¿Está preparada su junta para la nueva normativa sobre ciberseguridad?

Los consejos de administración están prestando ahora atención a la necesidad de participar en la supervisión de la ciberseguridad. No sólo las consecuencias están suscitando preocupación, sino que las nuevas normativas están subiendo la apuesta y cambiando el juego. Los consejos de administración tienen un papel especialmente importante a la hora de garantizar una gestión adecuada del riesgo cibernético como parte de su función fiduciaria y de supervisión. A medida que aumentan las amenazas cibernéticas y las empresas de todo el mundo refuerzan sus presupuestos de ciberseguridad, la comunidad reguladora, incluida la SEC, está avanzando nuevos requisitos que las empresas tendrán que conocer a medida que refuerzan su estrategia cibernética. La mayoría de las organizaciones que hemos estudiado se centran en la ciberprotección más que en la ciberresiliencia, y creemos que eso es un error. La resiliencia es algo más que protección; es un plan para la recuperación y la continuación del negocio. Ser resistente significa que ha hecho todo lo posible para proteger y detectar un incidente cibernético, y también ha hecho todo lo posible para asegurarse de que puede seguir funcionando cuando se produce un incidente. Una empresa que sólo invierte en protección no está gestionando el riesgo asociado a volver a ponerse en marcha en caso de incidente cibernético. Nuestra investigación indica que la mayoría de los miembros de los consejos de administración creen que no es una cuestión de si su empresa sufrirá un ciberincidente, sino de cuándo lo hará. El objetivo último de una organización ciberresiliente sería que no se produjera ninguna disrupción como consecuencia de una brecha cibernética. Eso hace que el enfoque en la resiliencia sea más importante. La nueva normativa de la SEC cambiará el papel de la junta directiva En marzo de 2022, la SEC publicó una propuesta de norma titulada Gestión de riesgos de ciberseguridad, estrategia, gobernanza y divulgación de incidentes. En ella, la SEC describe su intención de exigir a las empresas que cotizan en bolsa que revelen si sus consejos de administración cuentan con miembros expertos en ciberseguridad: "La ciberseguridad ya se encuentra entre las principales prioridades de muchos consejos de administración y los incidentes de ciberseguridad y otros riesgos se consideran una de las mayores amenazas para las empresas. En consecuencia, los inversores pueden encontrar importante la divulgación de si alguno de los miembros del consejo tiene experiencia en ciberseguridad a medida que consideran su inversión en el registrante, así como sus votos en la elección de directores del registrante." La SEC pronto exigirá a las empresas que revelen sus capacidades de gobernanza en materia de ciberseguridad, incluida la supervisión del riesgo cibernético por parte del consejo, una descripción del papel de la dirección en la evaluación y gestión de los riesgos cibernéticos, la experiencia pertinente de dicha dirección y el papel de la dirección en la aplicación de las políticas, procedimientos y estrategias de ciberseguridad del registrante. Específicamente, cuando sea pertinente para la supervisión del consejo, los registrantes estarán obligados a revelar: si todo el consejo, un miembro específico del consejo o un comité del consejo es responsable de la supervisión de los riesgos cibernéticos, los procesos mediante los cuales se informa al consejo sobre los riesgos cibernéticos, y la frecuencia de sus debates sobre este tema, si la junta o un comité específico de la junta considera los riesgos cibernéticos como parte de su estrategia empresarial, gestión de riesgos y supervisión financiera, y cómo lo hace. La buena noticia es que los consejos de administración están haciendo progresos en este ámbito. Una investigación reciente que realizamos con el socio de investigación Proofpoint mostró que casi dos tercios de los miembros de las juntas directivas creen que la organización está en riesgo de sufrir un ciberataque material. Casi tres cuartas partes de los encuestados consideran que la inversión que su organización ha realizado en ciberseguridad es adecuada, y casi la misma cantidad cree que la ciberseguridad es una prioridad máxima. El 76% informó de que los asuntos de ciberseguridad se discuten en cada reunión de la junta directiva, o con mayor frecuencia. Sin embargo, nuestra investigación también descubrió actitudes y creencias que deben cambiar. Sólo el 23% de los miembros de las juntas directivas piensa que el riesgo de un ataque a su organización es muy probable. Alrededor del 47% cree que su organización no está preparada para un ciberataque, lo que lleva a preguntarse "¿qué están haciendo al respecto?". Y cerca de un tercio de los miembros de la junta directiva dicen que interactúan con el CISO sólo cuando éste se presenta ante la junta. Está claro que hay margen de mejora para alinear a los miembros de la junta con las prioridades de ciberseguridad de la organización. Ajuste de la actitud de ciberseguridad de los miembros de la junta directiva Para proporcionar una supervisión adecuada y cumplir con el entorno normativo, los miembros de la junta van a tener que subir su juego de ciberseguridad. Ya no basta con oír hablar de las protecciones implantadas o de los resultados del último ejercicio de phishing. Los miembros de la junta directiva deben adoptar la postura de que los ciberataques son probables, y ejercer su función de supervisión para garantizar que los ejecutivos y directivos han hecho los preparativos adecuados y apropiados para responder y recuperarse. Después de todo, si asumimos que toda organización tiene un riesgo probable de ser vulnerada o atacada, y que no es posible estar protegido al 100% de todos los ataques, el enfoque más racional es asegurarse de que la organización puede recuperarse con poco o ningún daño a las operaciones, a la cuenta de resultados financieros y a la reputación de la organización. Construir resiliencia en una organización requiere una supervisión adecuada desde la sala de juntas basada en un plan claro construido