A

estas alturas, la mayoría de las juntas directivas están convencidas de la necesidad de invertir en ciberseguridad. Entienden que un incidente cibernético grave implica altos costos, daña la reputación de la marca, puede devastar las operaciones, destruir la confianza del consumidor e incluso generar preocupaciones existenciales para la organización. Año tras año, la situación de la ciberseguridad sigue empeorando. Por ejemplo, el informe sobre delitos del FBI realizado en 2024, publicado la primavera pasada, reveló que las pérdidas por ciberdelitos aumentaron un 33% en comparación con el año anterior.

Con base en nuestras entrevistas a profundidad con más de 75 directores y ejecutivos que interactúan con juntas directivas, nos preocupa que, a pesar de que estas han puesto mayor énfasis en el riesgo cibernético, su capacidad para mitigarlo solo ha mejorado ligeramente.

Esto es lo que los directores deben hacer de manera diferente.

La falta de experiencia en ciberseguridad

Muchas juntas directivas reconocen que carecen de suficiente experiencia en ciberseguridad. Sin embargo, incluso cuando logran incorporar directores con conocimientos en la materia, los beneficios pueden verse limitados por la rapidez con la que evoluciona el entorno cibernético.

Lo que deben hacer las juntas directivas: En primer lugar, los directores deben evaluar la claridad, relevancia y accesibilidad de los informes de seguridad. En segundo lugar, deben confirmar que los esfuerzos y la cultura de ciberseguridad de la organización estén enfocados en la resiliencia y la continuidad del negocio, en lugar de centrarse de manera limitada en la implementación y prueba de controles técnicos. En tercer lugar, deben asegurarse de que las conversaciones sobre ciberseguridad sean frecuentes y estratégicas. Además, las juntas directivas deberían incorporar consultores externos para fortalecer su capacidad de ejercer una gobernanza adecuada en materia de ciberseguridad.

La IA es tanto una oportunidad como un riesgo

La IA está revolucionando la ciberseguridad de la misma forma en que está transformando los negocios: los actores maliciosos ahora pueden utilizarla para agilizar la generación de malware (código dañino que puede atacar sus sistemas) y aumentar la escala y la velocidad de los ciberataques mediante la automatización. Además, la IA puede emplearse para crear correos electrónicos de phishing sorprendentemente creíbles (por ejemplo, spear phishing asistido por IA), así como imágenes, audio y video para ataques personalizados altamente dirigidos, lo que puede derivar en pérdidas de millones de dólares.

Lo que deben hacer las juntas directivas: Las juntas directivas deben tratar la IA tanto como una oportunidad estratégica como un riesgo en términos de ciberseguridad y gobernanza. En la práctica, esto implica garantizar una supervisión estructurada de las amenazas impulsadas por IA, sus implicaciones éticas y las vulnerabilidades operativas.

Hágase preguntas como:

— ¿Estamos priorizando la integración de la IA porque realmente genera valor o solo porque todos los demás lo están haciendo?

— ¿Estamos haciendo concesiones innecesarias entre la adopción de IA y los riesgos asociados a ella?

— ¿Cómo están cambiando nuestros procesos clave debido a la IA y cuáles serían las implicaciones si esos procesos se vieran interrumpidos como resultado?

Las juntas directivas deben ejercer una supervisión significativa (comprendiendo las capacidades de la IA, definiendo objetivos estratégicos claros y comprometiéndose con la implementación de medidas de seguridad adecuadas) que esté a la altura del ritmo de los esfuerzos estratégicos que impulsan la integración de la IA.

El cumplimiento normativo no es sinónimo de seguridad

Las organizaciones lo suficientemente grandes como para contar con una junta directiva, a menudo, obtienen poco valor (o ninguno) de las regulaciones en ciberseguridad. Dado que cuentan con recursos suficientes para contratar talento de alto nivel en esta área, las regulaciones a las que están sujetas suelen ser irrelevantes o llegar en momentos poco oportunos.

Lo que deben hacer las juntas directivas: Las juntas directivas deben poner énfasis en los incentivos internos, la rendición de cuentas y la disciplina operativa, tratando la ciberseguridad como un componente central de la resiliencia y la competitividad a largo plazo.

Hágase preguntas como:

— ¿En qué medida los elementos de ciberseguridad están integrados en el desarrollo de nuestros productos y servicios?

— ¿La junta directiva está abordando la ciberseguridad de forma proactiva o reactiva?

