Estos acontecimientos recientes intensifican la atención sobre la gestión y divulgación de riesgos e incidentes cibernéticos en las empresas que cotizan en bolsa en Estados Unidos. También subrayan la importancia de impulsar la gestión de riesgos, la resiliencia empresarial y la gobernanza en los consejos de administración, para garantizar que los recursos y las inversiones se destinen a los riesgos cibernéticos con mayor impacto financiero, empresarial y operativo.
El informe de perspectivas sobre los Principios para la gobernanza del riesgo cibernético por parte de los consejos, del Foro Económico Mundial y la Asociación Nacional de Consejeros de Empresas (NACD), concluye que este es un asunto que compete al consejo y que debe abordarse de forma proactiva, especialmente por el posible impacto financiero de los riesgos cibernéticos.
A medida que aumenta la atención regulatoria, es esencial que el consejo garantice que los presupuestos asignados al riesgo de ciberseguridad estén alineados para mitigar eficazmente el impacto potencial. Se acabaron los días en que se fijaban presupuestos de seguridad sin tener en cuenta el impacto empresarial.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la resiliencia cibernética y abordar los desafíos que requieren respuestas colectivas.
La importancia de la comunicación
La comunicación eficaz es una piedra angular para obtener resultados positivos en los negocios. Desarrollar un lenguaje común para abordar las complejas cuestiones del riesgo cibernético es esencial para lograr la resiliencia empresarial. Esto exige simplificar conversaciones confusas y técnicas, cargadas de términos de seguridad con matices, y convertirlas en análisis comprensibles de la exposición financiera, que arrojen luz sobre cómo los ciberataques pueden poner en peligro financieramente a las organizaciones a corto y largo plazo.
Para los consejos, no es necesario que sus miembros se conviertan en expertos en los aspectos técnicos de la ciberseguridad (aunque tener conocimientos técnicos puede ayudar). Deben considerar el riesgo cibernético como un riesgo financiero material para la empresa y comprender el posible impacto sustancial que puede tener en ella.
Esto permitirá una supervisión que transforme la conversación técnica sobre ciberseguridad en medidas para establecer la resiliencia empresarial. De forma continua, los consejos pueden ejercer una supervisión eficaz asegurándose de que la dirección desarrolle una estrategia y ajuste el presupuesto para demostrar la mitigación de riesgos y la reducción de la exposición financiera.
Al formular sus planes de resiliencia cibernética, los consejos harían bien en plantear a la dirección preguntas como estas:
¿Cuál es nuestra posible exposición financiera a las ciberamenazas?
¿Qué ciberamenazas tienen más probabilidades de causar un impacto financiero importante en nuestra empresa?
¿Qué nivel de exposición financiera estamos dispuestos a aceptar en toda nuestra empresa y nuestro ecosistema de proveedores digitales?
¿Cómo podemos ajustar nuestro presupuesto, implementar controles, desarrollar una estrategia y optimizar la transferencia de riesgos para abordar nuestra exposición al riesgo cibernético?
¿Se están desarrollando nuestras iniciativas digitales de manera resiliente frente a las ciberamenazas?
El riesgo cibernético es un tema de conversación para todos los altos directivos
Chris Hetner, exasesor sénior de ciberseguridad de la SEC y miembro del Consejo de Perspectivas del Centro de Excelencia para Consejos de Administración de Nasdaq, afirma: «Es esencial que los consejos incorporen continuamente conversaciones sobre la gestión del riesgo cibernético y sobre las formas más eficaces de reducir el impacto financiero y empresarial asociado a este riesgo. La conversación no es solo para el director de informática (CIO) y el director de seguridad de la información (CISO). Es una conversación más amplia entre los altos directivos, que deben liderar el director financiero (CFO) y el asesor jurídico general».
Hetner afirma que ya no es aceptable que la ciberseguridad no deje huella en el consejo, y señala: «La tendencia predeterminada de los directivos es confiar en informes tácticos y técnicos periódicos para justificar soluciones tecnológicas que quizá aborden problemas técnicos de seguridad». Añade: «Con demasiada frecuencia, la ciberseguridad se pierde en la traducción cuando se habla con los miembros del consejo y los altos directivos. Esto hace que los líderes no tengan claro qué están financiando exactamente ni dónde persisten las brechas».
Chris y la NACD respaldaron recientemente el lanzamiento de un servicio pionero que ayuda a los consejos a supervisar de forma más eficaz la exposición al riesgo cibernético. El Servicio de informes sobre riesgos cibernéticos de X-Analytics y la NACDes una suscripción anual que proporciona informes trimestrales para los consejos y destaca la exposición financiera atribuible al riesgo cibernético de una organización. La plataforma se basa en los mismos análisis que utilizan los líderes del sector de los seguros cibernéticos.
Este nuevo servicio de la NACD facilita una conversación más amplia entre los altos directivos sobre el riesgo cibernético y ayuda a los consejos a participar en debates que van más allá de los aspectos técnicos de la ciberseguridad.
La gestión del riesgo cibernético es un trabajo en equipo que requiere la participación de toda la empresa para garantizar la resiliencia empresarial. Esta se sustenta en un análisis colectivo que promueve una comunicación inclusiva y la colaboración. El CISO es un componente clave de la estrategia de resiliencia cibernética de la empresa, pero ya no es el único responsable en materia cibernética. Se necesita una comunicación más inclusiva y colaboración que implique a todos los responsables de la gestión de riesgos empresariales.
Las nuevas normas de la SEC buscan involucrar de manera significativa a la alta dirección y al consejo. Estos acontecimientos recientes intensifican la atención sobre la divulgación de riesgos e incidentes cibernéticos por parte de las empresas que cotizan en bolsa sujetas a los requisitos de la SEC de Estados Unidos. Subrayan la importancia de impulsar la gestión de riesgos y la gobernanza en los consejos de administración, para garantizar que los recursos y las inversiones se destinen a los riesgos cibernéticos con mayor impacto financiero, empresarial y operativo.
