A

estas alturas, la mayoría de las juntas directivas están convencidas de la necesidad de invertir en ciberseguridad. Entienden que un incidente cibernético grave implica altos costos, daña la reputación de la marca, puede devastar las operaciones, destruir la confianza del consumidor e incluso generar preocupaciones existenciales para la organización. Año tras año, la situación de la ciberseguridad sigue empeorando. Por ejemplo, el informe sobre delitos del FBI realizado en 2024, publicado la primavera pasada, reveló que las pérdidas por ciberdelitos aumentaron un 33% en comparación con el año anterior.

Con base en nuestras entrevistas a profundidad con más de 75 directores y ejecutivos que interactúan con juntas directivas, nos preocupa que, a pesar de que estas han puesto mayor énfasis en el riesgo cibernético, su capacidad para mitigarlo solo ha mejorado ligeramente.

Esto es lo que los directores deben hacer de manera diferente.

La falta de experiencia en ciberseguridad

Muchas juntas directivas reconocen que carecen de suficiente experiencia en ciberseguridad. Sin embargo, incluso cuando logran incorporar directores con conocimientos en la materia, los beneficios pueden verse limitados por la rapidez con la que evoluciona el entorno cibernético.

Lo que deben hacer las juntas directivas: En primer lugar, los directores deben evaluar la claridad, relevancia y accesibilidad de los informes de seguridad. En segundo lugar, deben confirmar que los esfuerzos y la cultura de ciberseguridad de la organización estén enfocados en la resiliencia y la continuidad del negocio, en lugar de centrarse de manera limitada en la implementación y prueba de controles técnicos. En tercer lugar, deben asegurarse de que las conversaciones sobre ciberseguridad sean frecuentes y estratégicas. Además, las juntas directivas deberían incorporar consultores externos para fortalecer su capacidad de ejercer una gobernanza adecuada en materia de ciberseguridad.

La IA es tanto una oportunidad como un riesgo

La IA está revolucionando la ciberseguridad de la misma forma en que está transformando los negocios: los actores maliciosos ahora pueden utilizarla para agilizar la generación de malware (código dañino que puede atacar sus sistemas) y aumentar la escala y la velocidad de los ciberataques mediante la automatización. Además, la IA puede emplearse para crear correos electrónicos de phishing sorprendentemente creíbles (por ejemplo, spear phishing asistido por IA), así como imágenes, audio y video para ataques personalizados altamente dirigidos, lo que puede derivar en pérdidas de millones de dólares.

Lo que deben hacer las juntas directivas: Las juntas directivas deben tratar la IA tanto como una oportunidad estratégica como un riesgo en términos de ciberseguridad y gobernanza. En la práctica, esto implica garantizar una supervisión estructurada de las amenazas impulsadas por IA, sus implicaciones éticas y las vulnerabilidades operativas.

Hágase preguntas como:

— ¿Estamos priorizando la integración de la IA porque realmente genera valor o solo porque todos los demás lo están haciendo?

— ¿Estamos haciendo concesiones innecesarias entre la adopción de IA y los riesgos asociados a ella?

— ¿Cómo están cambiando nuestros procesos clave debido a la IA y cuáles serían las implicaciones si esos procesos se vieran interrumpidos como resultado?

Las juntas directivas deben ejercer una supervisión significativa (comprendiendo las capacidades de la IA, definiendo objetivos estratégicos claros y comprometiéndose con la implementación de medidas de seguridad adecuadas) que esté a la altura del ritmo de los esfuerzos estratégicos que impulsan la integración de la IA.

El cumplimiento normativo no es sinónimo de seguridad

Las organizaciones lo suficientemente grandes como para contar con una junta directiva, a menudo, obtienen poco valor (o ninguno) de las regulaciones en ciberseguridad. Dado que cuentan con recursos suficientes para contratar talento de alto nivel en esta área, las regulaciones a las que están sujetas suelen ser irrelevantes o llegar en momentos poco oportunos.

Lo que deben hacer las juntas directivas: Las juntas directivas deben poner énfasis en los incentivos internos, la rendición de cuentas y la disciplina operativa, tratando la ciberseguridad como un componente central de la resiliencia y la competitividad a largo plazo.

