Un liderazgo empresarial unido frente al panorama de amenazas cibernéticas.

Capítulo 1

Presupuesto en ciberseguridad

Las organizaciones saben que los riesgos relacionados al ciberdelito van en aumento. Los atacantes son cada vez más sofisticados, sondean nuestros sistemas y redes buscando vulnerabilidades. Incluso hoy existe una marcada tendencia de ataques sobre infraestructuras industriales (IoT, OT, y otras). Cualquiera sea el motivo, desde un servidor desprotegido hasta una falla en el código que controla el acceso a las carteras criptográficas, los ciberdelincuentes utilizan todos los medios a su disposición, tanto tradicionales como ultra sofisticados, para explotarlos. Las consecuencias de un ataque aumentan a medida que las interdependencias de nuestros sistemas se vuelven cada vez más complejas.

Las infraestructuras críticas son especialmente vulnerables y muchos de los ciberataques que estamos viendo todavía se pueden prevenir con prácticas de ciberseguridad sólidas y controles estrictos.

El 65% de las organizaciones en el mundo prevé aumentar sus inversiones en ciberseguridad para 2023, para la región de Latinoamérica la previsión de aumento es del orden del 66% y en el caso de Argentina corresponde a un 48%.

A nivel global, más de una cuarta parte (23%) estima un aumento del gasto cibernético de entre un 6 y 10%, mientras que en Latinoamérica la cifra es mayor (20%) y para los encuestados en el país es del 11%.

Solo el 13% indicó un gasto igual al del año pasado (a nivel global), en tanto que para Latinoamérica dicha opción representó un 11% y para los respondientes argentinos fue del 20%.

Al ser consultados, ¿en qué medida las siguientes afirmaciones, representan el presupuesto de ciberseguridad de la organización para los próximos 12 meses?

Está alineado con la estrategia del negocio, refleja las prioridades cyber, y está equilibrado entre las necesidades actuales y a largo plazo fueron las tres afirmaciones que más alto rankearon para los ejecutivos argentinos (gráfico 2)

Capítulo 3

Responsables por áreas

Diversos países cuentan con legislaciones que prevén el reporte obligatorio de incidentes de seguridad de la información, al menos en situaciones críticas. Esto genera dudas en las estructuras directivas de las diferentes corporaciones que tienen la disyuntiva que por un lado, informar los ataques implica exponer sus condiciones de vulnerabilidad, con las consecuencias inmediatas en el negocio, o reservarse dichos ataques aunque el costo sea alto, lo que daña el trabajo conjunto para mitigar posibles concatenaciones de eventos en otras organizaciones.

Incluso antes que este planteamiento existe otro que habla de la responsabilidad de la gestión de dichos incidentes por roles de la organización. Esto implica variaciones en cuanto a quién es el responsable y de qué acciones, en cada organización como lo demuestran las cifras a continuación.

Es relevante en el gobierno corporativo de la seguridad tener muy claro los roles y responsabilidades de cada parte y función específica en referencia a la seguridad de la información.

Tanto los encuestados a nivel global, América Latina y Argentina coincidieron en que garantizar que todos los empleados que no se dedican a la ciberseguridad comprendan las posibles consecuencias de sus acciones, marcará la mayor diferencia en la transformación de la ciberseguridad en su organización en los próximos 12 a 18 meses (tabla 8)

Conclusiones

Entendemos que de cada uno de los aspectos que analizamos en esta encuesta se desprende que los recursos (presupuesto, especialistas, capacitación, etc.), y las segregaciones de funciones (roles de la gestión de la seguridad de la información), son una tendencia importante y relevante pero necesita rápidamente alinearse a la demanda de las estrategias del negocio, porque es la única y más eficiente manera de enfrentar las amenazas y minimizar el impacto.

Es crucial para las organizaciones, entender que además de estar preparadas para el enfrentamiento directo con las amenazas mediante la gestión de los incidentes, deberán poder ofrecer contingencia y tratamiento a los ataques, es decir contar con una resiliencia organizacional acorde a las líneas de negocio y estrategias comerciales.

No basta con evitar, sino estar preparados para un escenario desalentador. Prever, planificar y organizar, actuar en las situaciones, pero también ser resilientes. Es por ello que tiene un papel fundamental la capacitación y la concientización, tanto de los colaboradores de las organizaciones , como de sus aliados estratégicos comerciales, operativos o proveedores de servicios como parte de las cadenas de servicio.

La capacitación del staff, los directivos y de los equipos de respuesta para crisis debe ser permanente.

Asimismo, la inclusión de un rol clave en todo el negocio, hasta ahora casi desapercibido, el cliente, puesto que se están intensificando los ciberataques con base en la ingeniería social, dirigidos a los clientes de las organizaciones y han desarrollado tácticas efectivas que en definitiva afectan a las empresas, por lo que será necesario también mantener a los clientes informados y capacitados.

La digitalización convierte a la seguridad en un asunto de todos. El futuro promete más sistemas conectados con una cantidad de datos exponencialmente más alta, así como adversarios más organizados. 

Los acontecimientos críticos pueden impulsar la colaboración al aumentar la conciencia acerca de las consecuencias negativas que se derivan de un único incidente, con un efecto dominó desde los sectores operativos hasta el nivel directivo de la empresa, e instar a todos los directivos de alto nivel a actuar en conjunto. Como resultado, los directivos han reafirmado su decisión de mejorar en materia de ciberseguridad y privacidad. Y para lograrlo, están empezando a comprender la necesidad de adoptar un esquema coordinado de trabajo. Este esquema tiene como centro al CISO, autorizado por el CEO a colaborar y defender a la empresa de los ataques cibernéticos y orquestar una mejor estrategia de ciberseguridad de cara al futuro.