En 2024, las empresas adoptarán estrategias de gestión de riesgos más proactivas, no solo para intentar frustrar las amenazas maliciosas y las filtraciones de datos, sino también para cumplir con éxito el creciente número de normativas en materia de ciberseguridad.
A medida que el panorama de amenazas se amplía de forma significativa, especialmente en esta era de la inteligencia artificial, aumentan los requisitos para que las empresas sean transparentes en cuanto a los incidentes de seguridad y den a conocer los ataques y las filtraciones. Estas dos realidades impulsarán a las empresas a adaptar sus estrategias de ciberseguridad para alcanzar la ciberresiliencia.
¿Por qué la ciberresiliencia ahora?
La ciberresiliencia está cobrando protagonismo en muchas organizaciones de todo el mundo, a medida que los organismos reguladores y los legisladores buscan reforzar la transparencia en lo que respecta a los incidentes de ciberseguridad y a la preparación ante ellos.
«Quieren que los directivos de las empresas expliquen si la ciberseguridad forma parte de la estrategia empresarial, los procesos de gobernanza, la planificación financiera y la asignación de capital de la empresa, y de qué manera», afirmó Melissa Hathaway, presidenta de Hathaway Global Strategies y presidenta del Consejo de Ciberresiliencia de Commvault, en nuestro informe «7 tendencias emergentes en ciberresiliencia».
La normativa sobre ciberseguridad de la SEC, el Programa de Evaluadores Registrados en Seguridad de la Información (IRAP) de Australia, la normativa DORA de la UE e incluso normativas a nivel estatal, como los Códigos, Normas y Reglamentos de Nueva York (23 NYCRR, parte 500), están obligando a las empresas a adoptar medidas de transparencia.
En este artículo analizamos los requisitos normativos actuales y emergentes que los responsables de ciberseguridad deben dominar para garantizar que las empresas a las que prestan apoyo alcancen tanto el cumplimiento normativo como la ciberresiliencia.
SEC
La reciente norma de la SEC exige a las entidades registradas que den a conocer los incidentes de ciberseguridad de importancia significativa. Las repercusiones de esta norma hacen necesario que los responsables de seguridad y los altos directivos mantengan una estrecha coordinación en lo que respecta a los incidentes de ciberseguridad y a su notificación. Además, la norma de la SEC exige a las empresas que expliquen, en sus informes anuales, cómo se integran la ciberseguridad y su supervisión en su programa general de gestión de riesgos.
«Tanto si una empresa pierde una fábrica en un incendio como si pierde millones de archivos en un incidente de ciberseguridad, esto puede resultar relevante para los inversores», afirmó el presidente de la SEC, Gary Gensler, en un comunicado.
Cuando ya ha transcurrido casi una cuarta parte de 2024, se han presentado algunos informes 8-K ante la SEC en relación con incidentes cibernéticos, y las empresas cuyo ejercicio fiscal finalizó el 31 de diciembre están empezando a publicar sus informes 10-K con información actualizada sobre la resiliencia cibernética.
Reglamento 23 NYCRR, Parte 500
El Departamento de Servicios Financieros de Nueva York (NYDFS) elaboró la Segunda Enmienda al Capítulo 23 de los Códigos, Normas y Reglamentos de Nueva York (23 NYCRR, Parte 500) con el fin de reforzar y proteger los sistemas de información y financieros frente a la creciente prevalencia y sofisticación de los ciberataques. La ley exige a las entidades financieras sujetas a la competencia del NYDFS que implementen y mantengan un programa de ciberseguridad que incluya procedimientos diseñados para proteger los datos sensibles de los clientes frente a amenazas de seguridad y gestionar los riesgos cibernéticos.
Entre los requisitos para cumplir con la norma 23 NYCRR 500 se encuentran varios objetivos que las empresas sujetas a dicha norma deben esforzarse por cumplir. Para empezar, exige a las entidades que establezcan y mantengan un programa de ciberseguridad diseñado para salvaguardar la confidencialidad, la integridad y la disponibilidad de sus sistemas de tecnología de la información. El programa debe gestionar los riesgos en diversas áreas operativas, entre las que se incluyen la seguridad de la información, la gobernanza de datos, el inventario de activos, las operaciones de los sistemas, la seguridad de los sistemas y de la red, la privacidad de los datos de los clientes y otras.
La ley exige a las empresas que realicen pruebas de penetración y evaluaciones de vulnerabilidad. Y la lista continúa para las entidades afectadas.
DORA
Los responsables de ciberseguridad y los directivos empresariales también siguen de cerca la proximidad de los plazos de la Ley de Resiliencia Operativa Digital (DORA).
La DORA entró en vigor el 16 de enero de 2023, con un plazo de aplicación de dos años. Se espera que las entidades financieras afectadas cumplan con la normativa a más tardar el 17 de enero de 2025. Aunque la ley se centra en las organizaciones de la Unión Europea (UE), las entidades de fuera de la UE pertenecientes a los sectores financiero y de las tecnologías de la información y la comunicación (TIC) también deben adaptarse a la DORA si prestan servicios de TIC esenciales a entidades financieras con sede en la UE.
La DORA establece un marco normativo para la resiliencia operativa digital, en virtud del cual todas las entidades afectadas deben actuar para resistir, responder y recuperarse ante las perturbaciones y amenazas relacionadas con las TIC. La ley tiene por objeto prevenir y mitigar las ciberamenazas. La DORA se articula en torno a cinco pilares fundamentales, que son los siguientes:
- Gestión de riesgos de las TIC
- Notificación de incidentes relacionados con las TIC
- Pruebas de resiliencia operativa digital
- Riesgos de terceros en el ámbito de las TIC
- Intercambio de información
El objetivo de DORA es mejorar la resiliencia de las infraestructuras digitales críticas frente a las amenazas y los ataques a la ciberseguridad. Al ajustarse a los principios de DORA, las organizaciones están más cerca de mejorar su perfil de ciberresiliencia.
Adquiere resiliencia cibernética
Si el panorama de amenazas, en constante expansión, no basta para dejar claro que es necesario desarrollar la resiliencia cibernética, la avalancha de nuevas normativas lo deja aún más patente. Las empresas deben comprender cuáles son sus obligaciones en materia de presentación de informes.
Para muchas empresas, el cumplimiento de la gran cantidad de normativas exigirá que los conocimientos sobre ciberseguridad vayan más allá del CISO y se extiendan a toda la organización. Esto significa que los responsables de seguridad deben colaborar con los directivos de alto nivel y con el consejo de administración para lograr la transparencia y la ciberresiliencia.
Para obtener más información sobre cómo Commvault Cloud puede ayudar a su organización en su camino hacia la ciberresiliencia, visite: https://www.commvault.com/platform.
