Las empresas y los gobiernos se enfrentan a amenazas cibernéticas constantes, desde el ciberespionaje patrocinado por Estados hasta los ataques de ransomware perpetrados por bandas criminales.
Muchas organizaciones líderes recurren a las calificaciones de riesgo cibernético para entender y mitigar su exposición al riesgo y cumplir mejor la normativa.
En Francia, los responsables políticos son pioneros a nivel mundial al plantearse imponer el uso de calificaciones de riesgo cibernético.
En la era digital, los riesgos de ciberseguridad son una amenaza permanente. Las empresas y los gobiernos se enfrentan a amenazas cibernéticas constantes, desde el ciberespionaje patrocinado por Estados hasta los ataques de ransomware perpetrados por bandas criminales. El impacto de estas amenazas puede ser devastador, con turbulencias económicas y amenazas para la seguridad pública.
En respuesta, los responsables políticos de todo el mundo estudian cómo la regulación puede reforzar la postura cibernética de una economía, ya sea mediante la Ley de Resiliencia Operativa Digital (DORA), recientemente adoptada por el Parlamento Europeo, que también hace responsables a los grupos financieros de la seguridad de los proveedores tecnológicos que utilizan, o la Directiva sobre seguridad de las redes y de la información (NIS2), que establece medidas jurídicas para reforzar el nivel general de ciberseguridad en la UE.
Las empresas comprenden la necesidad de la regulación
Dado el creciente panorama de amenazas, las empresas apoyan cada vez más la regulación para abordar y mitigar los riesgos. El Informe Global de Perspectivas de Ciberseguridad 2023 del Foro Económico Mundial muestra que los directivos de ciberseguridad tienen ahora más probabilidades de considerar las normativas de ciberseguridad como una herramienta eficaz para reducir los riesgos cibernéticos en todo un sector.
Muchas organizaciones líderes también recurren a las calificaciones de riesgo cibernético para entender y mitigar su exposición al riesgo y cumplir mejor la normativa. Las calificaciones de riesgo cibernético ofrecen una medida objetiva de la postura de ciberseguridad de una organización, basada en diversos factores, como la seguridad de las redes, la protección de datos y las capacidades de respuesta a incidentes. Estas calificaciones ayudan a las organizaciones a identificar las áreas débiles de sus cadenas de suministro y de sus defensas de ciberseguridad, y a priorizar los esfuerzos de subsanación.
Los responsables políticos también empiezan a ver la utilidad de las calificaciones de riesgo cibernético en los distintos mercados y cómo podrían constituir una palanca de política eficaz para respaldar el creciente número de requisitos normativos en materia de ciberseguridad y mejorar la resiliencia cibernética dentro de las economías.
Las calificaciones de riesgo cibernético como herramienta normativa
En Francia, los responsables políticos son pioneros a nivel mundial al plantearse imponer el uso de calificaciones de riesgo cibernético. La Ley Cyberscore francesa, promulgada el 3 de marzo de 2022, crea la obligación de contar con una certificación de ciberseguridad para las plataformas digitales destinadas al público. Entrará en vigor el 1 de octubre de 2023.
Esta ley pionera exigirá calificaciones cibernéticas en los sitios web de los 500 mayores comerciantes que operan en Francia. El plan es extenderla a 10.000 empresas estratégicas, como la red eléctrica y el sector sanitario.
Abordar el riesgo de terceros mediante la regulación
Gran parte de la nueva normativa de ciberseguridad de la UE está diseñada para gestionar las cadenas de suministro digitales y los proveedores externos.
Por ejemplo, DORA pretende garantizar que todos los participantes en el sistema financiero dispongan de las salvaguardas necesarias para mitigar los ciberataques y otros riesgos. La legislación exigirá a las empresas garantizar que puedan resistir todo tipo de perturbaciones y amenazas relacionadas con las TIC. Al igual que gran parte de la economía, el sector financiero depende en gran medida de proveedores tecnológicos externos, tanto grandes como pequeños.
Esto se puso de manifiesto recientemente cuando la CFTC aplazó la publicación de su informe semanal Commitments of Traders (CoT) correspondiente a la semana que terminó el 17 de febrero de 2023, debido a un ciberataque contra un proveedor externo, ION Cleared Derivatives. Según datos de la Futures Industry Association, este ataque afectó a un mercado enorme, con más de 1 billón de dólares en contratos de futuros sobre renta variable, materias primas y tipos de interés abiertos en diciembre.
Al introducir un requisito obligatorio de calificación de riesgo cibernético, Francia gestionará de forma proactiva la manera en que se entiende el riesgo cibernético y promoverá una mayor resiliencia digital en toda la cadena de suministro.
Imponer calificaciones de riesgo cibernético en toda la UE
Esta ley debería servir de llamada a la acción para los responsables políticos de la UE y de todo el mundo, a fin de que consideren medidas similares para mejorar la ciberseguridad y la resiliencia digital.
Los prestamistas, como los bancos y las compañías de tarjetas de crédito, utilizan las calificaciones crediticias para evaluar el riesgo potencial de prestar dinero a los consumidores y mitigar las pérdidas por impagos.
De manera similar, las calificaciones de riesgo cibernético pueden proporcionar a los reguladores y al mercado una medida objetiva de la postura de ciberseguridad de una organización, lo que ayuda a fundamentar las decisiones regulatorias, reducir el riesgo de incidentes cibernéticos y cumplir de forma eficaz la normativa, como DORA en la UE.
SecurityScorecard considera que la UE debería plantearse imponer un sistema de calificación de riesgo cibernético similar al modelo francés en todos los Estados miembros. Esto crearía unas condiciones de competencia equitativas para las organizaciones de la UE y garantizaría que todos los agentes del ecosistema digital se tomen en serio la ciberseguridad. Esto puede adoptar distintas formas en los diversos requisitos normativos centrados en la ciberseguridad y no siempre tiene que estar recogido en una ley; puede llevarse a cabo mediante orientaciones, interpretación normativa o, incluso, certificación. Los reguladores de DORA están elaborando proyectos comunes de normas técnicas de regulación para las herramientas de gestión del riesgo de TIC que podrían incluir calificaciones de riesgo cibernético.
No se trata de una solución única para todos los casos, pero avanzar hacia la garantía de que las calificaciones de riesgo cibernético sean imprescindibles, y no algo meramente deseable, mejorará la fiabilidad cibernética y respaldará las ambiciones digitales de la UE.
