Una encuesta ‘Cyber ​​y el CFO’ realizada conjuntamente por ACCA, los Contadores Públicos de Australia y Nueva Zelanda, la Universidad de Macquarie y Optus mostraron que el 57% de los encuestados clasifica la seguridad cibernética en sus cinco principales riesgos comerciales y el 52% considera que la seguridad cibernética es un riesgo alto o muy alto para su organización. Tal vez no sea sorprendente, ya que se estima que el costo global del delito cibernético alcanzará los US $ 6 billones para 2021. Es un tema que nunca está lejos de la prensa. ¿Es este un riesgo comercial que nosotros, como profesionales financieros, podemos darnos el lujo de ignorar?

La debilidad en la seguridad cibernética es un riesgo comercial significativo en todas las organizaciones. El nivel de amenaza evoluciona y cambia a medida que cambia la tecnología. Sin embargo, las organizaciones están cada vez más conectadas en las formas en que emprenden negocios, y esto también transforma el perfil de riesgo. Sin embargo, la seguridad cibernética no se gestiona como un riesgo comercial y, con demasiada frecuencia, se deja a cargo solo de los profesionales de la tecnología de la información. El impacto no es solo financiero, es también operativo y afecta a la reputación de la organización.

Has sido atacado, pero ¿lo sabes?

¿La naturaleza evolutiva de la amenaza, la naturaleza cambiante del riesgo, significa que estamos menos cómodos para abordar este riesgo comercial? Hay un dicho en el mundo cibernético, hay quienes saben que han sido atacados y aquellos que han sido atacados pero no lo saben. El 54% de los encuestados no sabían que su organización había sido atacada o pensaban que nunca lo había sido. Solo el 26% de los encuestados sabía que su organización había sido atacada en los últimos seis meses.

Es hora de desempeñar su papel en la realidad del riesgo cibernético

No espere a que ocurra un ataque cibernético. No espere la multa o la pérdida de reputación medible. Los líderes financieros deben reconocer que el riesgo cibernético es muy relevante para ellos. La constante evolución de las amenazas y los riesgos es algo que los líderes de las organizaciones deben gestionar. Los equipos financieros con su amplia visión de la organización tienen un papel clave que desempeñar en el liderazgo.

Al hacer esto, debe asegurarse de estar completamente actualizado sobre la naturaleza del riesgo que la organización enfrenta de manera continua.

La naturaleza cambiante del riesgo continuará, así que aproveche los programas administrados por organismos profesionales y otros para mantenerse informado. El riesgo es más amplio de lo que la gente aprecia.

Redefina el riesgo

Como parte de esta amenaza en evolución, los ciberdelincuentes encuentran constantemente nuevas vulnerabilidades para explotar. La importancia de mantener el software y el hardware para protegerlo de la explotación es primordial. Esta no es toda la historia. Tradicionalmente, confiamos en la existencia de un perímetro seguro para nuestros sistemas de TI. Sin embargo, en nuestro mundo hiperconectado, el límite entre el interior y el exterior es borroso. Piense en los dispositivos personales que traemos al trabajo. Para gestionar eficazmente el riesgo cibernético, debemos pasar a un modelo de confianza cero, donde los usuarios y el equipo se verifican sistemáticamente antes de obtener acceso.

El proceso de un ciberataque es complejo. No necesariamente sucede de la noche a la mañana. El cibercriminal puede permitirse jugar un juego largo. Para preparar su ataque y luego explotar las vulnerabilidades hasta que se descubran, o si no, hasta el momento en que quieran irse y cubrirse donde han estado.

Directrices como las publicadas por el Centro de Seguridad Cibernética de Australia y el Centro Nacional de Seguridad Cibernética del Reino Unido proporcionan consejos prácticos para gestionar el riesgo cibernético, especialmente para las entidades más pequeñas. Sobre todo, independientemente de las consecuencias, debemos asegurarnos de informar un ciberataque a la autoridad nacional pertinente.

Centrarse en los planes de recuperación

Al prepararse para un ataque es importante no solo gestionar el ataque en sí, sino también gestionar la recuperación posterior. Esto requiere una planificación efectiva no solo para gestionar los problemas técnicos, sino también las relaciones con los reguladores, clientes y proveedores. Solo el 37% de los encuestados señalaron que existía un plan de remediación que se actualizaba y probaba regularmente. No solo debemos preocuparnos por la pérdida de información de identificación personal. Es cómo hacemos negocios en el mundo conectado.

Audite su cadena de suministro

Nuestras cadenas de suministro se vuelven cada vez más complejas e integradas. Nuestros riesgos cibernéticos existen en el límite de nuestras organizaciones, que bien pueden ser una conexión directa con un tercero. El punto más débil puede ser ese tercero. Brindar apoyo y evaluar la vulnerabilidad de estos terceros es esencial, sin embargo, el 41% de los encuestados no tenía conocimiento de ninguna evaluación o auditoría de seguridad cibernética que se realizara en la cadena de suministro de su organización.

Invierta en un seguro cibernético

El riesgo cibernético debe ser un tema que el liderazgo de la organización revise y tome medidas regularmente como parte de sus evaluaciones de riesgos comerciales. El impacto financiero potencial necesita ser calificado. Para el cibercriminal, la actividad puede ser más rentable que cualquier otra actividad ilegal. Pagar a los delincuentes para desbloquear datos atacados a través de ransomware lo marcará como un objetivo vulnerable en la web oscura. El seguro ayudará a gestionar algunas de las pérdidas derivadas de un ataque, y el 44% de los encuestados no estaban seguros de que su organización tuviera un seguro cibernético, si la cobertura está en un nivel adecuado.

Algunos pasos clave que debe tomar

• Asegúrese de que las responsabilidades y las responsabilidades de la seguridad cibernética se establezcan adecuadamente.
• Asegúrese de que el riesgo cibernético que enfrenta la organización se cuantifica adecuadamente.
• Tome conciencia de que no se trata de «si» eres atacado, sino de «cuándo» y «cómo».
• Asegúrese de que las evaluaciones de riesgo cibernético se realicen periódicamente y se revisen a nivel de la junta.
• Asegúrese de que se asignen recursos suficientes para la prevención del riesgo cibernético, incluidas las personas calificadas, así como las medidas de protección.
• Revise los resultados de las actividades de prevención cibernética de forma regular.
• Comprenda qué elementos de datos respaldan sus operaciones comerciales críticas y asegúrese de que estén protegidos adecuadamente.

Fuente: IFACC – Federación Internacional de Contadores