A medida que innovaciones tecnológicas como la computación en la nube, el Internet de las cosas, la automatización de procesos robóticos y el análisis predictivo se integran en las organizaciones, las hace cada vez más susceptibles a las amenazas cibernéticas. Las empresas Fortune 1000, por ejemplo, tienen un 25% de probabilidad de sufrir una vulneración, y el 10% de ellas afrontarán pérdidas multimillonarias. En las empresas más pequeñas, el 60% quedará fuera del negocio a los seis meses de un ciberataque grave. Esto significa que gobernar y evaluar los riesgos cibernéticos se convierte en un requisito previo para un desempeño empresarial exitoso, y que los inversores necesitan saber cuán vulnerables son realmente las empresas.
Esta necesidad de transparencia ha sido reconocida por los reguladores y facilitada por las nuevas normas de ciberseguridad. Actualmente, la Comisión de Bolsa y Seguridad de EE.UU. (SEC) ha aumentado su aplicación para garantizar que las empresas mantengan controles de ciberseguridad adecuados y divulguen adecuadamente los riesgos e incidentes relacionados con la ciberseguridad.
Desafortunadamente, nuestra investigación muestra que el riesgo cibernético no es fácil de entender. Las organizaciones a menudo parecen subestimar las pérdidas financieras relacionadas con las amenazas cibernéticas. Estos pueden incluir:
-
- Efectos inmediatos, como interrupciones comerciales, disminuciones en la producción y retrasos en el lanzamiento de productos, así como costos adicionales para recuperarse de un ataque.
- Consecuencias a largo plazo, como daños a la competitividad de la empresa y pérdida de reputación, así como pérdida de ingresos por robo de propiedad intelectual, robo de datos o uso no autorizado de información patentada.
- También existen riesgos legales que resultan de descuidar, por ejemplo, las obligaciones de resiliencia cibernética en productos y servicios, informes de violaciones, salvaguardia de datos confidenciales o protección de infraestructura crítica.
Sin embargo, no hay un camino sencillo a seguir. Invertir excesivamente en gestión de riesgos cibernéticos o en estrategias de gestión de riesgos que no se alinean con las necesidades del negocio puede tener impactos igualmente negativos. Este artículo explica la importancia de las nuevas reglas de ciberseguridad de la SEC y aborda los cuatro temas esenciales que los inversores deben discutir con la junta para evaluar la efectividad a largo plazo de la estrategia de gestión de riesgos cibernéticos de sus empresas.
Transparencia en la gobernanza del riesgo cibernético
Ser transparente en materia de ciberseguridad no es sólo una buena práctica, sino que ahora es un requisito para las empresas estadounidenses. Las nuevas reglas de ciberseguridad de la SEC “exigen que las empresas que cotizan en bolsa revelen sus capacidades de gobernanza de la ciberseguridad, incluida la supervisión del riesgo cibernético por parte de la junta, una descripción del papel de la administración en la evaluación y gestión de los riesgos cibernéticos, la experiencia relevante de dicha administración y el papel de la administración en la implementación de la políticas, procedimientos y estrategias de ciberseguridad de la empresa”.
Este tipo de divulgación permite a los inversores evaluar la atención de los ejecutivos y líderes empresariales a los riesgos cibernéticos. Los consejos de administración deben comprender cómo estas amenazas pueden causar daños materiales. Por ejemplo, el ataque de ransomware a Hanesbrands interrumpió el cumplimiento de pedidos durante tres semanas, provocando una pérdida de ingresos de 100 millones de dólares. Otro ejemplo es la interrupción de TI causada por un ciberataque en Tenet Healthcare, que también resultó en una pérdida de ingresos de 100 millones de dólares. Y la violación de Kaseya VSA fue el resultado de un software operativo inseguro que finalmente permitió el aplazamiento de una oferta pública inicial que buscaba recaudar 875 millones de dólares.
Según las nuevas pautas de la SEC, las empresas también deben informar dentro de los cuatro días posteriores a los incidentes que se consideren «materiales». La determinación de la “materialidad” está influenciada por el impacto del incidente en el negocio, las operaciones y las condiciones financieras de la empresa. Este informe obligatorio de incidentes permite a los inversores evaluar la eficacia de las políticas de riesgo cibernético de la empresa y puede proporcionar aprendizajes para futuras mejoras en la gestión del riesgo cibernético. Y existe una importante oportunidad de mejora, ya que se espera que el costo de los delitos cibernéticos (incluido el costo de recuperación y remediación) aumente a 10,5 billones de dólares por año para 2025 .
Cuatro áreas críticas que los inversores deberían esperar que aborden las juntas directivas
Estas nuevas reglas de ciberseguridad deben considerarse un punto de partida para el diálogo sobre la gobernanza del riesgo cibernético. Para reforzar su ciberseguridad y mantenerse a la vanguardia, las empresas deben anticiparse conscientemente a los cambios en el entorno interno y externo y priorizar sus esfuerzos en materia de riesgos cibernéticos en consecuencia.
El riesgo cibernético puede ser difícil de entender. Los miembros de la junta ya enfrentan muchos desafíos estratégicos diferentes, y cuando se enfrentan a problemas relacionados con el riesgo cibernético, como priorizar el crecimiento del mercado de productos frente a su seguridad, la dependencia crítica de los proveedores para la prestación segura de servicios, lidiar con aspectos «atroces» de los ataques de ransomware, o siendo víctimas de tensiones cibernéticas geopolíticas: pueden verse abrumados por la complejidad y la naturaleza dinámica de los problemas. En última instancia, esto puede causar puntos ciegos relacionados con la ciberseguridad, impactando la efectividad de las decisiones previstas e incluso generando consecuencias no deseadas, lo que puede conducir a lo que es la “trampa de la capacidad”, un deterioro continuo de los procesos organizacionales esenciales. Una característica esencial de esta trampa es que sus efectos permanecen ocultos a la dirección durante mucho tiempo, hasta que es demasiado tarde. La trampa de la capacidad ocurre con más frecuencia de lo que imaginan muchos tomadores de decisiones.
