En los últimos 20 años, la naturaleza del valor de los activos corporativos ha cambiado significativamente. El 80 % del valor de las empresas de Fortune 500 consiste ahora en propiedad intelectual (PI) y otros activos intangibles. A esta rápida expansión de la «digitalización» de los activos le corresponde una digitalización del riesgo corporativo. Como resultado, la ciberseguridad encabeza ahora la lista de asuntos a los que deben hacer frente los consejos de administración.
Investigaciones recientes muestran que las empresas de todo el mundo pierden cientos de miles de millones de dólares al año por la pérdida de propiedad intelectual, algoritmos de negociación, destrucción o alteración de datos financieros y de consumidores, y deterioro de su reputación; además, se exponen a un mayor riesgo regulatorio y jurídico. Y la situación está empeorando mucho.
Los sistemas cibernéticos, diseñados sin tener en cuenta la seguridad, son cada vez más vulnerables debido a la proliferación de dispositivos móviles y a la conexión en red de casi todos los activos físicos, desde cámaras de seguridad hasta refrigeradores: la «Internet de las cosas». Además, la comunidad atacante está mejorando enormemente sus técnicas. Los ciberataques sofisticados que hace apenas unos años solo veíamos entre naciones ahora los practican delincuentes comunes. O, como en el caso de Sony, los Estados lanzan ataques contra entidades comerciales con fines políticos o económicos.
Por último, la economía de la ciberseguridad favorece a los atacantes. Los ciberataques son relativamente baratos y fáciles de llevar a cabo. Los planes de negocio de los atacantes son ambiciosos y ofrecen márgenes de beneficio extremadamente generosos. Mientras tanto, la defensa suele ir una generación por detrás de los atacantes; es difícil demostrar el rendimiento de la inversión en ataques que se evitan y la aplicación de la ley es prácticamente inexistente: procesamos con éxito a menos del 2 % de los ciberdelincuentes.
Este desequilibrio, poco comprendido, de los incentivos económicos se ve agravado por el hecho de que muchas de las tecnologías y prácticas empresariales que recientemente han impulsado el crecimiento, la innovación y la rentabilidad corporativos también socavan la ciberseguridad.
Tecnologías como VOIP o la computación en la nube generan enormes eficiencias de costes, pero complican drásticamente la seguridad. Prácticas empresariales eficientes, incluso necesarias, como el uso de largas cadenas de suministro y BYOD (trae tu propio dispositivo), también resultan atractivas desde el punto de vista económico, pero plantean graves problemas de seguridad.
Los consejos de administración se enfrentan al dilema de tener que utilizar la tecnología para hacer crecer y mantener sus empresas sin poner en peligro sus activos más valiosos ni la confianza pública, ganada con tanto esfuerzo.
La Guía de ciberseguridad de la National Association of Corporate Directors identificó cinco principios fundamentales para que los consejos de administración mejoren la gestión de los ciberriesgos.
Entender que la ciberseguridad es una cuestión de gestión de riesgos que abarca toda la empresa. Considerar la ciberseguridad un asunto de TI que debe abordarse simplemente con soluciones técnicas es una estrategia intrínsecamente defectuosa. La mayor vulnerabilidad de los sistemas cibernéticos son las personas: quienes están dentro de la organización. Los costes de ciberseguridad se gestionan con mayor eficiencia cuando se integran en decisiones empresariales fundamentales, como los lanzamientos de productos, las fusiones y adquisiciones y las estrategias de marketing. Además, en un mundo integrado, las organizaciones deben tener en cuenta los riesgos que generan sus proveedores, suministradores y clientes, ya que sus debilidades pueden explotarse en perjuicio del sistema propio.
Los consejeros deben comprender las implicaciones jurídicas de los ciberriesgos. La situación jurídica de la ciberseguridad no está resuelta y evoluciona rápidamente. No existe una norma única aplicable, especialmente para las organizaciones que operan en varias jurisdicciones. Es fundamental que las organizaciones hagan un seguimiento sistemático de la evolución de las leyes y normativas de sus mercados.
Los consejos de administración necesitan acceso suficiente a conocimientos especializados en ciberseguridad. Aunque las cuestiones de ciberseguridad son tan centrales para las decisiones empresariales como las consideraciones jurídicas y financieras, la mayoría de los consejos carece de los conocimientos necesarios para evaluar los ciberriesgos. Muchos consejos están incorporando ahora profesionales de la ciberseguridad como consejeros para ayudar a analizar y evaluar los informes del personal. Como mínimo, los consejos deberían reservar periódicamente tiempo suficiente para tratar la ciberseguridad en sus reuniones, como parte de los informes del comité de auditoría o de un comité similar.
Los consejeros deben establecer la expectativa de que la dirección cuente con un marco de gestión de ciberriesgos para toda la empresa establecido. Como base, cada organización debería contar con un equipo de ciberriesgos que abarque toda la empresa, dirigido por un alto cargo con autoridad interdepartamental, que se reúna periódicamente, tenga un presupuesto independiente, elabore un plan para toda la organización y lo ponga a prueba.
A partir del plan, la dirección debe disponer de un método para evaluar los daños de un incidente cibernético. Debe identificar qué riesgos pueden evitarse, mitigarse, aceptarse o transferirse mediante seguros. Esto significa que debe determinar qué datos, y qué cantidad de ellos, está dispuesta la organización a perder o a que se vean comprometidos. A continuación, deben asignarse adecuadamente los presupuestos de mitigación de riesgos entre la defensa frente a riesgos básicos y avanzados.
Si una organización sigue estos principios, debería estar bien encaminada para establecer un sistema sostenible de gestión segura de los ciberriesgos.
Autor: Larry Clinton es presidente y director ejecutivo de Internet Security Alliance (ISA)
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene un ordenador portátil, en una oficina de Varsovia, el 24 de junio de 2013. REUTERS/Kacper Pempel