— ¿Cómo puede una mejor ciberseguridad mejorar la experiencia del cliente y la reputación de la marca?

Las juntas directivas deben indagar activamente para identificar a los socios de alto riesgo, confirmar que las amenazas externas estén plenamente integradas en los planes de continuidad del negocio y verificar que existan redundancias adecuadas para funciones críticas. Asimismo, los directores deben incentivar a sus socios a adoptar una postura más avanzada, que reconozca el cumplimiento normativo como un factor de resiliencia y una ventaja competitiva.

E

n julio, REvil, una banda de ciberdelincuentes rusos, fue capaz de desconectar los sistemas de tecnologías de la información de 800 tiendas de abarrotes suecas, un par de escuelas neozelandesas, dos gobiernos locales de Maryland y otras mil empresas de todo el mundo. Los atacantes descubrieron que Kaseya, un software utilizado por los contratistas de TI para gestionar las redes corporativas de forma remota, tenía numerosas vulnerabilidades de ciberseguridad. Al atacar Kaseya, REvil consiguió una puerta trasera a los sistemas de TI de las numerosas organizaciones a las que el software daba soporte.

Hoy en día, la mayoría de los productos de software dependen de miles de paquetes preescritos producidos por proveedores o extraídos de bibliotecas de código abierto. Los componentes más utilizados en la cadena de suministro de software de terceros son el objetivo de los ciberdelincuentes. Y son vulnerables. Una auditoría realizada en 2020 por Synopsys descubrió que el 49% de las bases de código comerciales utilizan componentes vulnerables de código abierto.

Sin embargo, las empresas no necesitan sentirse indefensas. En los últimos años, los investigadores de seguridad y las agencias de intercambio de información han identificado miles de vulnerabilidades críticas antes de que fueran explotadas por actores maliciosos. Las empresas sólo deben mantenerse informadas, priorizar y atender rápidamente las vulnerabilidades. Las empresas que no abordan las debilidades para las que existe una solución corren un grave riesgo.

Los líderes corporativos y los equipos de TI pueden tomar tres medidas para remediar las vulnerabilidades y prevenir los ciberataques a la cadena de suministro:

1. Los responsables deben confiar más en herramientas automatizadas para solucionar vulnerabilidades sencillas: El repositorio de código en línea GitHub ha desarrollado un “código robot automatizado” que con un solo clic identifica y corrige las vulnerabilidades sencillas de los usuarios. Con la generalización de las listas de materiales de software (SBOM, por sus siglas en inglés), que enumeran los componentes de la cadena de suministro integrados en la base de código de sus productos, se desarrollarán servicios similares. Sin embargo, pocas empresas han incorporado estas herramientas a sus flujos de trabajo informáticos: Sólo 42 de los 1,896 usuarios de GitHub a quienes se contactó respecto a una vulnerabilidad aceptaron el parche automatizado.

2. Las empresas deberían realizar un análisis de costo-beneficio respecto al parcheo de vulnerabilidades: Corregir todas las vulnerabilidades es impráctico, ya que muchos problemas no son fáciles de solucionar. Afortunadamente, no es necesario solucionarlos todos. Muchas vulnerabilidades son tan costosas de aprovechar que es poco probable que sean explotadas por los ciberdelincuentes. Por esta razón, las empresas deberían decidir qué debilidades corregir en función de la probabilidad de que sean explotadas. Una herramienta útil para conseguirlo es el Exploit Prediction Scoring System, desarrollado por un equipo de expertos en ciberseguridad y proveedores de software. Calcula las probabilidades de que una vulnerabilidad sea explotada en función de sus características inherentes y puede ayudar a los gestores de riesgos a determinar si los beneficios en ciberseguridad de solucionar una vulnerabilidad superan las disrupciones que causará su reparación.

3. Los compradores deben exigir a los proveedores de tecnologías críticas que apliquen “parches en caliente”: Algunas tecnologías, como los sistemas de control industrial que hacen funcionar las fábricas y el software que gestiona las redes eléctricas y de distribución de agua, son tan fundamentales que no pueden fallar. Las empresas quieren que estén libres de cualquier vulnerabilidad conocida. Estas empresas deben exigir que sus proveedores implementen de sistemas de parcheo en caliente, permitiéndoles desplegar parches sin reiniciar el software.