Hágase preguntas como:

— ¿En qué medida los elementos de ciberseguridad están integrados en el desarrollo de nuestros productos y servicios?

— ¿La junta directiva está abordando la ciberseguridad de forma proactiva o reactiva?

— ¿Cómo puede una mejor ciberseguridad mejorar la experiencia del cliente y la reputación de la marca?

Las juntas directivas deben indagar activamente para identificar a los socios de alto riesgo, confirmar que las amenazas externas estén plenamente integradas en los planes de continuidad del negocio y verificar que existan redundancias adecuadas para funciones críticas. Asimismo, los directores deben incentivar a sus socios a adoptar una postura más avanzada, que reconozca el cumplimiento normativo como un factor de resiliencia y una ventaja competitiva.

E

n julio, REvil, una banda de ciberdelincuentes rusos, fue capaz de desconectar los sistemas de tecnologías de la información de 800 tiendas de abarrotes suecas, un par de escuelas neozelandesas, dos gobiernos locales de Maryland y otras mil empresas de todo el mundo. Los atacantes descubrieron que Kaseya, un software utilizado por los contratistas de TI para gestionar las redes corporativas de forma remota, tenía numerosas vulnerabilidades de ciberseguridad. Al atacar Kaseya, REvil consiguió una puerta trasera a los sistemas de TI de las numerosas organizaciones a las que el software daba soporte.

Hoy en día, la mayoría de los productos de software dependen de miles de paquetes preescritos producidos por proveedores o extraídos de bibliotecas de código abierto. Los componentes más utilizados en la cadena de suministro de software de terceros son el objetivo de los ciberdelincuentes. Y son vulnerables. Una auditoría realizada en 2020 por Synopsys descubrió que el 49% de las bases de código comerciales utilizan componentes vulnerables de código abierto.

Sin embargo, las empresas no necesitan sentirse indefensas. En los últimos años, los investigadores de seguridad y las agencias de intercambio de información han identificado miles de vulnerabilidades críticas antes de que fueran explotadas por actores maliciosos. Las empresas sólo deben mantenerse informadas, priorizar y atender rápidamente las vulnerabilidades. Las empresas que no abordan las debilidades para las que existe una solución corren un grave riesgo.

Los líderes corporativos y los equipos de TI pueden tomar tres medidas para remediar las vulnerabilidades y prevenir los ciberataques a la cadena de suministro:

1. Los responsables deben confiar más en herramientas automatizadas para solucionar vulnerabilidades sencillas: El repositorio de código en línea GitHub ha desarrollado un “código robot automatizado” que con un solo clic identifica y corrige las vulnerabilidades sencillas de los usuarios. Con la generalización de las listas de materiales de software (SBOM, por sus siglas en inglés), que enumeran los componentes de la cadena de suministro integrados en la base de código de sus productos, se desarrollarán servicios similares. Sin embargo, pocas empresas han incorporado estas herramientas a sus flujos de trabajo informáticos: Sólo 42 de los 1,896 usuarios de GitHub a quienes se contactó respecto a una vulnerabilidad aceptaron el parche automatizado.

2. Las empresas deberían realizar un análisis de costo-beneficio respecto al parcheo de vulnerabilidades: Corregir todas las vulnerabilidades es impráctico, ya que muchos problemas no son fáciles de solucionar. Afortunadamente, no es necesario solucionarlos todos. Muchas vulnerabilidades son tan costosas de aprovechar que es poco probable que sean explotadas por los ciberdelincuentes. Por esta razón, las empresas deberían decidir qué debilidades corregir en función de la probabilidad de que sean explotadas. Una herramienta útil para conseguirlo es el Exploit Prediction Scoring System, desarrollado por un equipo de expertos en ciberseguridad y proveedores de software. Calcula las probabilidades de que una vulnerabilidad sea explotada en función de sus características inherentes y puede ayudar a los gestores de riesgos a determinar si los beneficios en ciberseguridad de solucionar una vulnerabilidad superan las disrupciones que causará su reparación.

