La ciberresiliencia es más que una simple palabra de moda: es un componente fundamental de la estrategia empresarial. Así lo afirma Rosa Kariger, una destacada experta en ciberseguridad, que recientemente participó junto al presidente y director ejecutivo de Commvault, Sanjay Mirchandani, en elpodcast «Resilience Uncompromised». Rosa reflexiona sobre su experiencia como directora de seguridad de la información (CISO) en Iberdrola y en el ámbito de la ciberseguridad en el Foro Económico Mundial, y comparte valiosas ideas sobre cómo las organizaciones pueden fomentar una cultura de ciberresiliencia.
La ciberesiliencia como riesgo operativo
La ciberresiliencia no consiste únicamente en contar con sistemas sólidos de Recovery y de copias de seguridad. Se trata de garantizar que tu empresa pueda seguir funcionando y prestando los servicios esenciales incluso cuando tu infraestructura informática se vea comprometida. Rosa hace hincapié en que la ciberresiliencia debe integrarse en tu estrategia global de gestión de riesgos. Esto significa considerar la ciberseguridad como un factor estratégico que impulsa el negocio, y no solo como un reto técnico.
La importancia de la preparación
La preparación es una piedra angular de la resiliencia cibernética. Rosa destaca la necesidad de planificar escenarios, especialmente para situaciones en las que se podría perder por completo la conectividad. Es fundamental contar con un plan B para las funciones críticas de la empresa. Esto permite a tu organización mantener sus operaciones y seguir prestando servicio a tus clientes durante un incidente cibernético.
Responsabilidades y rendición de cuentas claras
Para crear una cultura de resiliencia cibernética es necesario establecer responsabilidades y obligaciones claras. Rosa señala que todos los empleados, especialmente aquellos que implementan tecnología, deben asumir la responsabilidad de la ciberseguridad de sus procesos. La ciberseguridad no debe ser responsabilidad exclusiva del CISO ni de los equipos de TI. Por el contrario, debe ser una responsabilidad compartida por toda la organización.
Se debe incentivar a los profesionales técnicos para que velen por la ciberseguridad, ya que son responsables de la calidad, la eficiencia y el coste de la tecnología con la que trabajan. Este enfoque integra la ciberseguridad en el núcleo de las operaciones empresariales y garantiza que no se trate como algo secundario.
El papel de la función de ciberseguridad
La función de ciberseguridad debe actuar como asesora y como segunda línea de defensa. Esto implica proporcionar orientación e información a la organización, mientras que las responsabilidades específicas en materia de ciberseguridad se integran en los equipos técnicos y operativos. De este modo, la función de ciberseguridad puede ofrecer perspectivas estratégicas y apoyo, contribuyendo a crear una organización más resiliente y segura.
Medidas prácticas para desarrollar la resiliencia cibernética
Crear una cultura de resiliencia cibernética no consiste únicamente en implementar tecnologías de seguridad avanzadas, sino en fomentar una mentalidad en la que todos los empleados comprendan la importancia de la ciberseguridad y asuman su responsabilidad al respecto. A continuación se ofrecen algunas medidas prácticas y ejemplos reales que pueden ayudar a las organizaciones a lograrlo:
- Integrate cyber risk into overall risk management: This means that risks associated with technology use are identified, accepted, and managed at all levels. By doing so, employees are better prepared to handle cyber incidents, maintaining continuous business continuity even when technology fails.
- Increase preparedness: Conduct regular scenarios of complete loss of connectivity or other major disruptions. This helps in increasing the organization’s tolerance to failure. For example, a financial institution might simulate a scenario where all digital transactions are halted, and employees must rely on manual processes to continue operations.
- Define clear roles and responsibilities: Confirm that every team, including technical and operational roles, has clear cybersecurity responsibilities. This distributed accountability makes everyone incentivized to maintain security. For instance, in an industrial setting, an engineer working on the digitalization of a process should be accountable for the cybersecurity of that process, not just the CISO.
- Provide proper training: Training is crucial to enable employees to manage cybersecurity risks effectively. Technical professionals should be trained to understand and mitigate cybersecurity risks in their specific roles. This verifies that they are knowledgeable and capable of implementing necessary safeguards.
- Implement a “sustain” strategy: Develop a Plan B to maintain continuous business during IT infrastructure disruptions. This could involve having backup systems, manual processes, or alternative communication channels. For example, a healthcare provider might have a plan to use paper records and manual check-ins if their electronic health records system goes down.
Siguiendo estos pasos, las organizaciones pueden crear una cultura sólida de ciberresiliencia. Este enfoque ayuda a preparar a todo el mundo para gestionar incidentes cibernéticos, garantizar la continuidad de las actividades empresariales y proteger la información confidencial.
La resiliencia cibernética es un proceso, no un objetivo final. Al integrar la ciberseguridad en tus prácticas de gestión de riesgos, fomentar una cultura de responsabilidad y contar con una plantilla bien preparada e informada, puedes contribuir a crear una organización resiliente, preparada para afrontar cualquier reto. Mantente proactivo, mantente informado y mantén tu resiliencia.