Sin duda, estas medidas no protegerán a las empresas contra todos los riesgos de la cadena de suministro de software. Aun así, al adoptar estas medidas, las empresas podrán repeler la mayoría de los ataques, que aprovechan las vulnerabilidades conocidas y explotables.

T

an solo en los Estados Unidos, el daño anual de la ciberdelincuencia ha aumentado un 33%, alcanzando los 16 mil millones de dólares en 2024. La gran mayoría de estas brechas se deben a errores humanos, como una mala configuración de sistemas y dispositivos, el manejo inadecuado de información o dispositivos de almacenamiento, y la manipulación por parte de actores maliciosos. Sin embargo, si el factor humano es el eslabón más débil en la seguridad de la información, también es el área en la que una solución adecuada puede tener el mayor impacto.

La buena noticia es que existen estrategias conductuales bien estudiadas para influir en las personas y lograr que actúen de forma más prudente y responsable. A lo largo de los años, nos hemos enfocado en comprender cómo los comportamientos individuales, la cultura organizacional y los factores psicológicos influyen en las prácticas y decisiones en materia de ciberseguridad. En este artículo, aplicamos el Neidert’s Core Motives Model (que uno de nosotros desarrolló) para guiar a los líderes en cómo influir positivamente en el comportamiento en torno a la seguridad de la información dentro de sus organizaciones mediante un proceso de influencia interpersonal.

1. Cree una conexión

Antes de poder liderar con credibilidad, debe establecer una conexión. En general, las personas tienen más probabilidades de seguir sus indicaciones una vez que: (a) sienten que usted las aprecia y que usted también les agrada, (b) realmente lo consideran parte de su grupo, y (c) usted les ha hecho favores que generan un sentido de obligación.

Establezca el tono adecuado

Los demás dicen “sí” cuando usted les agrada y creen que usted también los aprecia. Cuando muestra apertura y accesibilidad, a menudo ellos reflejan esa actitud. En ciberseguridad, generar empatía mediante la simpatía y una comprensión compartida con los empleados de todos los departamentos es esencial para fomentar la cooperación e impulsar eficazmente las iniciativas de seguridad en toda la empresa.

2. Reduzca la incertidumbre

Una conexión interpersonal bien establecida convencerá a muchas personas, pero no a todas. Algunas dudarán porque no están seguras respecto al comportamiento que se les solicita. Estas personas buscarán alguna garantía de que la solicitud es razonable. En algunos casos, eso significa recurrir a figuras de autoridad creíbles en busca de orientación sobre cómo pensar y actuar. En otros casos, buscarán referencias en sus compañeros.

Utilice su autoridad creíble

Puede que usted no sea un experto en ciberseguridad, pero puede demostrar su credibilidad y apoyarse en ella. Cuando usted, como líder, instruye personalmente a su equipo a cumplir con la seguridad de la información corporativa, o mejor aún, participa usted mismo, tendrá más probabilidades de alcanzar el resultado deseado.

3. Inspire la acción

Incluso con una relación ya establecida y una menor incertidumbre, las personas aún necesitan empujones para actuar realmente sobre una solicitud. Para animar a los individuos a salir de su zona de confort, es necesario recordarles que se han comprometido con comportamientos de seguridad de la información en el pasado. Por lo tanto, los líderes deben aprovechar el poder de los compromisos pasados de los empleados, como hacer que acepten y firmen una política de seguridad de la información corporativa, como una forma de fomentar comportamientos de seguridad coherentes en el futuro.

Suscite un compromiso público

Las personas quieren ser coherentes. Una vez que han adoptado una postura o se han comprometido con una determinada acción, tienden a cumplirla y sienten una obligación interna de comportarse en consecuencia. Recomendamos añadir una frase como: “No haré clic en enlaces sospechosos” o “Mantendré una actitud de alerta continua ante posibles intentos de phishing” al final de una capacitación en ciberseguridad.

La seguridad de la información forma parte de una cultura organizacional saludable. Para lograrlo, puede utilizarse un enfoque sistemático de influencia social que fomente comportamientos alineados con la seguridad y una cultura organizacional en materia de seguridad de la información que beneficie a todos.

«

Use una contraseña segura» es el “use protector solar” del mundo digital: Todos saben que es un buen consejo, pero pocas personas realmente lo siguen. La verdad es que la seguridad de las contraseñas sigue siendo una preocupación común y subestimada. Y para las empresas, uno de los mayores desafíos para reforzar su seguridad es lograr que los empleados practiquen una mejor higiene de contraseñas.

