Los consejos de administración mantienen conversaciones equivocadas sobre ciberseguridad

Las juntas directivas que luchan con su papel en la supervisión de la ciberseguridad crean un problema de seguridad para sus organizaciones. Aunque las juntas directivas digan que la ciberseguridad es una prioridad, tienen un largo camino por recorrer para ayudar a sus organizaciones a ser resilientes a los ciberataques. Y al no centrarse en la resiliencia, los consejos fallan a sus empresas. Hemos encuestado a 600 miembros de consejos de administración sobre sus actitudes y actividades en torno a la ciberseguridad. Nuestra investigación muestra que, a pesar de las inversiones de tiempo y dinero, la mayoría de los directores (65%) siguen creyendo que sus organizaciones corren el riesgo de sufrir un ciberataque material en los próximos 12 meses, y casi la mitad creen que no están preparados para hacer frente a un ataque dirigido. Por desgracia, esta creciente concienciación sobre el riesgo cibernético no está impulsando una mejor preparación. En este artículo detallamos varias formas en que las empresas pueden empezar a desarrollar una mejor concienciación sobre la ciberseguridad. Faltan interacciones de la junta directiva con el CISO Sólo el 69% de los miembros de las juntas directivas que respondieron al cuestionario se ven cara a cara con sus directores de seguridad de la información (CISO). Menos de la mitad (47%) de los miembros forman parte de juntas que interactúan con sus CISO con regularidad, y casi un tercio de ellos sólo ven a sus CISO en las presentaciones de la junta. Esto significa que los directores y los líderes de seguridad no pasan ni mucho menos el tiempo suficiente juntos para mantener un diálogo significativo sobre las prioridades y estrategias de ciberseguridad. Además, nuestra investigación descubrió que mientras el 65% de los miembros de la junta directiva piensan que su organización está en riesgo de sufrir un ciberataque material, sólo el 48% de los CISO comparten esa opinión. Esta brecha en la comunicación y la falta de alineación entre la junta directiva y el CISO obstaculiza el progreso en ciberseguridad. Nuestros hallazgos sugieren que la desconexión entre los CISO y la junta directiva se ve exacerbada por su desconocimiento mutuo a nivel personal (no pasan suficiente tiempo juntos para conocerse y conocer sus actitudes y prioridades de una forma productiva). También contribuye a esta desconexión la dificultad del CISO para traducir la jerga técnica al lenguaje empresarial, como riesgo, reputación y resiliencia. Para forjar alianzas estratégicas con los CISO, el compromiso director-CISO entre las reuniones de la junta permitiría a los directores hacer mejores preguntas y entender las respuestas que reciben. Los consejos de administración se centran en la protección cuando deberían centrarse en la resistencia A pesar del elevado riesgo percibido, nuestra encuesta reveló que el 76% de los miembros de los consejos de administración cree haber realizado inversiones adecuadas en ciberprotección. Además, el 87% espera que sus presupuestos de ciberseguridad aumenten en los próximos 12 meses. Sin embargo, sus inversiones pueden no estar en las áreas adecuadas. En una reunión típica de la junta directiva, las presentaciones sobre ciberseguridad suelen cubrir las amenazas y las acciones/tecnologías que la empresa está implementando para protegerse contra ellas. Por ejemplo, en muchas reuniones de la junta directiva, el tema principal es la frecuencia con la que la empresa administra una prueba de phishing y los resultados estadísticos. Para nosotros, esa es la perspectiva equivocada para la supervisión de la junta. Sabemos que no podemos estar completamente protegidos, por mucho dinero que invirtamos en tecnologías o programas para detener los ciberataques. Aunque gastar recursos para proteger nuestros activos es fundamental, limitar los debates a la protección nos aboca al desastre. En su lugar, la conversación debe centrarse en la resiliencia. Debemos asumir, a efectos de planificación, que experimentaremos un ciberataque de algún tipo, y preparar a nuestras organizaciones para responder y recuperarse con el mínimo daño, coste e impacto en la reputación. Por ejemplo, en lugar de entrar en detalles en una reunión de la junta directiva sobre cómo está preparada nuestra organización para responder a un incidente, debemos centrarnos en cuál podría ser el mayor riesgo y cómo estamos preparados para recuperarnos rápidamente de los daños en caso de que se produzca esa situación. Para cambiar su enfoque hacia la resiliencia como objetivo principal de la ciberseguridad, los directores podrían pedir a sus líderes operativos que creen una visión de cómo responderá y se recuperará la empresa cuando se produzca un ataque. La minimización de la posibilidad de un ciberataque exitoso en primer lugar debería ser sólo el objetivo secundario. Los consejos de administración ven la ciberseguridad como un tema técnico, pero se ha convertido en un imperativo organizativo y estratégico Sólo el 67% de los miembros de las juntas directivas cree que el error humano es su mayor vulnerabilidad cibernética, aunque las conclusiones del Foro Económico Mundial indican que el error humano es responsable del 95% de los incidentes de ciberseguridad. Esto podría ser un indicador de que algunos consejos no ven el riesgo organizativo al que se enfrentan. Además, la mitad de los participantes en la encuesta valoran más la experiencia en ciberseguridad del CISO, seguida de la experiencia técnica (44%) y la gestión de riesgos (38%). Esto sugiere que, aunque los temas de ciberseguridad hayan entrado en la agenda, la junta directiva sigue viéndolos como cuestiones técnicas. Cuando los consejos ven la ciberseguridad sólo