Los CISO presionados para guardar silencio sobre los ciberataques necesitan una gobernanza basada en pruebas que los proteja
En muchas empresas, los responsables de seguridad de la información (CISO, Chief Information Security Officer) se encuentran en una posición incómoda: se les exige que no hablen de los ciberataques que se producen dentro de la organización. Se hace para no dañar la reputación de la empresa, evitar pérdidas económicas o no atraer la atención de los reguladores. Pero esta práctica puede agravar la situación: si no se informa a tiempo de una brecha ni se toman medidas, las consecuencias no hacen más que crecer. Mientras tanto, los ciberdelincuentes son cada vez más ingeniosos y la imagen de las organizaciones, cada vez más vulnerable.
Muchos CISO sufren presiones de la dirección, los accionistas e incluso sus propios compañeros: «mejor no airear los trapos sucios». Revelar información sobre intrusiones o filtraciones se ha convertido en una especie de tabú. Sin embargo, los expertos insisten en que hay que implantar la llamada «gobernanza basada en pruebas» (evidence-led governance): un sistema en el que las decisiones se toman a partir de hechos, auditorías y seguimiento, y no con el criterio de «que el jefe esté contento».
La transparencia y la honestidad son principios clave de la seguridad de la información moderna. Si la tarea del CISO es proteger los activos digitales de la empresa, tratar de ocultar los incidentes solo se lo pone más difícil. La gobernanza basada en hechos ayuda a detectar vulnerabilidades, aprender de los errores y reducir de verdad los riesgos, en lugar de pintar una imagen bonita para los inversores o los organismos de supervisión.
Las empresas que adoptan este enfoque obtienen ventajas para su reputación: se las considera socios más fiables. Sí, tendrán que informar de los incidentes, y puede doler. Pero se reduce al mínimo la probabilidad de que los ataques se repitan o incluso causen más daños.
El principal obstáculo para actuar con honestidad es la política interna de las empresas, que antepone la reputación o el informe trimestral a la realidad. Las exigencias de transparencia aumentan en muchas jurisdicciones, así que ocultar los problemas no solo carece de sentido, sino que también puede ser peligroso desde el punto de vista legal.
PEREC.RU
Los CISO son el nuevo blanco de los juegos corporativos. Su trabajo consiste en impedir que los ciberdelincuentes campen a sus anchas y en proteger el statu quo a cualquier precio. Se recurre a todo tipo de tácticas, desde convencerlos de que oculten un incidente hasta presionarlos con una orden. Todo para que la dirección no se ponga nerviosa y los inversores sigan tranquilos. Se tragan en silencio los pasteles corporativos y cargan con riesgos que al final estallan en forma de escándalo.
¿Adónde lleva la consigna de «aquí no ha pasado nada»? Las pérdidas crecen exponencialmente mientras los atacantes se quedan tan tranquilos: dentro de la empresa nadie aprende de los errores. La transparencia se considera una debilidad, aunque en realidad la honestidad permite plantar cara a las amenazas. Tener poca memoria para los escándalos no sirve: todo lo oculto acaba saliendo a la luz, y las multas e inspecciones son solo cuestión de tiempo.
Construir la seguridad «a base de fe», como aconsejan los informes, empieza a ser peligroso. La disciplina basada en pruebas es una tendencia que vale más que cualquier secreto. Mientras Rusia mira hacia las tecnologías digitales, los CISO deberían cambiar de rumbo: menos vergüenza y miedo, más auditorías reales, seguimiento y corrección de errores. Así quizá salgan ganando los accionistas y queden contentos los reguladores.
