Para reducir el riesgo y mejorar la resiliencia frente a la actividad cibernética maliciosa, los gobiernos y el sector privado deben evolucionar sus respectivos enfoques de gestión de riesgos de ciberseguridad.
El sector privado y el gobierno se benefician de integrar la ciberseguridad en todos los aspectos de las operaciones y la gobernanza.
Invertir en ciberseguridad cuesta dinero, pero escatimar en las inversiones en ciberseguridad cuesta más.
El costo promedio de una filtración de datos en 2022 fue de 4,35 millones de dólares y se espera que alcance los 5 millones de dólares en 2023. La firma de investigación en ciberseguridad Cyber Ventures predice que los ciberdelitos costarán al mundo 10,5 billones de dólares para 2025. Según la Comisión de Bolsa y Valores de Estados Unidos (SEC), “los posibles costos y daños que pueden derivarse de un incidente de ciberseguridad son considerables. Muchas empresas pequeñas han sido objetivo de ataques de ciberseguridad tan graves que han tenido que cerrar como consecuencia de ello.”
Para reducir el riesgo y mejorar la resiliencia frente a la actividad cibernética maliciosa, los gobiernos y el sector privado deben evolucionar sus respectivos enfoques de gestión de riesgos de ciberseguridad. Ambas partes deben aprovechar sus capacidades de forma más estratégica y desarrollar marcos para priorizar las inversiones alineadas con las ciberamenazas.
Llamado a la acción
En marzo de 2023, la Casa Blanca publicó su tan esperada Estrategia Nacional de Ciberseguridad. Trazando el rumbo de esta “década decisiva”, la Estrategia reconoce que los distintos actores del ecosistema digital tienen ventajas comparativas en cuanto a la reducción del riesgo, la observación de la actividad cibernética maliciosa, la síntesis de información sobre amenazas y la elaboración de orientaciones prácticas, la interrupción de los actores de amenazas y la creación de resiliencia. Con ese fin, la Estrategia exige más al gobierno y al sector privado.
Dos principios generales orientan la Estrategia Nacional de Ciberseguridad. En primer lugar, “los actores más capaces y mejor posicionados en el ciberespacio deben ser mejores custodios del ecosistema digital." En segundo lugar, la “economía y la sociedad deben incentivar la toma de decisiones que hagan el ciberespacio más resiliente y defendible a largo plazo.” Alinear las decisiones normativas y empresariales con estos principios elevará, sin duda, la postura de ciberseguridad nacional. Un ciberdominio más seguro y resiliente también es bueno para los negocios: invertir en seguridad cuesta dinero, pero limpiar una filtración cuesta más.
Realizar las inversiones necesarias para asumir responsabilidades adicionales en materia de seguridad puede implicar costos a corto plazo, pero también aumentará la confianza del público en la fiabilidad de las infraestructuras y tecnologías críticas, incrementará la productividad y los beneficios y permitirá alianzas más sólidas y estratégicas entre el gobierno federal y el sector privado. En definitiva, el sector privado y el gobierno se benefician de integrar la ciberseguridad en todos los aspectos de las operaciones y la gobernanza.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad proporciona una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a reforzar la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
Un cambio de paradigma para el gobierno
Históricamente, el gobierno federal se basó en marcos voluntarios para fomentar la adopción de sólidas normas de ciberseguridad por parte del sector privado. Los incidentes cibernéticos, como el ataque a la cadena de suministro de SolarWinds y el ataque de ransomware a Colonial Pipeline, sin embargo, pusieron de manifiesto las limitaciones de un modelo puramente voluntario y subrayaron las consecuencias en cascada de los incidentes cibernéticos. Incluso antes de la publicación de la Estrategia Nacional de Ciberseguridad, los ciberataques de gran repercusión en 2020 y 2021 obligaron al gobierno federal a reevaluar su dependencia de las medidas voluntarias para mejorar la ciberseguridad de las infraestructuras críticas y de las empresas tecnológicas.
Reconociendo la necesidad de aumentar la visibilidad colectiva de la actividad maliciosa en las redes nacionales, el Congreso de Estados Unidos promulgó la Ley de Notificación de Incidentes Cibernéticos para Infraestructuras Críticas de 2021, que obligaba a las entidades cubiertas a notificar determinados incidentes cibernéticos a la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) en un plazo de 72 horas. Esta ley obtuvo el respaldo del sector privado porque permitió al gobierno federal interrumpir antes las campañas cibernéticas maliciosas y aportar información crítica sobre las tácticas de nuestros adversarios
Mientras tanto, el Poder Ejecutivo ha sido muy activo en sus esfuerzos por fomentar la adopción de prácticas de ciberseguridad más sólidas. La subasesora adjunta de Seguridad Nacional para Ciberseguridad y Tecnologías Emergentes, Anne Neuberger, escribió una carta abierta a los directivos y líderes empresariales en junio de 2021, instándolos a aplicar las cinco mejores prácticas de la Orden Ejecutiva 14028, entre ellas el uso de evaluadores externos de penetración y el perfeccionamiento de los planes de respuesta a incidentes.
