La falta de enfoque de los consejos directivos en brindar supervisión adecuada en materia de ciberseguridad se convierte en un problema de seguridad para sus organizaciones. A pesar de afirmar que la ciberseguridad es una prioridad, los consejos aún tienen mucho camino por recorrer para ayudar a sus empresas a ser resilientes ante los ciberataques. Al no centrarse en la resiliencia, los consejos no cumplen con su responsabilidad hacia las compañías.
Según una encuesta realizada a 600 miembros de consejos directivos sobre sus actitudes y actividades en torno a la ciberseguridad, nuestros hallazgos demuestran que a pesar de las inversiones de tiempo y dinero, la mayoría de los directores (65%) aún considera que sus organizaciones corren riesgo de sufrir un ciberataque material en los próximos 12 meses, y casi la mitad cree que no están preparados para hacer frente a un ataque dirigido. Lamentablemente, esta creciente conciencia del riesgo cibernético no se traduce en una mejor preparación. En este artículo, detallaremos varias formas en que las empresas pueden comenzar a desarrollar una mayor conciencia en ciberseguridad.
La falta de interacción de los consejos con el CISO
Solo el 69% de los miembros del consejo que respondieron la encuesta tienen una visión alineada con sus directores de seguridad de la información (CISO, por sus siglas en inglés). Menos de la mitad (47%) de los miembros participan en consejos que interactúan regularmente con sus CISO, y casi un tercio de ellos solo ven a sus CISO en presentaciones ante el consejo. Esto significa que los directores y los líderes de seguridad pasan muy poco tiempo juntos para mantener un diálogo significativo sobre las prioridades y estrategias de ciberseguridad. Además, nuestra investigación encontró que si bien el 65% de los miembros del consejo considera que su organización corre riesgo de sufrir un ciberataque material, solo el 48% de los CISO comparte esa opinión. Esta brecha de comunicación y la falta de alineación entre el consejo y el CISO obstaculizan el progreso en ciberseguridad.
Nuestros hallazgos sugieren que la desconexión entre el consejo y el CISO se ve agravada por su falta de familiaridad personal (no pasan suficiente tiempo juntos para conocerse y comprender sus actitudes y prioridades de manera productiva). También contribuye a esta desconexión la dificultad del CISO para traducir la jerga técnica al lenguaje empresarial, como riesgo, reputación y resiliencia.
Centrarse en la protección cuando deberían centrarse en la resiliencia
A pesar del alto riesgo percibido, nuestra encuesta encontró que el 76% de los miembros del consejo considera que han realizado inversiones adecuadas en protección cibernética. Además, el 87% espera que sus presupuestos de ciberseguridad aumenten en los próximos 12 meses.
Sin embargo, es posible que sus inversiones no estén dirigidas a las áreas correctas. En una reunión típica del consejo, las presentaciones sobre ciberseguridad suelen abordar las amenazas y las acciones/tecnologías que la empresa está implementando para protegerse de ellas. Por ejemplo, en muchas reuniones del consejo, el tema principal es la frecuencia con la que la empresa realiza pruebas de phishing y los resultados estadísticos. En nuestra opinión, esa es la perspectiva equivocada para la supervisión del consejo. Sabemos que no podemos estar completamente protegidos, sin importar cuánto dinero invirtamos en tecnologías o programas para detener los ciberataques. Si bien es crítico destinar recursos para proteger nuestros activos, limitar las discusiones a la protección nos prepara para el desastre.
En cambio, la conversación debe centrarse en la resiliencia. Debemos asumir, con fines de planificación, que experimentaremos algún tipo de ciberataque y preparar nuestras organizaciones para responder y recuperarse con un daño, costos e impacto reputacional mínimos. Por ejemplo, en lugar de entrar en detalles en una reunión del consejo sobre cómo nuestra organización está preparada para responder a un incidente, debemos enfocarnos en cuál es el mayor riesgo y cómo estamos preparados para recuperarnos rápidamente del daño en caso de que ocurra esa situación.
Para cambiar su enfoque hacia la resiliencia como objetivo principal de la ciberseguridad, los directores podrían pedir a sus líderes operativos que creen una visión sobre cómo la empresa responderá y se recuperará cuando ocurra un ataque. La minimización de la posibilidad de un ciberataque exitoso debe ser solo el objetivo secundario.
Los consejos ven la ciberseguridad como un tema técnico, pero se ha convertido en un imperativo organizativo y estratégico
Solo el 67% de los miembros del consejo cree que el error humano es su mayor vulnerabilidad en ciberseguridad, a pesar de que los hallazgos del Foro Económico Mundial indican que el error humano representa el 95% de los incidentes de ciberseguridad. Esto podría ser un indicador de que algunos consejos no ven el riesgo organizativo al que se enfrentan. Además, la mitad de los participantes de la encuesta valoran principalmente la experiencia en ciberseguridad del CISO, seguida de la experiencia técnica (44%) y la gestión de riesgos (38%). Esto sugiere que, aunque los temas de ciberseguridad pueden haber llegado a la agenda, el consejo aún los considera como problemas técnicos.
