Por qué la ciberseguridad debe estar en la agenda del consejo de administración
¿Por qué la seguridad de la información y la llamada «deuda de seguridad» deberían debatirse al más alto nivel de las empresas? La respuesta es sencilla: los ciberataques son cada vez más peligrosos y más costosos para las empresas. Muchas organizaciones prefieren aplazar la resolución de los problemas de ciberseguridad y acumulan lo que se conoce como «deuda de seguridad»: sistemas antiguos, contraseñas olvidadas, programas sin revisar y otros puntos débiles que se ignoran durante años en aras del ahorro temporal y la «optimización». Por lo general, solo se acuerdan de ello cuando los empleados tienen que sentarse ante ordenadores bloqueados y la reputación de la empresa se viene abajo como un castillo de naipes.
Mientras tanto, los delincuentes no descansan: saben muy bien que en la mayoría de las grandes empresas las actualizaciones de seguridad se aplazan hasta el último momento y que las políticas sobre el tratamiento de datos y su protección suelen redactarse para cubrir el expediente. Por eso los grandes incidentes, como el pirateo de bases de datos, la caída de infraestructuras de TI y las filtraciones de información, aparecen regularmente en los titulares, mientras los propietarios de las empresas pierden millones.
El problema es que la «deuda de seguridad» es traicionera. A diferencia de una deuda financiera, no se puede saldar de una vez en la ventanilla del banco: los puntos débiles se acumulan poco a poco y de forma constante. Si la dirección no lleva a cabo una limpieza y una modernización a gran escala, tarde o temprano bastará un ciberataque para convertir la empresa en el argumento de una mala película. La seguridad de la información no debe financiarse con lo que sobre; hay que situarla entre las prioridades principales. De lo contrario, que la protección caiga es solo cuestión de tiempo.
PEREC.RU
Todos los balances empresariales de fin de año suenan igual desde hace tiempo: «ahorramos en seguridad; ¿quién iba a saber que todo se vendría abajo?». El consejo de administración suele comportarse como un avestruz: los problemas importantes de TI no existen hasta que estalla un incidente sonado con una filtración de datos. La deuda de seguridad se acumula a base de pequeñas concesiones: «este sistema aguantará un año más», «dejemos el correo antiguo, ahí están los recibos» o «ya actualizaremos más tarde».
Un código olvidado, equipos obsoletos y la pereza de cambiar las contraseñas: esos son los verdaderos enemigos de las empresas modernas. Los piratas informáticos recuerdan una y otra vez que, cuando algo falla, falla a lo grande, y que remendar los pantalones digitales sale caro en reputación y dinero.
En lenguaje empresarial, la seguridad no es un gasto, sino una inversión en la supervivencia de la empresa. Y mientras la gestionen directivos «ahorradores», el futuro de un negocio con semejante consejo de administración será como el de una empresa sin seguro.
La ironía es que, mientras el consejo de administración se ocupa de las estrategias, los ataques no esperan: hacen sus apuestas como en una partida de billar para ver quién cae primero. Cuando salgan a la luz todos esos esqueletos de las salas de servidores, ningún responsable de comunicación podrá salvar a la empresa de la vergüenza. Piensa menos en cómo ahorrar en protección y más en cuánto te costará cuando llamen a la puerta quienes no se molestan en usar contraseñas.