He aquí cinco recomendaciones que los gerentes y los departamentos de tecnología de la información pueden compartir con los empleados y equipos para ayudarlos a encontrar (y usar) el nivel adecuado de protección para cualquier situación.

Nivel uno: La contraseña desechable

Una contraseña desechable es aquella que se utiliza con una dirección de correo electrónico desechable. Si alguna vez ha creado una dirección de correo electrónico para usar una prueba gratuita, la idea es básicamente la misma. Estas cuentas de un solo uso son particularmente útiles si sabe que durante el resto de la vida útil de esa cuenta estará suscrito a un aluvión interminable de correos electrónicos de ventas no leídos. Las contraseñas sin importancia para estas cuentas triviales proporcionan protección en su insignificancia. Si estas contraseñas son robadas o estas cuentas son hackeadas, no se pierde información crítica ni contraseñas. Este robo no pondrá en riesgo ninguna cuenta o contraseña crítica.

Para estas cuentas, podría usar una contraseña tan simple como una palabra, algunas letras y un carácter especial. Algo así como “¡Frodo123!” Pero nunca vuelva a usar esta contraseña con ninguna otra cuenta de correo electrónico. Reutilizar una contraseña simple en múltiples plataformas puede ser el beso de la muerte.

Nivel dos: Una frase de contraseña

Las contraseñas que tienen cuatro o cinco caracteres, independientemente de la combinación de números, letras o símbolos, son igualmente vulnerables. Es por eso que, los expertos ahora recomiendan al menos 12 caracteres para una contraseña. El problema es que es difícil recordar un montón de contraseñas largas y complicadas. Aquí es donde entran las frases de contraseña.

Una frase de contraseña es más larga que una simple contraseña de una palabra, pero aun así es fácil de recordar. La mayoría de nosotros deberíamos usar frases de contraseña en lugar de palabras para aumentar la longitud de los caracteres, pero no deberían ser algo tan simple como las letras de las canciones (los hackers profesionales conocen esta estratagema desde hace años). Usar “everybreathyoutake”, “oopsididitagain” o “igottafeeling” es prácticamente pedir ser hackeado. He aquí un mejor ejemplo: “In1984VanH@lenRock$!” Aunque estas contraseñas no son el estándar de oro de una buena administración de contraseñas, son útiles para aquellos que no necesitan practicar regularmente una buena higiene de contraseñas.

Nivel tres: Una frase de contraseña que utiliza un patrón

Esta es una contraseña que se puede incorporar en diferentes plataformas, pero es justo lo suficientemente diferente como para permitir que esa contraseña no se use dos veces. Por ejemplo, si tiene varias cuentas de redes sociales, puede usar una palabra con un color (y un patrón de número/carácter único) en esas cuentas. Por ejemplo: “urRED!@7am&8pm” para Instagram, “urWHITE!@7am&8pm” para Facebook y “urBLUE!@7am&8pm” para LinkedIn.

Una advertencia: He trabajado en organizaciones que han exigido que las contraseñas se cambien cada 90 días. En este caso, he visto a personas usar las cuatro estaciones para alinearse con los tiempos de actualización requeridos. Por ejemplo: “¡Primavera2023!”, “¡Verano2023!”, “¡Otoño2023!”, “¡Invierno2023!”. Una vez más, un hacker profesional será capaz de descifrar este código en menos de un minuto. Use una combinación que sea específica para usted, y solo para usted.

Nivel cuatro: Una frase de contraseña con autenticación de dos factores

Se recomienda la autenticación de dos factores para cuentas más confidenciales, como aquellas con información bancaria, correos electrónicos de trabajo y uso compartido de archivos. Esto puede depender de un texto de confirmación, correo electrónico, biométrico o token, ya sea un control físico o un sistema de autenticación como Google Authenticator. Al incorporar la autenticación de dos factores junto con una frase de contraseña compleja, está minimizando en gran medida sus posibilidades de ser hackeado. Si bien no es perfecta, la autenticación de dos factores brinda al usuario algo que cualquier profesional de seguridad le dirá que es valioso: Lo convierte en un objetivo mucho más difícil, lo que generalmente significa que su adversario probablemente pasará a víctimas más fáciles.