sobre un análisis empresarial y económico. He aquí algunas historias sobre cómo lo han hecho las empresas que hemos estudiado. El CEO de una empresa de servicios financieros se dio cuenta de que su junta directiva no conocía bien el contexto empresarial ni el riesgo de exposición financiera de un ciberataque. Contrató a una consultora externa para que llevara a cabo una evaluación de la madurez de la ciberseguridad. El CISO de la empresa presentó los resultados del informe al subcomité de gestión de riesgos empresariales, creando un diálogo productivo en torno al impacto empresarial y financiero de las diferentes inversiones en ciberseguridad. Las hipótesis sobre la inversión en diferentes niveles de madurez ayudaron a la junta a comprender las compensaciones financieras/riesgo y les proporcionaron tanto el lenguaje como la perspectiva necesarios para llevar a cabo la necesaria supervisión de los planes de ciberseguridad ofrecidos por el equipo ejecutivo. Otra organización centró a su junta en la alineación de su programa de ciberseguridad y el riesgo operativo. El CISO, en colaboración con el director de riesgos, aprovechó los análisis financieros para ayudar a salvar la distancia entre la exposición cibernética y las pérdidas operativas. La junta fue capaz de entender la exposición de la organización desde una perspectiva de riesgo, lo que resultó en la optimización de su póliza de seguro cibernético como una forma de mitigar el riesgo recién entendido. Al utilizar el lenguaje del riesgo, la resiliencia y la reputación en las discusiones sobre ciberseguridad con los miembros de la junta directiva, los ejecutivos operativos son capaces de salvar las distancias que a menudo se producen entre las necesidades técnicas vistas para satisfacer las necesidades de ciberseguridad, y las responsabilidades de supervisión ejecutadas por las juntas directivas. Tal vez esto fue mejor articulado por Peter R. Gleason, el presidente y CEO de la Asociación Nacional de Directores Corporativos (NACD), cuando dijo: "Hemos escuchado de muchos directores la necesidad de comprender la exposición financiera resultante del riesgo cibernético, yendo más allá de las presentaciones cibernéticas técnicas centradas en las amenazas que la mayoría de las juntas reciben." A medida que confiamos cada vez más en que los consejos extiendan sus responsabilidades fiduciarias a los planes de ciberseguridad, los directores operativos también deben asumir un papel presentando esos planes de forma que se ajusten a la mejor manera de contribuir de los consejos. Cumplir con los nuevos requisitos reglamentarios puede lograrse mejor alineando la forma en que los líderes operativos discuten la ciberseguridad con sus juntas directivas. Aumente los conocimientos sobre ciberseguridad en su sala de juntas He aquí algunas ideas prácticas para empezar hoy mismo, de modo que su consejo cumpla (o supere) las nuevas directrices de la SEC y proporcione el nivel adecuado de supervisión a los planes de ciberseguridad: 1. Desarrolle un lenguaje común para debatir las complejas cuestiones del riesgo y la resistencia cibernéticos. Las juntas directivas quieren simplificar las discusiones confusas y técnicas, cargadas de términos matizados sobre seguridad. No es que éstos carezcan de importancia, simplemente no son tan eficaces para la junta como un análisis económico que muestre cómo los ciberataques ponen en peligro financiero a las organizaciones a corto y largo plazo y cómo la organización volverá a estar en funcionamiento, es decir, resiliente. Nuestra investigación muestra que las compañías de seguros están tomando la iniciativa en este sentido, ya que están cambiando la conversación sobre ciberseguridad de una altamente técnica y ambigua a una en la que las empresas pueden comprender y gestionar eficazmente su exposición financiera. 2. Mantenga la ciberresiliencia en la agenda del consejo y en las conversaciones con la dirección. Nuestra investigación indica que los consejos están oyendo hablar de ciberseguridad a la dirección, pero las discusiones deben tener lugar más a menudo. No se trata de una decisión del tipo "una y ya está"; es un objetivo en continuo cambio y movimiento. Cuanto más a menudo se exponga la junta a la situación cibernética de su organización, más cómoda y experta se sentirá. 3. Construya puentes más amplios entre los ejecutivos de ciberseguridad y los miembros de la junta. Los miembros de la junta directiva deben tener acceso a los expertos en ciberseguridad de la organización y relaciones con ellos. Aunque invitar a los CISO a informar a la junta ayuda con la identidad, no crea conexiones sólidas entre los miembros de la junta y los ejecutivos de seguridad. Encuentre formas de facilitar esta relación. En nuestra investigación, hemos visto cómo los miembros de la junta se ponían en contacto con los CISO entre las reuniones de la junta para hablar de los titulares de ciberseguridad, para compartir incidentes personales que pudieran ocurrir y simplemente para conocerse mejor. De ese modo, cuando hay una necesidad urgente de que la junta opine sobre una situación de ciberseguridad, la relación ya está establecida y las discusiones son más relevantes y transparentes. Un incidente cibernético no es el momento de tender el puente; eso debería ocurrir mucho antes de que tengan que tener lugar las conversaciones difíciles. La educación de la junta directiva para cumplir los requisitos de la SEC puede producirse de forma orgánica si tanto la junta directiva como los ejecutivos operativos modifican ligeramente su enfoque. Pensar en términos de resiliencia en lugar de protección, equilibrar los riesgos empresariales y técnicos, discutir la ciberseguridad en términos de exposiciones financieras y aumentar la frecuencia de las discusiones sobre el panorama de la ciberseguridad al que se enfrenta la organización, ayudará a los directores de los consejos a prepararse y cumplir las normas de la SEC que probablemente llegarán. Y eso contribuirá en gran medida a aumentar la resistencia de la organización.

¿Está preparada su junta para la nueva normativa sobre ciberseguridad?

Resumen.

Partner Center