como un tema técnico, se convierte en un tema demasiado operativo para que se le preste atención en sus reuniones. El tiempo es limitado en las reuniones de la junta directiva, lo que dificulta cubrir todos los matices necesarios para una supervisión adecuada. Los directores pueden rehuir hacer preguntas difíciles porque creen que no conocen lo suficiente los conceptos técnicos para articular adecuadamente la pregunta o incluso para entender la respuesta. Ver la ciberseguridad como una cuestión organizativa cambia la discusión de un reto técnico a uno de gestión. Cuando la ciberseguridad se ve como un imperativo estratégico de la organización, se vuelve relevante para la discusión a nivel de junta directiva. Las juntas deberían plantearse preguntas como: "¿Cuál es el riesgo técnico para nuestro negocio de los posibles incidentes de ciberseguridad?". "¿Qué estamos haciendo para atemperar cualquier daño resultante de la materialización de ese riesgo?". "¿Cuál es el riesgo organizativo de posibles incidentes cibernéticos y qué estamos haciendo para recuperarnos rápidamente de las consecuencias?". Y, "¿Cuál es el riesgo para la cadena de suministro derivado de posibles incidentes de ciberseguridad y qué estamos haciendo al respecto para no perder ni un día de producción?" La composición actual de la mayoría de los consejos crea una vulnerabilidad adicional cuando podría crear una supervisión más fuerte Muchos consejos de administración que hemos estudiado están compuestos por ejecutivos muy veteranos, jubilados o no, que tienen una amplia experiencia en operaciones, finanzas, ventas y en sus sectores. Pero pocos tienen conocimientos o experiencia en ciberseguridad. En 2022, la SEC propuso recomendaciones más explícitas para la gestión de riesgos de ciberseguridad, gobernanza y divulgación para las empresas públicas, y se espera que estas propuestas se conviertan en requisitos. Eso significa que los consejos de administración deben tener una supervisión más clara del riesgo de ciberseguridad e incluir conocimientos explícitos de ciberseguridad en el consejo. Muchos antiguos ejecutivos eran líderes antes del actual entorno de ciberseguridad, y puede que no aporten experiencia, o incluso un enfoque para obtener esa experiencia, a sus consejos. No es que sean ejecutivos inapropiados para servir como directores sin esa experiencia, pero la junta debe desarrollar esta experiencia en su conjunto. Los directores deben aportar algo más que conocimientos técnicos a la sala de juntas. También deben comprender el entorno, las estructuras financieras, las compensaciones y la cartera de riesgos empresariales. Encontrar nuevos miembros de la junta que aporten la mezcla adecuada de experiencia en ciberseguridad y perspicacia empresarial es todo un reto. Para llevar la experiencia en ciberseguridad a la sala de juntas, puede que sea necesario cambiar la composición de la junta. Es posible que los miembros de la junta tengan que adquirir experiencia en ciberseguridad a través de conversaciones frecuentes sobre los riesgos generados por la ciberseguridad, formación y programas de desarrollo, y añadir colegas con antecedentes empresariales y profesionales radicalmente diferentes a los de los actuales miembros de la junta. No mostrar que la ciberseguridad es una prioridad para el consejo envía un mensaje no deseado Nuestra investigación descubrió que casi una cuarta parte de las juntas directivas no consideran la ciberseguridad como una prioridad, y muchas ni siquiera debaten el tema con regularidad. Algunas juntas sólo tienen una presentación de actualización de ciberseguridad al año, y esa presentación suele centrarse en lo protegida que está la organización. Eso no es adecuado. Hacer de la ciberseguridad una prioridad para la junta directiva es un compromiso, no una mera actualización anual. Significa hablar de ello en cada reunión de la junta, recibir actualizaciones entre reuniones, hacer preguntas al margen de lo que se presenta y tomar un interés personal (como ser seguros ellos mismos, plantear cuestiones cibernéticas y/o compartir historias, convertir en héroes a aquellos que muestran los comportamientos que la junta quiere ver, etc.). Por ejemplo, ¿qué mensaje se enviaría a la dirección ejecutiva de la organización si, en cada reunión de la junta, los miembros reconocieran a un "héroe" ejemplar que hubiera hecho personalmente algo para aumentar la resistencia/seguridad de la empresa? Por otro lado, si la junta directiva no sube su nivel mostrando lo importante que es para ellos la ciberseguridad, intencionadamente o no, están comunicando que la ciberseguridad no es una prioridad. Las acciones personales de los directores envían mensajes a los altos dirigentes. Al hacer de la ciberseguridad una prioridad personal mediante acciones e inversión de tiempo y atención, los directores muestran lo importante que es. Los consejos de administración saben que deben hacer algo diferente. Las recomendaciones de la SEC codificarían ese conocimiento. Los titulares destacan cada vez más las consecuencias de unas prácticas de ciberseguridad deficientes. Los miembros de las juntas directivas con experiencia en ciberseguridad intentan llamar la atención de sus compañeros sobre el tema. Y los miembros de las juntas quieren supervisar, aunque no tengan las preguntas adecuadas que hacer. Las juntas directivas necesitan discutir los riesgos inducidos por la ciberseguridad de su organización y evaluar los planes para gestionar esos riesgos. Con las conversaciones adecuadas sobre cómo mantener la empresa resistente, pueden dar el siguiente paso para proporcionar una supervisión adecuada de la ciberseguridad.

Los consejos de administración mantienen conversaciones equivocadas sobre ciberseguridad

Resumen.

Partner Center