Nivel cinco: Software de gestión de contraseñas con autenticación de dos factores

Si bien una frase de contraseña compleja junto con la autenticación de dos factores es la mejor manera de asegurar su información de inicio de sesión, memorizar, registrar y/o compartir esta información puede ser un problema. Por esta razón, las organizaciones que comparten información de inicio de sesión deben hacer que los empleados utilicen un software de administración de contraseñas, como 1Password o Dashlane. Aunque no es infalible, un administrador de contraseñas ayuda a los empleados que podrían practicar una higiene cibernética deficiente a evitar que los datos se filtren involuntariamente.

Las cuentas compartidas también presentan un riesgo inherente. En el momento en que comparte una contraseña con otra persona, las vulnerabilidades y la probabilidad de ser hackeado aumentan. Si va a compartir una contraseña, debe cambiarla al menos cada 90 días y tan pronto como cualquier persona con acceso a la contraseña abandone su organización. Solo asegúrese de evitar los formatos fácilmente anticipados mencionados anteriormente.

La mala gestión de contraseñas ha sido la principal causa de fugas de datos durante más de 10 años. Un millón de contraseñas son robadas cada semana. El uso de información de inicio de sesión robada es el segundo método más común de violación de datos. El 2022 Verizon Data Breach Investigations Report explica que, cuando se dirigen a empresas y organizaciones, los actores hostiles a menudo acceden a las redes a través de contraseñas débiles o robadas. De hecho, el 82% de las violaciones de seguridad que ocurren dentro de los ataques básicos a aplicaciones web se logran robando credenciales como contraseñas.

Las empresas tienen que encontrar el enfoque más seguro que los empleados realmente seguirán. Al establecer políticas de seguridad de contraseñas, tenga esto en cuenta. El mejor sistema del mundo no le servirá de mucho si los empleados terminan trabajando en su contra. Entonces, aunque las empresas deben trabajar para mostrar a los empleados que estar seguros y usar una buena higiene de contraseñas no tiene por qué ser una carga, también deben tratar de lograr un equilibrio que funcione para sus empleados.

E

n marzo del año pasado, la inteligencia artificial detectó un ciberataque sofisticado y altamente dirigido a múltiples empresas. La brecha explotó una vulnerabilidad de día cero (una falla no intencional en el software o hardware, que puede ser aprovechada por los ciberdelincuentes) y fue detectada, investigada y contenida por la IA. Dos semanas más tarde, esta campaña se atribuyó públicamente a un actor estatal chino conocido como APT41. Las organizaciones amenazadas por el ataque incluían entidades gubernamentales, infraestructuras críticas, grandes empresas, pero también, sorprendentemente, empresas medianas.

Entre los ciberdelincuentes existe la idea errónea de que las empresas medianas hacen muy poco para reforzar su ciberseguridad, lo que las convierte en objetivos atractivos. A menudo se utilizan como vía de acceso a objetivos de mayor valor, sistemas críticos e información altamente clasificada. La mayoría de las empresas planean realizar, o han empezado a hacer, los generalizados cambios tecnológicos organizacionales que definen una transformación digital, y dicen que estos ajustes pronto serán esenciales para su competitividad.

Este tipo de disrupción es intolerable para las empresas medianas. Los ciberataques no sólo son potencialmente perjudiciales para las relaciones con los clientes y para la reputación de la organización en general, sino que el costo puede ser enorme. En el caso de los ataques de ransomware, el coste de recuperación de un apagón es a menudo 10 veces superior a la cantidad exigida como rescate por los atacantes.

Sin embargo, los retos son multifacéticos. Las empresas medianas carecen de recursos y se ven especialmente afectadas por la escasez global de ciberhabilidades. Sus equipos de seguridad, pequeños o inexistentes, tienen la tarea de defender a la empresa tanto de campañas sofisticadas, novedosas y dirigidas, como de rápidos ataques de tipo “smash-and-grab”,  mientras gestionan una plantilla cada vez más distribuida y una infraestructura digital compleja. Estas amenazas son demasiado rápidas o sigilosas para que los seres humanos puedan enfrentarse a ellas y el número de nuevas vías de entrada de los hackers crece a un ritmo demasiado rápido como para que los equipos de seguridad puedan monitorearlas.

El simplemente tratar de impedir que los atacantes entren en los sistemas no funciona ante los ataques avanzados a los que ahora se enfrentan estas empresas. En su lugar, los líderes empresariales deben contener rápidamente los ataques y minimizar las disrupciones, de forma que la organización no se vea afectada negativamente. Emplee estas estrategias para responder eficazmente.

