¿Es el CEO el culpable de una filtración de datos? ¡Los profesionales de Infosec han hablado!

El año pasado, ataques como Wannacry y Petya causaron interrupciones en todo el mundo, con innumerables violaciones de datos que dañaron nombres familiares. El daño a la reputación y el aumento del escrutinio público, junto con el costo promedio de una violación de datos ahora se estima en $ 3.62 millones a nivel mundial, puede paralizar gravemente una empresa al borde de la quiebra. Entonces, si ocurre una violación de datos, ¿quién tiene la culpa? Tripwire, un proveedor global líder de soluciones de seguridad y cumplimiento para empresas y organizaciones industriales, realizó una encuesta en Infosecurity Europe 2017 para preguntar a los profesionales de la seguridad cuyo cuello está más en juego si una empresa tiene una violación de datos.
De los encuestados, el 40% creía que los CEO eran los primeros en estar en la línea de fuego si una empresa se veía comprometida por una violación de datos, seguidos por CISO (21%), «otros» (15%) y CIO (14%).[1]. Con base en estos resultados, los directores ejecutivos deben conocer los principios básicos de seguridad. Ya hemos visto a los CEO aceptar la responsabilidad por las filtraciones de datos. Marissa Mayer, directora ejecutiva de Yahoo, perdió su bono en efectivo tras una infracción durante su mandato.
Sin embargo, la responsabilidad de comprender e implementar la seguridad no debe recaer únicamente sobre los hombros del CEO. Los controles de seguridad fundamentales deben demostrarse desde el nivel de la junta hasta la fuerza laboral.
Tim Erlin, vicepresidente de Tripwire, dijo: “La responsabilidad comienza con el director ejecutivo, pero la seguridad de la información es una responsabilidad compartida en todas las funciones y niveles de una organización. Las filtraciones de datos son un problema que los ejecutivos a nivel de directorio deben ser responsables de abordar, lo que significa que el CISO debe participar en esas discusiones a nivel de directorio. La junta no puede tomar medidas de gestión de riesgos significativas y productivas sin esa experiencia en la sala «.
“Sin embargo, incluso las organizaciones más diligentes siguen siendo susceptibles a los ataques y al error humano. Las empresas deben implementar y mantener un conjunto básico de controles de seguridad fundamentales, que es una estrategia probada para reducir el riesgo de ciberataques. La atención debe centrarse en un equilibrio de herramientas y resultados, y especialmente en un equilibrio entre la prevención y la detección «.
Además de descubrir quién estaba en peligro debido a una violación de datos, Tripwire también descubrió qué departamentos de seguridad profesionales sentían que tenían más problemas con la seguridad cibernética. Casi un tercio (29%) pensaba que el departamento de Operaciones tenía problemas para hacer frente a los ciberataques. Los departamentos elegidos por los profesionales de seguridad incluyeron Finanzas (14%), Ventas (13%), RR.HH. (11%) y Marketing (10%) tuvieron dificultades para manejar ciberataques.[2].
Erlin agregó: “Las empresas deben reconocer la necesidad de un plan de respuesta a incidentes multifuncional. El peor momento para planificar un ataque cibernético es después de que ha ocurrido el incidente, pero esto es lo que sucede con demasiada frecuencia. La higiene de la seguridad contribuye en gran medida a dificultar el trabajo de los atacantes, así como a generar confianza en la seguridad general de su empresa, pero los incidentes aún ocurren y crear conciencia sobre el plan de respuesta a incidentes con anticipación evitará el pánico, especialmente de los grupos que no lo hacen. No te preocupes por estos ataques a diario «.

Resultados de la encuesta:

[1] En su organización, ¿quién está más en juego si tiene una violación de datos?
Resultados basados ​​en 350 respuestas:

• 39,71% CEO
• 20,86% CISO
• 14,57% Otros
• 13,71% CIO
• 6,00% CRO (Director de Riesgos)
• 3,71% director de operaciones
• 1,43% Director financiero

[2] En su organización, ¿qué departamento cree que tiene más problemas con la seguridad cibernética?
Resultados basados ​​en 350 respuestas a esta pregunta

• 14% Operaciones
• 43% Otro
• 00% Finanzas
• 86% Ventas
• 14% HR
• 43% Marketing