El riesgo cibernético moderno es tan profundo que se extiende mucho más allá del ámbito del equipo de seguridad de la información, incluidos la gobernanza, la privacidad y la cultura corporativa.
Las brechas de seguridad de alto perfil recientes muestran lo costosas que pueden ser para la marca y los balances de las grandes corporaciones.
Los directores jurídicos son fundamentales para ayudar a los líderes empresariales a establecer una gobernanza que equilibre la protección de la información con la garantía de la privacidad, la productividad y el cumplimiento normativo.
El director jurídico moderno es un aliado crítico frente al riesgo cibernético para los consejos de administración
El impacto del riesgo cibernético puede devastar a las empresas. Como vemos con frecuencia, las brechas de ciberseguridad provocan la pérdida de datos críticos, como la propiedad intelectual y la información personal, y dan lugar a multas masivas y responsabilidades.
Tradicionalmente, la responsabilidad de gestionar y mitigar el riesgo de ciberseguridad ha recaído principalmente en el equipo de seguridad de la información, a menudo bajo la dirección del director de información y seguridad (CISO). Sin embargo, la responsabilidad fiduciaria “última” recae en el consejo de administración, y no solo en los CISO y los CEO.
Afortunadamente, el consejo cuenta con aliados y asesores. A medida que el riesgo se ha vuelto más profundo, también se ha ampliado el panorama de la seguridad, con efectos en cascada en toda la alta dirección moderna. El papel del director jurídico se ha vuelto fundamental para guiar a las organizaciones por el campo de minas de la gestión del riesgo cibernético, desde la implementación de productos y servicios de seguridad hasta la investigación y respuesta ante brechas, la presentación de informes a los reguladores y el asesoramiento al consejo sobre las mejores prácticas y estándares emergentes.
La oficina del director jurídico debe ser un aliado fundamental del consejo para ayudarle a comprender el panorama de riesgos en rápida evolución y a tomar decisiones eficaces para gestionar la ciberseguridad, cumplir la normativa y garantizar comunicaciones transparentes.
En 2013, Yahoo sufrió una enorme brecha de ciberseguridad que expuso tres mil millones de cuentas de correo electrónico, es decir, casi la mitad de la población mundial en ese momento. Aunque esta brecha ya fue lo bastante grave, la mala respuesta de Yahoo y su incumplimiento al revelar la violación de datos provocaron pérdidas financieras y sanciones muy superiores al coste de la brecha: en 2017, Verizon redujo en 350 millones de dólares el precio de adquisición acordado para Yahoo, hasta 4480 millones de dólares; en abril de 2018, la la SEC multó a Yahoo con 35 millones de dólares por no revelar la brecha, y en septiembre de ese mismo año la compañía llegó a un acuerdo para resolver una demanda colectiva derivada por 47 millones de dólares.
Y Yahoo es solo una de las muchas brechas que han acaparado titulares en los últimos años. Basta con preguntarle a Equifax (575 millones de dólares), Uber (148 millones de dólares) y Capital One (80 millones de dólares) por las sanciones económicas que sufrieron por gestionar mal las brechas cibernéticas. El veredicto es claro: las empresas que no gestionan con éxito el riesgo cibernético se enfrentan a graves pérdidas para su marca y su balance, que pueden tardar años en recuperarse, o incluso no recuperarse nunca.
Los consejeros corporativos y los líderes empresariales deben abordar el riesgo cibernético de forma integral, con un enfoque que abarque la gobernanza, la privacidad de los empleados y la cultura corporativa. Dada la importancia cada vez mayor de la conectividad digital, estas cuestiones se extienden mucho más allá del ámbito y los recursos técnicos del equipo de seguridad de la información. En cambio, deben informar la evaluación del perfil de riesgo en su conjunto para permitir una toma de decisiones eficaz en el consejo.
El consejo debe involucrar a un conjunto más amplio de partes interesadas, en particular al director jurídico, para respaldar su toma de decisiones en materia de gestión de riesgos. El director jurídico está bien posicionado, en su calidad de asesor de secretaría corporativa, para asesorar sobre estándares emergentes, tender puentes entre consejeros y equipos de seguridad y, de manera fundamental, ayudar a integrar la ciberseguridad con la estrategia empresarial para generar confianza, garantizar la privacidad y crear valor.