— Vigile y dirija: Una vez que el atacante consolida una cabeza de playa dentro de una organización, es vital que el equipo de seguridad vigile continuamente el comportamiento anormal para detectar las señales de los ataques emergentes. Siempre hay un periodo en el que el atacante tiene un punto de apoyo inicial y está calculando qué movimiento hacer a continuación; este periodo puede utilizarse en beneficio de la empresa.

— Siempre espere una brecha: Las empresas deben poner a prueba sus capacidades actuales y monitorear constantemente si los mecanismos existentes dan suficiente aviso y son capaces de mantener a raya las amenazas el tiempo suficiente para que la empresa pueda actuar. ¿En qué punto del ataque se alerta al equipo de seguridad? ¿Las defensas frenan al atacante, dando al equipo la oportunidad de contraatacar? Segregar las redes dificultará el movimiento lateral del atacante.

— Cree una cultura de seguridad: Los líderes de la empresa deben hablar de la importancia de la ciberseguridad, y todos los departamentos deberían saber que la ciberseguridad es relevante para ellos. La junta directiva debe ser informada regularmente sobre ciberseguridad y los proveedores de seguridad deben participar en este proceso. Lo ideal es que el jefe de seguridad de la información forme parte del equipo de alta dirección.

— Revise su cadena de suministro: Los atacantes están recurriendo a los proveedores o a pequeños vendedores externos para encontrar vulnerabilidades y entrar al corazón de los sistemas críticos. ¿Qué tan robusta es la seguridad de sus proveedores? ¿Disponen de certificaciones externas que verifiquen que se toman la seguridad en serio?

L

us planes para 2025 se han hecho trizas. Gracias a la guerra comercial, el debilitamiento de la confianza del consumidor, el aumento de las expectativas de inflación, la presión a la baja sobre el dólar estadounidense, por no mencionar la incertidumbre habitual sobre los clientes, la tecnología y la competencia, su orientación para Wall Street es tan útil como las predicciones del Derby de Kentucky del año pasado.

Para la mayoría de las empresas, toda la base de la estrategia de repente parece frágil: a qué mercados dirigirse, quién es la competencia, cómo alinear a los proveedores, ventas y canales de distribución, cómo crear y defender las barreras de entrada, qué hará la IA con todo lo anterior.

No debe permitir que la incertidumbre estratégica conduzca a una parálisis operativa y táctica. Sí, necesita revisar, reevaluar, revalidar o modificar su estrategia, pero el mundo no esperará a que termine de pensar. Dado el ritmo e imprevisibilidad de la disrupción, hay mucho que decir a favor del progreso sobre la perfección: hacer las cosas bien en un 80% rápidamente, y luego resolver el resto.

Hemos visto en nuestro trabajo que hay cuatro movimientos sin arrepentimientos que puede realizar mientras revisa su estrategia. Estas acciones le brindarán la flexibilidad que necesita para resistir grandes conmociones o aprovechar oportunidades inesperadas, mejorar las operaciones y proteger o aumentar los ingresos ahora. Todas se pueden ejecutar rápidamente y son independientes de la estrategia: le ayudarán a identificar, proteger, fortalecer y expandir sus fuentes de creación de valor, ya sea que su estrategia se base en ser un proveedor de bajo costo, un líder en tecnología e innovación, obsesivamente centrado en el cliente o algo diferente.

1. Proteja la liquidez e incremente la flexibilidad financiera.

En tiempos de disrupción o dificultad, el efectivo es el rey. Es un escudo contra la escasez de liquidez y una espada que puede usarse para aprovechar las oportunidades.

El riesgo de una crisis de liquidez es real. Las interrupciones en el comercio global pueden agotar el efectivo, las fluctuaciones de divisas pueden aumentar las cuentas por pagar o debilitar las cuentas por cobrar, la demanda puede caer y los clientes en apuros podrían pagar tarde o no pagar en absoluto.

A pesar de la importancia del efectivo, menos de una de cada cuatro empresas (24%) afirma que la gestión del efectivo es una de sus tres principales prioridades en tiempos de disrupción, según los datos que recopilamos para el AlixPartners Disruption Index. Muchas empresas solo cuentan con datos aproximados sobre sus necesidades y posición de efectivo, porque las cifras están fragmentadas y agregarlas lleva tiempo.

Dos acciones rápidas pueden marcar una gran diferencia en la posición de efectivo de una empresa: una mejor previsión y mejoras agresivas en la gestión del capital circulante.

