A primera vista, un terremoto de magnitud 7,8 en la escala de Richter parece pertenecer a un universo totalmente distinto al de los oscuros 0 y 1 de un ciberataque. Cuando la naturaleza genera un evento de riesgo, se es consciente de ello casi de inmediato, pero pueden pasar semanas e incluso meses antes de que se advierta que hackers se han infiltrado en el sistema informático de la empresa o que un empleado ha perdido un portátil con información confidencial. (Las cifras más recientes del 2015 Cost of Data Breach Study del Ponemon Institute: 256 días, de media, para detectar una brecha de seguridad provocada por un hacker; 158 días para identificar un error humano.)
Es lógico, sin embargo, que si todos los riesgos están interconectados en cierta medida, su gestión, mitigación y mejores prácticas compartan probablemente algunas similitudes. Identificar esos elementos comunes puede resultar especialmente útil en relación con la gestión del riesgo cibernético, una disciplina relativamente nueva y con una trayectoria limitada en la que apoyarse.
“Estamos empezando a ver cómo el mundo de la gestión de riesgos se expande al aplicar aprendizajes de distintas disciplinas”, afirma John Scott, Chief Risk Officer, Global Corporate, Zurich Insurance Group (Zurich). “La tecnología está tan extendida hoy en día que atraviesa de forma transversal todo el resto de la organización, y los riesgos también. No se puede analizar el riesgo cibernético como si fuera un compartimento estanco. Se puede aprender mucho si se consideran los riesgos cibernéticos en paralelo con otras áreas de riesgo.”
Lente de tangibilidad
En un artículo sobre la taxonomía de los riesgos de ciberseguridad operativos, James Cebula y Lisa Young, del Software Engineering Institute de la Universidad Carnegie Mellon, describen cuatro categorías: acciones de las personas; fallos de sistemas y tecnología; procesos internos fallidos; y eventos externos. Cada una de ellas se divide en subcategorías adicionales; por ejemplo, los eventos externos incluyen incendios o riesgos naturales; el cumplimiento normativo; el fallo de proveedores; el suministro energético, etc. Estas no son necesariamente las primeras cuestiones que vienen a la mente al considerar los riesgos cibernéticos.
Amar Rahman, Principal Risk Engineer de Zurich, que realiza evaluaciones de emplazamientos frente a riesgos naturales, ha constatado que esta brecha en la percepción puede ser un obstáculo clave para ayudar a proteger y preparar a los clientes.
“Cuando realizamos una evaluación de un emplazamiento, si la dirección no ha experimentado físicamente un evento de riesgo natural, la percepción del riesgo es bastante baja”, afirma Rahman. “Probablemente ocurra lo mismo con el riesgo cibernético: si todo funciona por la mañana, se piensa que es un día más de actividad normal. En ambos casos, es importante pensar en la tangibilidad. En una evaluación de emplazamiento, por ejemplo, el foco principal suele estar en el riesgo de incendio, porque las cargas de fuego y los factores desencadenantes, por un lado, y los sistemas de protección pertinentes, por otro, son tangibles. En el caso de los riesgos naturales y cibernéticos, es importante visualizar las consecuencias. Una tormenta podría causar daños reales a la capacidad de hacer negocios y tal vez provocar la pérdida de clientes si no se les puede proporcionar lo que necesitan en un plazo razonable. Si se piensa en los riesgos cibernéticos en términos de su impacto en las operaciones y en la consiguiente pérdida de clientes, se obtiene una percepción más tangible de su gravedad.”
Fundamentos subyacentes
La protección de los datos y de otra información sensible es un aspecto fundamental de la gestión del riesgo cibernético, y en ese sentido hay algo que aprender de otros riesgos que podrían parecer historia antigua. Como señala el chief risk officer (CRO) de una empresa global de datos: “Si se piensa en la época en que nos preocupaba proteger documentos con información sensible, la naturaleza física de cómo se registra la información ha cambiado, pero los principios de gestión del riesgo en torno a la protección de los datos digitales y al acceso a ellos son familiares.”
Según él, ayuda, por tanto, enmarcar los riesgos de datos cibernéticos en ese contexto. Si un documento merecía guardarse bajo llave en una caja fuerte, hoy debería cifrarse. Si un documento debía destruirse una vez que lo hubieran visto las personas adecuadas, hoy puede borrarse digitalmente.
“La forma en que evaluamos los riesgos como empresa, en términos de comprender cuáles son los efectos derivados, también se aplica al riesgo cibernético”, afirma el CRO. “El ámbito cibernético madura más rápido que otras disciplinas de gestión de riesgos, pero las correlaciones entre muchas de ellas son muy similares.”
La gestión del riesgo cibernético apunta a un objetivo en constante movimiento, lo que plantea retos importantes para las empresas, que no deben simplificarse en exceso. Pero al considerar los riesgos cibernéticos no es necesario reinventar por completo la rueda. El principio fundamental de la gestión de riesgos, según Scott, es priorizar. Implícito en la priorización está el hecho de comprender el propio apetito de riesgo.
“Cuando prioriza, usted se pregunta: ‘¿Qué nivel de riesgo estoy dispuesto a tolerar?’”, afirma Scott. “Puede que tenga un problema de bajo impacto, el tipo de pequeño contratiempo que ocurre a diario y que no altera la organización. Incluso podría tener un impacto moderado y repetirse de forma constante. Según su apetito, que puede expresarse como el deseo de un enfoque de calidad como Six Sigma, quizá quiera controlar ese evento de bajo impacto y alta probabilidad, pero si no, quizá no. Del mismo modo, puede que tenga o no apetito por riesgos de mayor impacto. En cualquier caso, siempre hay un contexto y un análisis de coste-beneficio que considerar.”
Al priorizar los riesgos cibernéticos, aflora otro elemento común con otros riesgos: los riesgos cibernéticos varían de una empresa a otra. Cualquier empresa que maneje información sensible de consumidores es un objetivo atractivo para los hackers que buscan acceder a cuentas bancarias. Con razón se asumiría que una empresa así tiene un apetito de riesgo bajo y debería abordarlo de forma proactiva, pero hay ejemplos de un apetito de riesgo casi nulo. Un contratista de defensa que trabaja en proyectos con implicaciones para la seguridad nacional, por ejemplo, “podría adoptar enfoques muy extremos para gestionar los riesgos cibernéticos”, afirma Scott. “Por ejemplo, podría crear lo que en el sector de las TI se denomina air gaps, es decir, aislar los equipos con datos de alto valor para que solo estén conectados entre sí, y a nada más, incluido Internet, en un edificio físicamente seguro. Existen distintos enfoques que puede adoptar en función del tipo de organización, del tipo de riesgo y de la amenaza. Los sistemas que se establecen para identificar y mitigar otros riesgos podrían ser precisamente lo que más le enseñe sobre cómo hacer lo mismo con los riesgos cibernéticos.”
Este artículo se publica en colaboración con Zurich Knowledge Hub. La publicación no implica el respaldo de las opiniones por parte del Foro Económico Mundial.
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autores: John Scott es Chief Risk Officer en Zurich. Amar Rahman es Principal Risk Engineer en Zurich.
Imagen: Una ilustración muestra una proyección de código binario sobre un hombre que sostiene un ordenador portátil. REUTERS