En julio de 2021, el presidente Biden firmó el Memorándum de Seguridad Nacional sobre la mejora de la ciberseguridad de los sistemas de control de infraestructuras críticas, que encomendaba al Departamento de Seguridad Nacional (DHS) y al Departamento de Comercio desarrollar objetivos de rendimiento en ciberseguridad para las infraestructuras críticas. Ambos departamentos publicaron en octubre de 2022 la primera versión de los Objetivos de Rendimiento en Ciberseguridad (CPG, por sus siglas en inglés) de referencia intersectoriales, y los han actualizado desde entonces. Desde su publicación, los CPG han servido de base para nuevos requisitos federales de ciberseguridad para el transporte terrestre y la aviación, entre otros.
En febrero de 2023, la directora de la CISA, Jen Easterly, y el director adjunto ejecutivo de Ciberseguridad, Eric Goldstein, publicaron un artículo en la revista Foreign Affairs en el que defendían que: “en todas las empresas, la responsabilidad de la ciberseguridad debe elevarse del departamento de TI al consejo de administración, al director ejecutivo y al nivel directivo superior.” Con ese fin, la directora Easterly y el director adjunto ejecutivo Goldstein declararon que “todo proveedor de tecnología debe empezar por crear productos que sean tanto «seguros por defecto» como «seguros desde el diseño».” Desde entonces, han defendido la adopción de esos principios.
En relación con lo anterior, en marzo de 2022, la Comisión de Bolsa y Valores (SEC) publicó una propuesta de norma sobre gestión de riesgos y gobernanza de la ciberseguridad. Las nuevas normas de la SEC buscan implicar de manera significativa a la alta dirección y al consejo de administración.
Entre otras cuestiones, la norma propuesta aclara los requisitos de divulgación relativos a las políticas y procedimientos de una entidad registrada para identificar y gestionar los riesgos de ciberseguridad, la estructura de gobernanza de la ciberseguridad, el papel de la dirección para abordar y mitigar los riesgos de ciberseguridad y si un miembro del consejo de administración de la entidad tiene conocimientos especializados en ciberseguridad.
Estos requisitos subrayan la importancia de impulsar los esfuerzos de gestión de riesgos y gobernanza en toda la comunidad de consejos de administración, para garantizar que los recursos y las inversiones se destinen a aquellos riesgos cibernéticos que tienen el impacto financiero, empresarial y operativo más material.
La Estrategia Nacional de Ciberseguridad se basa en el trabajo realizado hasta la fecha por la Administración. Si bien el enfoque federal de la ciberseguridad está evolucionando, y esa evolución puede dar lugar a nuevas normas, también impulsará mejores prácticas de ciberseguridad para las infraestructuras críticas y las empresas tecnológicas, lo que reducirá el riesgo de ciberataques que perjudican la productividad, la confianza pública y, en última instancia, los beneficios.
Con demasiada frecuencia, la ciberseguridad se pierde en la traducción al relacionarse con los miembros del consejo y del C-suite. Esto deja a la dirección sin certeza sobre qué está financiando exactamente y dónde persisten las carencias residuales.
Chris Hetner, presidente del Consejo de Perspectivas del Centro Nasdaq para la Excelencia en Consejos de Administración
Por su parte, el gobierno tiene la obligación con sus socios del sector privado de demostrar el valor de seguridad de los nuevos requisitos de ciberseguridad y de las asociaciones público-privadas. Como la Estrategia exige más al sector privado, también asume compromisos audaces en nombre del gobierno. Prevé una ofensiva a gran escala contra la actividad cibernética maliciosa, desde la coordinación internacional frente al ransomware y la persecución enérgica de los ciberdelincuentes hasta la interrupción de las campañas cibernéticas maliciosas y el desmantelamiento de la infraestructura de los actores de amenazas.
El gobierno ya hace mucho de eso: a principios de este año, el FBI se infiltró en el grupo de ransomware Hive, obtuvo las claves de descifrado y las distribuyó entre las víctimas. En abril, el FBI y sus socios internacionales desmantelaron Genesis, una tienda en línea de datos pirateados y robados. En conjunto, estas acciones demuestran cómo el gobierno puede aprovechar sus recursos y facultades únicos para reducir el riesgo para sus socios y el público.
Además, a medida que el gobierno crea nuevas normas para el sector privado, debe asegurarse de que cualquier carga adicional se armonice en todos los niveles de gobierno. Los costos de cumplimiento no deberían restar recursos a las inversiones en seguridad. La Estrategia se compromete a armonizar la normativa a través de la Oficina del Director Nacional de Ciberseguridad y de la Oficina de Gestión y Presupuesto, de forma similar a como el Consejo de Notificación de Incidentes Cibernéticos del DHS trabaja para eliminar las contradicciones entre los distintos requisitos de notificación de incidentes cibernéticos. Sin embargo, estos esfuerzos de armonización deben sortear la complejidad de los reguladores de agencias independientes.