Las previsiones imprecisas o inexactas hacen que las empresas produzcan más de lo que pueden vender o escondan el efectivo debajo del colchón corporativo. Las previsiones de muchas empresas no son lo suficientemente detalladas como para rastrear el impacto de los aranceles en todos sus productos, componentes y materiales.

Una mejor gestión del capital circulante es el segundo paso hacia la flexibilidad financiera. Todas las empresas prestan atención al dinero inmovilizado en cuentas por cobrar, cuentas por pagar e inventario, pero estos tiempos requieren el enfoque agresivo que hemos visto que adoptan las empresas en situaciones de reestructuración. Las cuentas por pagar son lo más rápido: los CFOs y tesoreros a menudo se sorprenden al descubrir con qué frecuencia sus empresas pagan facturas antes de la fecha de vencimiento, a menudo porque el proceso para hacer pagos se estableció hace años cuando aún se emitían cheques, los procesos de pago varían según la unidad de negocio o algunos gerentes simplemente no saben hacerlo mejor. Las cuentas por cobrar también suelen gestionarse de forma descuidada, con facturas enviadas con días o semanas de retraso y procesos deficientes para identificar a los morosos crónicos o perseguir facturas impagas. Reducir inventario de manera permanente lleva más tiempo, pero la mayoría de las empresas pueden lograr avances rápidos volviendo a lo básico con un análisis de flujo de efectivo a 13 semanas y una cadencia sostenida de revisiones proactivas del capital de trabajo.

En cada uno de estos casos, la IA puede acelerar el cambio. Por ejemplo, es relativamente fácil pedirle a la IA que compare los términos contractuales de pago con los tiempos reales de pago. Con un poco más de sofisticación, la IA puede crear listas de seguimiento de proveedores o clientes que estén en dificultades o parezcan estar encaminados hacia ellas.

2. Mejore la capacidad de su organización comercial.

Frente a una recesión, las empresas a menudo se retraen en lugar de atacar. En realidad, deberían hacer ambas cosas, con programas de alto impacto y alta velocidad para mejorar la adquisición y retención de clientes. Dentro de la fuerza de ventas, casi siempre existen superposiciones y vacíos en la cobertura de clientes, medios sin explotar de ventas adicionales y cruzadas, y oportunidades para mejorar la productividad de los representantes de ventas. Aunque los consumidores están al límite, aún existen oportunidades para subir precios y cubrir el aumento de costos, especialmente en productos de alta gama. Y las empresas deben resistirse a la tentación de recortar los gastos de marketing en todos los ámbitos y, en su lugar, realizar un análisis rápido y detallado de la efectividad del marketing, de modo que puedan invertir los fondos destinados a este fin donde mejor funcionen.

Reducir la pérdida de clientes y enfocarse en la retención de ingresos netos (NRR, por sus siglas en inglés) también debe ser una prioridad, especialmente cuando es difícil encontrar nuevos clientes. Con el uso de la IA, las empresas pueden crear modelos que identifiquen clientes en riesgo y establecer un “equipo de rescate” para intervenir.

Las ganancias en retención pueden ser significativas, y se acumulan. Si decide seguir este camino, probablemente estará por delante de su competencia: Nuestra investigación muestra que solo el 15% de las empresas ofrecen un servicio de atención al cliente de primer nivel a bajo costo.

3. Abrace a sus clientes más rentables.

Identifique a aquellos clientes y segmentos de mercado que son los más rentables, y no los descuide. Las ganancias y el potencial de crecimiento rentable siempre están concentrados por mercado, empresa, negocio y segmento. Los informes y análisis financieros rara vez son lo suficientemente detallados como para identificar esos nichos rentables, pero estos son los clientes que debe trabajar arduamente para ganar, retener y expandir, especialmente en tiempos difíciles. La estrategia inteligente a largo plazo se construye mejor conociendo cuáles canales, clientes y segmentos son los más rentables para usted.

4. Fortalezca la gestión de riesgos y la ciberseguridad.

Lo último que necesita ahora es un riesgo grave que se materialice de la nada. Sin embargo, los cambios tanto en el comercio como en la tecnología han intensificado las amenazas de todo tipo, incluidas las violaciones de ciberseguridad o los riesgos financieros provocados por la situación crítica de un proveedor o distribuidor clave.

