Las nuevas tecnologías evolucionan con rapidez y generan nuevas vulnerabilidades en ciberseguridad.
Las empresas pueden hacer más para aumentar su resiliencia, incluida la mejora de la alfabetización cibernética.
El foco en la geopolítica y en el riesgo de terceros ofrece un punto de partida para un debate más amplio sobre el riesgo cibernético.
Para las organizaciones grandes y pequeñas, descuidar la ciberseguridad es cada vez más insostenible.
El Global Cyber Outlook 2023, publicado esta semana en la Reunión Anual del Foro Económico Mundial en Davos, Suiza, reveló que la incertidumbre geopolítica y económica en todo el mundo agrava la amenaza de ciberataques potencialmente catastróficos, lo que aumenta el riesgo para las empresas de todos los sectores.
Si bien se han logrado avances en el fortalecimiento de la concienciación y la preparación en materia de ciberseguridad, las empresas pueden hacer más para aumentar su resiliencia, incluida la mejora de la alfabetización cibernética, la comunicación y el intercambio de información.
El riesgo geopolítico aumenta la amenaza cibernética
En el último año, el riesgo geopolítico volvió con fuerza al centro de los asuntos mundiales, alterando las cadenas de suministro y perturbando grandes industrias, desde la energía hasta los productos básicos alimentarios. Las nuevas tecnologías también evolucionan rápidamente y traen consigo nuevas vulnerabilidades, que los atacantes – algunos de los cuales tienen fuertes motivaciones geopolíticas – suelen aprovechar con rapidez.
De hecho, el nuevo informe revela que el 93% de los directivos de ciberseguridad y el 86% de sus homólogos empresariales consideran que el riesgo de un evento cibernético catastrófico en los próximos dos años es «alto» o «moderadamente alto». Estos eventos podrían incluir, por ejemplo, un ataque de ransomware paralizante o una violación de datos sensibles de consumidores, cualquiera de los cuales provocaría una disrupción a gran escala y tendría un alto coste reputacional y financiero.
Como señala el informe, el aumento del riesgo ya ha llevado al 50% de los encuestados a reevaluar los países en los que operan, mientras que otros temen la interrupción de su actividad y el daño reputacional como consecuencia de ciberataques relacionados con la geopolítica.
Las operaciones interconectadas plantean nuevos riesgos
El temor a un gran ataque refleja también, en parte, la naturaleza interconectada de las operaciones actuales. La transformación digital está creando interdependencias tecnológicas, cuyo alcance y naturaleza a menudo aún no se comprenden del todo.
Cada vez más, los datos de los consumidores y la tecnología se comparten a lo largo de las cadenas de suministro, lo que significa que un evento de ciberseguridad puede extenderse rápidamente, en «cascada», de una organización a otra, así como a través de las fronteras.
La preocupación por el riesgo de terceros y la conciencia sobre el mismo han aumentado rápidamente en el último año. En total, el 90% de los encuestados expresó su preocupación por la ciberresiliencia de terceros, en particular de aquellos que tienen conexiones directas con los datos de las organizaciones o los tratan.
Como resultado, el informe revela que los líderes están reforzando los controles sobre el acceso de terceros a sus organizaciones (73%) o a sus datos (66%), y que los responsables de la toma de decisiones trabajan para mitigar el riesgo cibernético. Cabe destacar que los directivos empresariales y de seguridad situaron como su máxima prioridad la incorporación de la ciberresiliencia en la estrategia empresarial.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al permitir la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
El intercambio de información mejora, pero...
Un dato alentador es que la dinámica entre lo tecnológico y lo no tecnológico, que dominó los consejos de administración durante varios años, está cambiando. Existe una convergencia creciente de criterios y una mayor concienciación, en particular por parte de los consejos, no solo sobre lo que son los riesgos cibernéticos, sino también sobre su papel para hacerles frente. Los consejos son más propensos a pensar en los riesgos cibernéticos y a escuchar a sus expertos en la materia; el informe revela que el 56% de los líderes de seguridad se reúne con su consejo al menos una vez al mes.
El problema persistente es que los líderes empresariales no articulan con claridad el riesgo que los problemas cibernéticos suponen para su organización. Esto, a su vez, dificulta llegar a un acuerdo sobre la mejor manera de abordar el riesgo. Como sugiere el informe, los expertos en ciberseguridad deberían presentar las cuestiones de seguridad en términos que los directivos de nivel de consejo puedan entender y en los que puedan actuar con facilidad, mientras que los líderes empresariales deberían asumir una mayor responsabilidad por la capacidad cibernética global.
... la contratación de personal cualificado sigue siendo un problema
Además, encontrar a las personas adecuadas para identificar, evaluar y gestionar el riesgo cibernético, así como para hacer frente a un evento cibernético importante, es fundamental. Para ello, sin embargo, es preciso abordar la escasez crónica de talento tecnológico.
En la situación actual, el 64% de los líderes en ciberseguridad y el 59% de sus homólogos empresariales sitúan la contratación y la retención de talento como un desafío clave a la hora de gestionar el riesgo cibernético. Preocupantemente, menos de la mitad de los encuestados afirmó contar con las personas adecuadas y las competencias necesarias para responder a los ciberataques.
Afortunadamente, en los últimos años ha crecido una comprensión compartida de este problema, lo que hace más probable que se desarrollen los programas de contratación de talento necesarios. Esto ayudará a crear un grupo más amplio e inclusivo de talento diverso, que incluya a personas con competencias en gestión de crisis, así como con capacidad para pensar en los problemas de forma creativa y distinta. También ayudará a disipar la idea errónea de que la ciberseguridad es muy técnica, lo cual no siempre es el caso.
El informe destaca también que los líderes empresariales (76%) y los directivos de ciberseguridad (70%) son cada vez más propensos a considerar las leyes de privacidad de datos y las normativas de ciberseguridad como una herramienta eficaz para reducir el riesgo cibernético. El cumplimiento normativo puede plantear desafíos, pero al mismo tiempo, la regulación – junto con la presión adicional de las expectativas de los accionistas – está impulsando la acción en materia de ciberseguridad.
Esto es positivo porque, para crear una cultura centrada en la seguridad, las organizaciones necesitan encontrar tanto un lenguaje común como métricas que conviertan la información sobre ciberseguridad en algo que pueda medirse y analizarse con facilidad.
Sin embargo, todavía queda trabajo por hacer para desarrollar normas claras sobre qué debe notificarse y cuándo, en caso de una violación de seguridad. El intercambio horizontal de información cibernética (al mismo nivel en toda la organización) ha crecido y suele priorizarse frente a su equivalente vertical (a través de todos los niveles). En este sentido, el informe señala la necesidad de integrar la gestión del riesgo cibernético –y las mejores prácticas– de forma vertical, y sugiere que los debates frecuentes y significativos pueden mejorar la claridad y la comprensión.
El actual foco en la geopolítica y en el riesgo de terceros ofrece un punto de partida para un debate más amplio sobre el riesgo cibernético. La situación está mejorando, pero no con la rapidez suficiente para que la mayoría de las organizaciones y empresas tengan la confianza de estar preparadas para afrontar un evento cibernético importante. La resiliencia y la preparación deberían ocupar un lugar central en la estrategia.
Para lograrlo, los expertos en ciberseguridad deben mejorar la forma en que transmiten sus mensajes y datos, mientras que los líderes deben evaluar mejor lo que el riesgo cibernético significa para la gobernanza corporativa y las decisiones de inversión.
Este artículo se publicó originalmente en Arab News.