Las soluciones técnicas por sí solas no garantizan protección frente al riesgo moderno
Como responsables del cumplimiento normativo corporativo, los directores jurídicos pueden orientar sobre cómo deben los consejos considerar el riesgo cibernético y cómo deben los altos ejecutivos gestionar los incidentes cibernéticos. Actúan como puente entre los consejeros y los máximos directivos, así como con los responsables de recursos humanos, seguridad corporativa y de productos, TI, ventas, ingeniería, comunicación corporativa y relaciones con inversores.
La ciberseguridad evoluciona para intentar seguir el ritmo del panorama de amenazas, en rápida expansión. Para adelantarse, son fundamentales las tecnologías de ciberseguridad que abarcan la comprensión de las interacciones de las personas con los datos, la supervisión continua, la medición del riesgo y la respuesta automatizada antes de la pérdida de datos. Los directores jurídicos desempeñan un papel fundamental para garantizar que estos esfuerzos cumplan las obligaciones regulatorias. Incluso la mejor solución técnica no garantiza protección frente a fallos si no se cuenta con las aportaciones del director jurídico.
Aunque los métodos para evaluar y responder al riesgo cibernético han evolucionado gracias a los organismos de normalización gubernamentales y privados, las agencias de calificación crediticia, los inversores y las aseguradoras, la alta dirección debe comprender el impacto en la privacidad a medida que se incorporan a la cartera de ciberseguridad nuevas tecnologías que se adaptan al riesgo.
En este panorama moderno, el director jurídico puede ayudar al consejo y a la alta dirección a establecer una gobernanza y unos controles que equilibren la protección de la información crítica y confidencial con la garantía de la productividad y el cumplimiento normativo.
Esto puede implicar establecer políticas que determinen quién tiene acceso a los datos personales identificables de los empleados, desde el becario hasta el director ejecutivo, al investigar fugas o robos de datos accidentales o malintencionados. También implica preguntarse: ¿qué sabe el analista de seguridad frente a los consejeros, el CISO, el CEO o el asesor jurídico corporativo?
Los consejos y los empleados quieren saber qué datos personales se están accediendo, utilizando, almacenando y eliminando. Los directores jurídicos pueden ayudar a establecer protocolos de gobernanza que orienten a los CEO y CISO en la investigación y respuesta a posibles brechas internas de datos de empleados, clientes o socios. En caso de una violación de datos, no es una cuestión de si ocurrirá, sino de cuándo : los asesores jurídicos pueden facilitar el proceso de investigación y ejecutar la divulgación ante los organismos reguladores para evitar o mitigar riesgos adicionales de multas y demandas.
Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer la ciberresiliencia y a abordar retos que requieren respuestas colectivas.
El director jurídico es el puente fundamental con otros líderes internos
Históricamente, las evaluaciones de riesgo cibernético y los informes al consejo han estado dirigidos únicamente por el CISO. Sin embargo, los enfoques adoptados presentaban limitaciones importantes, ya que aislaban las decisiones de ciberseguridad del negocio al que deben servir. Aunque no cabe duda de que el CISO sigue siendo el principal experto en ciberseguridad de una organización, los directores jurídicos pueden actuar como el tejido conectivo necesario para gestionar el riesgo de forma más integral y con una perspectiva más amplia.
La alta dirección sigue evolucionando para incluir puestos de liderazgo centrados en la seguridad de los datos, la privacidad y la confianza. Hace diez o quince años, el puesto de CISO no existía. Hoy vemos cómo los CISO acceden a un lugar en la mesa, con acceso directo a los comités de auditoría y al consejo en su conjunto.
Esta alianza entre los líderes jurídicos, empresariales y de seguridad, forjada en el crisol de la inseguridad cibernética, ayudará a guiar a las empresas en estos tiempos extraordinarios de rápida transformación y disrupción digital.