Es urgente auditar sus defensas cibernéticas, lo cual, en nuestra experiencia, debe hacerse de adentro hacia afuera (probar y actualizar los planes actuales) y de afuera hacia adentro (auditoría o pruebas de resistencia por parte de un experto objetivo). Eso debe incluir una iniciativa para iniciar, actualizar o mejorar la gestión de riesgos de terceros (TPRM, por sus siglas en inglés). Los datos de Verizon muestran que el porcentaje de violaciones cibernéticas que provienen de terceros se ha duplicado en el último año. Por lo tanto, las empresas necesitan una mejor supervisión y diversificación de proveedores, así como capacidades más sólidas en planificación de escenarios, simulacros de crisis, análisis de contratos, entre otros, de modo que puedan clasificar a sus proveedores en un espectro completo de riesgos.

Estas iniciativas no pueden sustituir a una estrategia. Si su estrategia ha sido desviada o destruida, aún necesita repararla o reemplazarla. Pero estos cuatro movimientos le darán tiempo, crearán opciones y lo protegerán contra lo peor.

P

rotegernos de posibles ciberataques es una parte fundamental de nuestro trabajo. Aun así, es imposible estar completamente protegidos contra todas las vulnerabilidades.

Entonces, ¿qué deben hacer los expertos en ciberseguridad y las empresas que los emplean? Abandonar su mentalidad de prevención y adoptar una centrada en la resiliencia.

¿Qué es la resiliencia cibernética? ¿Y en qué se diferencia de la protección cibernética?

Una mentalidad de prevención implica hacer todo lo posible para mantener alejados a los atacantes. Una mentalidad de resiliencia agrega una capa adicional: mientras hace todo lo posible para prevenir un ataque, también trabaja con la expectativa de que podrían atravesar sus defensas e invierte mucho en prepararse para responder y recuperarse cuando ocurra lo peor. Las organizaciones resilientes destinan recursos significativos a elaborar planes sobre lo que harán si ocurre un ataque, diseñar procesos para ejecutarlos cuando llegue el momento y practicar cómo poner estos planes en acción. La prevención es fundamental, pero no es suficiente.

En una encuesta a 30 ejecutivos de ciberseguridad que realicé durante una reunión en el programa Cybersecurity at MIT Sloan (CAMS), donde soy directora ejecutiva, estos líderes definieron la resiliencia cibernética como “prepararse para poder recuperarse de un evento cibernético”, “contar con recursos y procesos listos para cuando algo salga mal” y “la capacidad de una organización para minimizar el daño de un incidente cibernético y maximizar la recuperación”. Un encuestado simplemente explicó que la resiliencia era “cuando nadie sabe que lo han hackeado”.

Lo que las organizaciones con una mentalidad de resiliencia hacen de manera diferente

En mis conversaciones con ejecutivos de ciberseguridad, tanto los involucrados en el consorcio de investigación de CAMS como los externos, he descubierto que los líderes de organizaciones resilientes hacen algunas cosas de manera diferente.

1. Han construido una cultura de ciberseguridad.

Han invertido en mecanismos para que todos en la organización, desde el empleado de nivel más bajo hasta la junta directiva, tengan un rol que desempeñar para ayudar a que la organización sea segura y resiliente. Como no sabemos de dónde vendrá el próximo ataque, necesitamos que todos estén atentos. Las barreras tecnológicas no son suficientes.

2. Preparan sus respuestas ante un ciberataque y practican.

Vemos que estas organizaciones realizan cosas como ejercicios de simulación y simulacros en todos los niveles, para que todos sepan qué hacer en caso de un incidente. Los líderes pueden poner a prueba los procesos, las estructuras y la tecnología para responder más rápidamente.

3. Son “seguras por diseño”.

Estas organizaciones utilizan principios de “seguridad por diseño” que van mucho más allá de simplemente diseñar su tecnología de manera segura. El concepto de seguridad por diseño normalmente se refiere a la práctica de considerar la seguridad de un sistema o aplicación digital desde las primeras etapas del proceso de diseño, pero las empresas pueden aplicar esta práctica en toda la organización.

4. Cuentan con los procesos de comunicación adecuados, por lo que están preparadas para responder, independientemente de qué (o cuándo) ocurra.

La preparación de las comunicaciones en caso de crisis es habitual, pero revisar estos planes en el contexto de una vulneración cibernética puede revelar componentes inesperados o faltantes. Por supuesto, el tiempo es esencial en una crisis cibernética, por lo que cualquier retraso puede tener consecuencias no deseadas.