3. Los compradores deben exigir a los proveedores de tecnologías críticas que apliquen “parches en caliente”: Algunas tecnologías, como los sistemas de control industrial que hacen funcionar las fábricas y el software que gestiona las redes eléctricas y de distribución de agua, son tan fundamentales que no pueden fallar. Las empresas quieren que estén libres de cualquier vulnerabilidad conocida. Estas empresas deben exigir que sus proveedores implementen de sistemas de parcheo en caliente, permitiéndoles desplegar parches sin reiniciar el software.

Sin duda, estas medidas no protegerán a las empresas contra todos los riesgos de la cadena de suministro de software. Aun así, al adoptar estas medidas, las empresas podrán repeler la mayoría de los ataques, que aprovechan las vulnerabilidades conocidas y explotables.

P

rotegernos de posibles ciberataques es una parte fundamental de nuestro trabajo. Aun así, es imposible estar completamente protegidos contra todas las vulnerabilidades.

Entonces, ¿qué deben hacer los expertos en ciberseguridad y las empresas que los emplean? Abandonar su mentalidad de prevención y adoptar una centrada en la resiliencia.

¿Qué es la resiliencia cibernética? ¿Y en qué se diferencia de la protección cibernética?

Una mentalidad de prevención implica hacer todo lo posible para mantener alejados a los atacantes. Una mentalidad de resiliencia agrega una capa adicional: mientras hace todo lo posible para prevenir un ataque, también trabaja con la expectativa de que podrían atravesar sus defensas e invierte mucho en prepararse para responder y recuperarse cuando ocurra lo peor. Las organizaciones resilientes destinan recursos significativos a elaborar planes sobre lo que harán si ocurre un ataque, diseñar procesos para ejecutarlos cuando llegue el momento y practicar cómo poner estos planes en acción. La prevención es fundamental, pero no es suficiente.

En una encuesta a 30 ejecutivos de ciberseguridad que realicé durante una reunión en el programa Cybersecurity at MIT Sloan (CAMS), donde soy directora ejecutiva, estos líderes definieron la resiliencia cibernética como “prepararse para poder recuperarse de un evento cibernético”, “contar con recursos y procesos listos para cuando algo salga mal” y “la capacidad de una organización para minimizar el daño de un incidente cibernético y maximizar la recuperación”. Un encuestado simplemente explicó que la resiliencia era “cuando nadie sabe que lo han hackeado”.

Lo que las organizaciones con una mentalidad de resiliencia hacen de manera diferente

En mis conversaciones con ejecutivos de ciberseguridad, tanto los involucrados en el consorcio de investigación de CAMS como los externos, he descubierto que los líderes de organizaciones resilientes hacen algunas cosas de manera diferente.

1. Han construido una cultura de ciberseguridad.

Han invertido en mecanismos para que todos en la organización, desde el empleado de nivel más bajo hasta la junta directiva, tengan un rol que desempeñar para ayudar a que la organización sea segura y resiliente. Como no sabemos de dónde vendrá el próximo ataque, necesitamos que todos estén atentos. Las barreras tecnológicas no son suficientes.

2. Preparan sus respuestas ante un ciberataque y practican.

Vemos que estas organizaciones realizan cosas como ejercicios de simulación y simulacros en todos los niveles, para que todos sepan qué hacer en caso de un incidente. Los líderes pueden poner a prueba los procesos, las estructuras y la tecnología para responder más rápidamente.

3. Son “seguras por diseño”.

Estas organizaciones utilizan principios de “seguridad por diseño” que van mucho más allá de simplemente diseñar su tecnología de manera segura. El concepto de seguridad por diseño normalmente se refiere a la práctica de considerar la seguridad de un sistema o aplicación digital desde las primeras etapas del proceso de diseño, pero las empresas pueden aplicar esta práctica en toda la organización.

4. Cuentan con los procesos de comunicación adecuados, por lo que están preparadas para responder, independientemente de qué (o cuándo) ocurra.

La preparación de las comunicaciones en caso de crisis es habitual, pero revisar estos planes en el contexto de una vulneración cibernética puede revelar componentes inesperados o faltantes. Por supuesto, el tiempo es esencial en una crisis cibernética, por lo que cualquier retraso puede tener consecuencias no deseadas.