La ciberresiliencia es más que una simple palabra de moda: es un componente fundamental de la estrategia empresarial. Así lo afirma Rosa Kariger, una destacada experta en ciberseguridad, que recientemente participó junto al presidente y director ejecutivo de Commvault, Sanjay Mirchandani, en el podcast «Resilience Uncompromised». Rosa reflexiona sobre su experiencia como directora de seguridad de la información (CISO) en Iberdrola y en el ámbito de la ciberseguridad en el Foro Económico Mundial, y comparte valiosas ideas sobre cómo las organizaciones pueden fomentar una cultura de ciberresiliencia.
La ciberresiliencia como riesgo operativo
La ciberresiliencia no consiste únicamente en contar con sistemas sólidos de Recovery y copias de seguridad. Se trata de garantizar que tu empresa pueda seguir funcionando y prestando los servicios esenciales incluso cuando tu infraestructura informática se vea comprometida. Rosa hace hincapié en que la ciberresiliencia debe integrarse en tu estrategia global de gestión de riesgos. Esto significa considerar la ciberseguridad como un factor estratégico que impulsa el negocio, y no solo como un reto técnico.
La importancia de la preparación
La preparación es una piedra angular de la ciberresiliencia. Rosa destaca la necesidad de planificar escenarios, especialmente para situaciones en las que se podría perder por completo la conectividad. Es fundamental contar con un plan B para las funciones críticas de la empresa. Esto permite a tu organización mantener sus operaciones y seguir prestando servicio a tus clientes durante un incidente cibernético.
Responsabilidades y rendición de cuentas claras
Para crear una cultura de resiliencia cibernética es necesario establecer responsabilidades y obligaciones claras. Rosa señala que todos los empleados, especialmente aquellos que implementan tecnología, deben asumir la responsabilidad de la ciberseguridad de sus procesos. La ciberseguridad no debe ser responsabilidad exclusiva del CISO ni de los equipos de TI. Por el contrario, debe ser una responsabilidad compartida por toda la organización.
Se debe incentivar a los profesionales técnicos para que velen por la ciberseguridad, ya que son responsables de la calidad, la eficiencia y el coste de la tecnología con la que trabajan. Este enfoque integra la ciberseguridad en el núcleo de las operaciones empresariales y garantiza que no se trate como algo secundario.
El papel de la función de ciberseguridad
La función de ciberseguridad debe actuar como asesora y como segunda línea de defensa. Esto implica proporcionar orientación e información a la organización, mientras que las responsabilidades específicas en materia de ciberseguridad se integran en los equipos técnicos y operativos. De este modo, la función de ciberseguridad puede ofrecer perspectivas estratégicas y apoyo, contribuyendo a crear una organización más resiliente y segura.
Medidas prácticas para desarrollar la resiliencia cibernética
Crear una cultura de resiliencia cibernética no consiste únicamente en implementar tecnologías de seguridad avanzadas, sino en fomentar una mentalidad en la que todos los empleados comprendan la importancia de la ciberseguridad y asuman su responsabilidad al respecto. A continuación se ofrecen algunas medidas prácticas y ejemplos reales que pueden ayudar a las organizaciones a lograrlo:
- Integrar el riesgo cibernético en la gestión global de riesgos: esto significa que los riesgos asociados al uso de la tecnología se identifican, se aceptan y se gestionan a todos los niveles. De este modo, los empleados están mejor preparados para hacer frente a los incidentes cibernéticos, lo que garantiza la continuidad de la actividad empresarial incluso cuando la tecnología falla.
- Mejorar la preparación: Realizar simulacros periódicos de pérdida total de conectividad u otras interrupciones graves. Esto contribuye a aumentar la tolerancia de la organización ante los fallos. Por ejemplo, una entidad financiera podría simular una situación en la que se interrumpan todas las transacciones digitales y los empleados tengan que recurrir a procesos manuales para continuar con las operaciones.
- Definir funciones y responsabilidades claras: hay que asegurarse de que todos los equipos, incluidas las funciones técnicas y operativas, tengan responsabilidades claras en materia de ciberseguridad. Esta responsabilidad distribuida motiva a todos a mantener la seguridad. Por ejemplo, en un entorno industrial, un ingeniero que trabaje en la digitalización de un proceso debería ser responsable de la ciberseguridad de dicho proceso, y no solo el CISO.
- Impartir una formación adecuada: la formación es fundamental para que los empleados puedan gestionar los riesgos de ciberseguridad de forma eficaz. Los profesionales técnicos deben recibir formación para comprender y mitigar los riesgos de ciberseguridad en sus funciones específicas. De este modo, se garantiza que cuenten con los conocimientos necesarios y sean capaces de aplicar las medidas de protección necesarias.
- Aplicar una estrategia de «continuidad»: elaborar un plan B para garantizar la continuidad de la actividad empresarial ante interrupciones en la infraestructura informática. Esto podría implicar disponer de sistemas de respaldo, procesos manuales o canales de comunicación alternativos. Por ejemplo, un centro sanitario podría contar con un plan para utilizar historiales en papel y registros manuales en caso de que su sistema de historiales médicos electrónicos dejara de funcionar.
Siguiendo estos pasos, las organizaciones pueden crear una sólida cultura de ciberresiliencia. Este enfoque ayuda a preparar a todo el mundo para gestionar incidentes cibernéticos, garantizar la continuidad de las actividades empresariales y proteger la información confidencial.
La ciberresiliencia es un proceso, no un objetivo final. Al integrar la ciberseguridad en tus prácticas de gestión de riesgos, fomentar una cultura de responsabilidad y contar con una plantilla bien preparada e informada, puedes contribuir a crear una organización resiliente, preparada para afrontar cualquier reto. Mantente proactivo, mantente informado y mantén tu resiliencia.
