El mundo está adoptando la digitalización, pero en esta era de flujos digitales globales, las empresas deben desarrollar sólidas capacidades de ciberseguridad.
La comunicación clara y frecuente es esencial, pero suele faltar en los programas de ciberseguridad de las empresas.
Así pueden los profesionales de la seguridad estrechar vínculos con las partes interesadas clave, tanto dentro de su organización como fuera de ella.
El mundo se está volviendo digital; prácticamente todo tipo de transacción comercial transfronteriza tiene ahora un componente digital. El uso de tecnologías digitales por parte de las empresas las abre a nuevas relaciones con clientes y socios comerciales, así como a nuevas oportunidades de negocio.
Pero, como han dejado claro los titulares recientes, el mero hecho de conectarse con el mundo exterior aumenta exponencialmente los riesgos para las organizaciones: desde el fracaso de proyectos y las filtraciones de datos hasta consecuencias peores.
En esta era de flujos digitales globales, las empresas deben tomar todas las medidas posibles para desarrollar sólidas capacidades de ciberseguridad. Las estrategias de protección no pueden centrarse únicamente en los controles tecnológicos y los planes de reparación.
Las empresas también deben recurrir al factor humano. Deben procurar crear culturas digitalmente resilientes, en las que la ciberseguridad no sea una preocupación ocasional, sino una tarea cotidiana para las partes interesadas clave del negocio en todos los niveles, tanto dentro como fuera de la organización.
Pero existen brechas de confianza en ciberseguridad en muchos niveles del ecosistema empresarial. Estas son cuatro brechas importantes y cómo abordarlas:
Brecha de confianza 1: el consejo de administración y la alta dirección
La dinámica entre los miembros del consejo de administración y el equipo directivo puede ser tensa por muchas razones, pero una de las principales es que la ciberseguridad rara vez ocupa un lugar destacado en los órdenes del día de las reuniones de muchos consejos. A menudo se presenta como parte de un debate más amplio sobre cuestiones de TI, si es que se menciona.
Muchos miembros de los consejos de administración suelen estar menos informados sobre las tecnologías y cuestiones de ciberseguridad que sobre los asuntos financieros y operativos habituales, aparte de lo que leen sobre la última brecha de seguridad de una empresa o del gobierno. Llegan a la mesa con preguntas sobre los programas de ciberseguridad de la empresa.
Solución: encontrar puntos en común
Los miembros de la alta dirección deben fomentar una mayor transparencia y establecer una comunicación más sólida con los miembros del consejo. Los altos directivos deben evaluar formalmente y con regularidad la madurez de los programas de ciberseguridad y presentar sus conclusiones al consejo al menos una vez al año, y preferiblemente con mayor frecuencia.
Este ejercicio debe incluir una evaluación estructurada, por parte de los miembros del equipo directivo y de otras personas de TI y de las unidades de negocio, de la gravedad y la probabilidad de ataques contra los principales activos corporativos. Por ejemplo, ¿cuáles son las mayores amenazas internas y externas, y qué valor empresarial está en juego?
Brecha de confianza 2: las unidades de negocio y la organización de TI
Puede ser difícil mantener relaciones basadas en la confianza entre las personas de las unidades de negocio, la organización de TI y la función de ciberseguridad, en parte porque estos grupos a veces trabajan con objetivos contrapuestos.
El equipo de ciberseguridad puede imponer ciertos protocolos de seguridad que resultan incómodos para los empleados de las unidades de negocio o que obstaculizan sus operaciones diarias de algún otro modo. Esa exasperación puede pasar del nivel individual al de la unidad de negocio.
Solución: reforzar la formación
La organización puede ofrecer formación integral en ciberseguridad al personal de todos los niveles para ayudar a cerrar la brecha de confianza entre las funciones de TI y ciberseguridad y el negocio.
Esto podría incluir reuniones generales específicas, talleres y módulos de formación centrados en identificar distintos tipos de ciberamenazas y en definir las respuestas adecuadas cuando los empleados detecten actividades sospechosas. Esa formación puede ayudar a los empleados de las unidades de negocio a comprender el motivo de los protocolos de ciberseguridad y aumentar su concienciación.