Cuando los consejos ven la ciberseguridad solo como un tema técnico, se convierte en un tema demasiado operativo para su atención en las reuniones. El tiempo es limitado en las reuniones del consejo, lo que dificulta cubrir todas las sutilezas necesarias para una supervisión adecuada. Los directores pueden evitar hacer preguntas difíciles porque sienten que no tienen suficiente conocimiento sobre los conceptos técnicos para articular adecuadamente la pregunta o incluso comprender la respuesta. Ver la ciberseguridad como un problema organizativo cambia la discusión de un desafío técnico a un desafío de gestión. Cuando la ciberseguridad se ve como un imperativo estratégico organizativo, se vuelve relevante para su discusión a nivel de consejo.
Los consejos deben hacer preguntas como: «¿Cuál es el riesgo técnico para nuestro negocio debido a posibles incidentes de ciberseguridad?», «¿Qué estamos haciendo para mitigar cualquier daño resultante de la materialización de ese riesgo?», «¿Cuál es el riesgo organizativo derivado de posibles incidentes cibernéticos y qué estamos haciendo para recuperarnos rápidamente de las consecuencias?» y «¿Cuál es el riesgo en la cadena de suministro derivado de posibles incidentes de ciberseguridad y qué estamos haciendo al respecto para no perder un día de producción?».
La composición de la mayoría de los consejos en la actualidad crea una vulnerabilidad adicional cuando podría generar una supervisión más sólida
Muchos de los consejos que estudiamos están compuestos por ejecutivos con mucha experiencia, ya sea retirados o no, que tienen amplia experiencia en operaciones, finanzas, ventas y sus respectivas industrias. Sin embargo, pocos tienen conocimientos o experiencia en ciberseguridad. En 2022, la SEC propuso recomendaciones más explícitas para la gestión de riesgos, gobernanza y divulgación de la ciberseguridad en las empresas públicas, y se espera que estas propuestas se conviertan en requisitos. Esto significa que los consejos deben tener una supervisión más clara del riesgo de ciberseguridad e incluir conocimientos explícitos en ciberseguridad en el consejo.
Muchos de los ejecutivos antiguos eran líderes antes del entorno actual de ciberseguridad y es posible que no tengan experiencia ni enfoques para adquirir esa experiencia en sus consejos. No se trata de que sean ejecutivos inadecuados para ser directores sin esa experiencia, pero el consejo en su conjunto debe desarrollar esta experiencia. Los directores deben aportar más que solo conocimientos técnicos a la sala del consejo. También deben comprender el entorno, las estructuras financieras, los compromisos y el portafolio de riesgos comerciales. Encontrar nuevos miembros del consejo que aporten la combinación adecuada de experiencia en ciberseguridad y acumen empresarial es un desafío.
Para llevar la experiencia en ciberseguridad a la sala del consejo, es posible que sea necesario cambiar la composición del consejo. Los miembros del consejo pueden adquirir experiencia en ciberseguridad a través de conversaciones frecuentes sobre riesgos generados por la ciberseguridad, programas de capacitación y desarrollo, y agregar colegas con antecedentes empresariales y profesionales radicalmente diferentes a los miembros actuales del consejo.
No mostrar que la ciberseguridad es una prioridad para el consejo envía un mensaje no deseado
Nuestra investigación encontró que casi una cuarta parte de los consejos no considera la ciberseguridad como una prioridad, y muchos ni siquiera la discuten regularmente. Algunos consejos solo tienen una presentación de actualización sobre ciberseguridad al año, y esa presentación suele centrarse en qué tan protegida está la organización. Eso no es adecuado.
Hacer de la ciberseguridad una prioridad para el consejo es un compromiso, no solo una actualización anual. Significa hablar de ello en cada reunión del consejo, recibir actualizaciones entre reuniones, hacer preguntas más allá de las métricas de cumplimiento y comprender los riesgos comerciales derivados de posibles incidentes cibernéticos. Mostrar que la ciberseguridad es una prioridad para el consejo envía un mensaje claro a toda la organización de que es importante y se debe tomar en serio.
Conclusión:
La ciberseguridad es un desafío cada vez más crítico y complejo para las organizaciones, y los consejos directivos desempeñan un papel fundamental en la supervisión y dirección estratégica. Sin embargo, la falta de enfoque y familiaridad de los consejos con la ciberseguridad ha creado brechas en la preparación y la supervisión efectiva. Los consejos deben establecer una mejor comunicación y alineación con los CISO, centrarse en la resiliencia en lugar de solo la protección, reconocer la importancia estratégica y organizativa de la ciberseguridad, buscar la experiencia adecuada en ciberseguridad en la composición del consejo y demostrar que la ciberseguridad es una prioridad constante. Al hacerlo, los consejos podrán brindar una supervisión más efectiva y ayudar a sus organizaciones a ser más resilientes ante los desafíos de la ciberseguridad.
Con información de HBR