Por último, el gobierno debe desarrollar un marco para evaluar mejor las interdependencias entre los propietarios y operadores de infraestructuras críticas y los posibles efectos en cascada de los incidentes cibernéticos. Un marco sólido para este análisis impulsará las inversiones estratégicas en seguridad y facilitará una mayor resiliencia. La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) se encuentra en proceso de hacerlo precisamente.
Trabajar de forma más inteligente
El ecosistema de ciberseguridad (personas, procesos, tecnología) se centra en gran medida en abordar las amenazas de nivel técnico utilizadas para mitigar el riesgo. Aunque el ecosistema de ciberseguridad sigue evolucionando, aún carece de la capacidad de contextualizar las amenazas e incidentes cibernéticos en función de las exposiciones empresariales, operativas y financieras. La determinación de «materialidad» está influida por el impacto del incidente en el negocio, las operaciones y la situación financiera de la empresa.
A continuación se enumeran los tipos de factores empresariales y financieros que deben tenerse en cuenta al determinar la materialidad de un incidente. Los tipos de costos y consecuencias adversas que las empresas pueden incurrir o sufrir a raíz de un incidente de ciberseguridad incluyen los siguientes:
• Costos derivados de la interrupción de la actividad empresarial, la reducción de la producción y los retrasos en el lanzamiento de productos.
• Pagos para satisfacer demandas de rescate y otras exigencias extorsivas.
• Costos de remediación, como responsabilidades por activos o información robados, reparaciones de daños en los sistemas e incentivos a clientes o socios comerciales para mantener las relaciones tras un ataque.
• Aumento de los costos de protección en ciberseguridad, que pueden incluir primas de seguro más elevadas y los costos de introducir cambios organizativos, desplegar personal y tecnologías de protección adicionales, formar a los empleados y contratar a expertos y consultores externos.
• Ingresos perdidos a causa del robo de propiedad intelectual y del uso no autorizado de información patentada, o de la incapacidad de retener o atraer clientes tras un ataque.
• Litigios y riesgos legales, incluidas las acciones regulatorias de autoridades gubernamentales estatales y federales y de autoridades no estadounidenses.
• Perjuicios para empleados y clientes, incumplimiento de las leyes de privacidad y daños reputacionales que afecten negativamente a la confianza de clientes o inversores.
• Daños a la competitividad de la empresa, al precio de sus acciones y al valor para los accionistas a largo plazo.
La gestión del riesgo cibernético es una tarea de equipo que requiere la participación de toda la empresa para garantizar la resiliencia empresarial. Se necesita un mensaje más inclusivo y una colaboración que incluya a todos los responsables de la gestión de riesgos empresariales.
La tecnología cambia rápidamente, y también las ciberamenazas. Los análisis estáticos del riesgo actual son menos útiles que establecer un flujo regular de información hacia el consejo que respalde las decisiones de inversión en ciberseguridad basadas en consideraciones empresariales, operativas y financieras. Con la atención del consejo puesta de forma periódica en la ciberseguridad como parte de la gobernanza rutinaria, los directores estarán capacitados para cumplir con los nuevos requisitos de la SEC.
El riesgo cibernético es un asunto para directores y ejecutivos
Chris Hetner, antiguo asesor principal de ciberseguridad del presidente de la SEC y presidente del Consejo de Perspectivas del Centro Nasdaq para la Excelencia en Consejos de Administración, afirma: “Es esencial que los consejos incorporen de forma continua debates sobre la gestión del riesgo cibernético relacionados con la forma más eficaz de reducir el impacto financiero y empresarial vinculado a dicho riesgo. La conversación no se limita al director de información (CIO) y al director de seguridad de la información (CISO). Se trata de un debate más amplio del C-suite, que debe estar encabezado por el director financiero (CFO) y el director jurídico general.”
Hetner afirma que los consejos ya no pueden ignorar la ciberseguridad y señala: “La tendencia predeterminada de los ejecutivos es basarse en informes tácticos y técnicos periódicos para justificar soluciones tecnológicas que pueden abordar cuestiones técnicas de seguridad.” Añade que: “Con demasiada frecuencia, la ciberseguridad se pierde en la traducción al relacionarse con los miembros del consejo y del C-suite. Esto deja a la dirección sin certeza sobre qué está financiando exactamente y dónde persisten las carencias residuales.”
Hetner y la NACD respaldaron recientemente el lanzamiento de un servicio que ayuda a los consejos a supervisar con mayor eficacia la exposición al riesgo cibernético. El X-Analytics y el Servicio de Informes de Riesgo Cibernético de la NACD es una suscripción anual que proporciona a los consejos informes trimestrales en los que se destaca la exposición financiera atribuible al riesgo cibernético de una organización. La plataforma utiliza los mismos análisis que emplean los líderes del sector de seguros cibernéticos.
Este nuevo servicio de la NACD facilita una conversación más amplia del C-suite sobre el riesgo cibernético y ayuda a los consejos a participar en debates que van más allá de los aspectos técnicos de la ciberseguridad.
En conclusión, invertir en ciberseguridad cuesta dinero. Escatimar en las inversiones en ciberseguridad cuesta más.