Al fin y al cabo, la ciberseguridad es una responsabilidad compartida.
Brecha de confianza 3: la empresa y sus proveedores
La relación entre las empresas y sus proveedores de tecnología y de la cadena de suministro siempre ha sido compleja. Del mismo modo que los consumidores confían en que las empresas protejan sus datos y los utilicen solo de las formas que han autorizado, las empresas deben confiar en que sus proveedores de TI y de la cadena de suministro mantengan bajo estricta reserva la información que les da una ventaja competitiva.
Por ejemplo, los fabricantes de automóviles deben tener la certeza de que sus fabricantes de equipos originales (OEM) cuentan con controles de ciberseguridad suficientes para proteger la propiedad intelectual que comparten. Esto es especialmente cierto en una época en que cada vez más empresas externalizan la gestión de sus infraestructuras de TI o de sus operaciones de ciberseguridad.
Solución: acercar a los socios
Para cerrar esta brecha de confianza, los responsables de TI y de negocio de las empresas deben programar conversaciones periódicas con los proveedores y los socios de la cadena de suministro para establecer los niveles de seguridad necesarios para proteger la información comercial compartida.
Estas reuniones deben celebrarse trimestralmente o cada seis meses; el contacto frecuente permite que los proveedores y los responsables de la empresa entablen una verdadera asociación comercial, en lugar de una simple relación transaccional. Pueden debatir y elaborar planes claros de recuperación y compensación.
Brecha de confianza 4: la empresa y el gobierno
No es de extrañar que, en los últimos años, los gobiernos locales, nacionales y federales hayan instado a las organizaciones del sector privado a prestar más atención a las cuestiones de ciberseguridad y a intensificar sus esfuerzos para proteger los datos.
Los ciberataques contra las principales instituciones financieras pueden afectar a la estabilidad general del mercado. Los ataques a las redes eléctricas también pueden suponer una amenaza para la seguridad nacional, como aprendimos con los recientes intentos de intrusión en una docena de centrales eléctricas de Estados Unidos.
Las agencias gubernamentales necesitan que las empresas informen oportunamente de los ciberataques y otros incidentes para reforzar los esfuerzos generales de protección.
Solución: tener una visión de conjunto
Ninguna de las partes puede permitirse combatir por su cuenta los ciberataques. Las empresas necesitan la aprobación oficial y el prestigio que las agencias gubernamentales pueden aportar al facilitar las investigaciones de ciberseguridad y los debates sobre información confidencial. Los gobiernos necesitan las observaciones y los recursos técnicos que pueden ofrecer las organizaciones del sector privado.
Se necesita una cultura de confianza para mejorar la ciberseguridad
La tecnología por sí sola no puede mantener a raya a los ciberdelincuentes. Una cultura de confianza también es importante para que las iniciativas corporativas de ciberseguridad tengan éxito. Todas las partes interesadas del ecosistema de una empresa —miembros del consejo de administración, responsables de TI, profesionales del negocio, proveedores y demás— deben alcanzar una comprensión común de los riesgos de la empresa y trabajar juntas para decidir cuál es la mejor manera de abordarlos.
¿Cómo aborda el Foro los desafíos mundiales de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la resiliencia cibernética y abordar desafíos que requieren respuestas colectivas.
Como hemos aprendido, alcanzar y mantener este nivel de acuerdo y confianza puede ser difícil, sobre todo por las tensiones naturales inherentes a los esfuerzos de protección de datos: el trabajo cotidiano del equipo de ciberseguridad tiene consecuencias para el negocio, y viceversa.
Pero si las empresas reconocen el aspecto humano de la ciberseguridad y toman medidas para cerrar las brechas de confianza mediante una mayor transparencia, pueden aumentar las probabilidades de que sus programas de ciberseguridad tengan éxito, no solo a corto plazo, sino también a largo plazo, independientemente de las amenazas que puedan surgir.
