Fomento de la confianza del cliente: ciberseguridad en los programas de RSE.

Escrito por Jake Olcott, vicepresidente de comunicaciones y asociaciones estratégicas, BitSight

En el panorama cambiante de riesgo cibernético actual, los Consejos de Administración están cada vez más preocupados por el desempeño de seguridad de su empresa. De hecho, la NACD ha descubierto que el 89% de las empresas públicas y el 72% de las empresas privadas discuten regularmente la seguridad en las reuniones de la Junta. Esto se debe a que los directores se han vuelto abrumadoramente conscientes no solo de que ha habido un flujo continuo de violaciones de datos en los últimos años, sino también de que el aumento de la regulación como el GDPR ha aumentado tanto los riesgos de cumplimiento como la conciencia pública de las responsabilidades de las empresas para proteger a las personas. datos. Las juntas directivas se ven obligadas a reconocer que los efectos de una violación de datos van mucho más allá de los costos directos directos; también hay un impacto significativo en la confianza del cliente.

Para poner un poco de contexto en torno a esto, el informe de violación de datos del Ponemon Institute publicado en julio de 2018 encontró que el costo promedio de una violación de datos ha alcanzado un máximo histórico de $ 3.86 millones, un 10% más desde 2014. Sin embargo, según el informe, Los costos ocultos o indirectos de una infracción, incluida la notificación a los clientes y cualquier pérdida posterior de negocios, con frecuencia superan con creces los costos directos de las multas y los compromisos legales. Por ejemplo, las empresas que perdieron menos del 1% de los clientes existentes después de una infracción incurrieron en un costo total promedio de $ 2,8 millones (£ 2,1 millones), mientras que las empresas que experimentaron una tasa de abandono superior al 4% perdieron $ 6 millones (£ 4,5 millones). de media.

Este considerable potencial de pérdidas financieras significa que no es sorprendente que el riesgo cibernético, junto con la gestión de la reputación, esté aumentando en la agenda de la junta. Los directores se esfuerzan por comprender y cuantificar el riesgo cibernético en los mismos términos en que evalúan el riesgo estratégico, el riesgo de cumplimiento y el riesgo operativo. Otra preocupación emergente para los directores es el riesgo de terceros para su negocio de su cadena de suministro y ecosistema empresarial más amplio: un compromiso de cualquiera de esos socios de confianza podría conducir a una filtración de datos o interrupción del sistema. Un estudio reciente de Gartner descubrió que casi el 70% de los directores ejecutivos de auditoría ven el riesgo de terceros como una de sus principales preocupaciones a medida que nos acercamos a 2019.

Entonces, ¿cómo pueden las empresas mitigar estos riesgos? La evidencia del informe del Ponemon Institute muestra que las organizaciones que se están enfocando proactivamente en construir la confianza del cliente, tanto antes como después de una violación de datos, y plantearlo a nivel de directorio están mejor aisladas contra el daño a la reputación causado por las violaciones. Han reducido la cantidad de clientes perdidos y, en última instancia, han reducido el costo de la infracción. Por ejemplo, cuando una empresa desplegó un líder de alto nivel, como un director de privacidad (CPO) o un director de seguridad de la información (CISO), para dirigir las iniciativas de confianza de los clientes, perdieron menos clientes y minimizaron las consecuencias financieras de una infracción. Además, las organizaciones que ofrecían protección de identidad a las víctimas de violaciones de datos conservaban más clientes que las que no lo hacían.

El riesgo cibernético y la confianza del cliente: un problema de RSC cada vez mayor

Claramente, mejorar la confianza del cliente y demostrar transparencia son estratégicamente valiosos para las empresas, y es interesante ver cómo las organizaciones abordan este problema y comunican su progreso a las partes interesadas. Cabe destacar que el riesgo cibernético ya no es dominio exclusivo del CIO. El impacto potencial más amplio de las fallas de seguridad y las violaciones de datos en el bienestar del cliente y la sostenibilidad empresarial significa que se ha trasladado al ámbito de la responsabilidad social corporativa (RSC).

Uno de nuestros clientes, la empresa de energía EDP, es actualmente la empresa de servicios públicos integrada mejor calificada a nivel mundial, habiendo obtenido la puntuación más alta del Índice de Sostenibilidad Dow Jones. Están comprometidos con la mejora continua y la transparencia en RSE.

EDP ​​ha identificado «mejorar la confianza» como una prioridad estratégica fundamental, afirmando que «la confianza es un activo que queremos reforzar». Por tanto, la compañía incluye información sobre las iniciativas emprendidas y los avances logrados hacia ese objetivo en sus informes anuales. Cuando se trata de ciberseguridad, EDP reconoció que el riesgo cibernético en su cadena de suministro extendida debe ser monitoreado de manera proactiva para proteger a los clientes. Por lo tanto, la compañía ha adoptado calificaciones de BitSight Security para evaluar continuamente su propio desempeño en ciberseguridad y el de su ecosistema de proveedores externos. Esta evaluación uniforme extiende los principios de sostenibilidad y seguridad a lo largo de la cadena de valor.

Al medir el desempeño en seguridad, EDP impulsa la mejora continua entre sus proveedores e identifica rápidamente cualquier riesgo emergente. Esto, a su vez, influye en el valor para los accionistas al fortalecer la confianza del cliente y es la razón por la que la empresa eligió incluir su calificación de seguridad BitSight en su informe anual de RSC.

Manteniéndolo simple

La clave para el éxito de informar sobre el progreso de la seguridad cibernética a las partes interesadas es la simplicidad. Los informes de ciberseguridad pueden ser complejos y opacos, hasta el punto de que incluso los directores de la junta tienen dificultades para comprenderlos. Una organización puede decidir «mejorar su postura de seguridad» o «cambiar su perfil de riesgo», pero puede ser difícil para un público más amplio entender lo que eso significa.

Cuando se informa a nivel general, las organizaciones necesitan una métrica simple que se pueda presentar como un indicador clave de rendimiento. Esto proporciona un punto de referencia y se puede utilizar para establecer objetivos y luego demostrar el progreso a lo largo del tiempo. En el caso de EDP, su calificación inicial de BitSight el 1 de enero era 590, y establecieron el objetivo de lograr una calificación de 640 en el transcurso del año calendario. La calificación real que alcanzaron el 31 de diciembre fue de 650, por lo que pudieron demostrar de manera clara y sencilla a una audiencia no técnica que habían superado con éxito su objetivo.

Por supuesto, detrás de ese único número de calificación hay un análisis integral en el que los directores de la junta pueden profundizar para recopilar inteligencia sobre sistemas comprometidos y vulnerabilidades, diligencia y protocolos de seguridad, riesgos de comportamiento del usuario, infraestructura de red y problemas de infraestructura de dominio. Luego, pueden identificar áreas para la mitigación de riesgos, la mejora y la inversión.

Sin embargo, tener ese número de referencia superior ofrece una indicación de un vistazo de cómo se está desempeñando la organización y su ecosistema. Esto ayuda a los miembros de la junta a cuantificar el riesgo de seguridad de manera más efectiva y a tomar decisiones informadas sobre temas como los niveles requeridos de cobertura de seguro cibernético.

La confianza como diferenciador empresarial

En 2019, comenzaremos a ver el impacto real de los cambios regulatorios como GDPR y el perfil público de las organizaciones que han sufrido infracciones se probará seriamente. Creo que veremos que más empresas se vuelven proactivas para mejorar la confianza de los clientes y la transparencia en torno a la ciberseguridad y la protección de datos, con el objetivo de minimizar los costos «suaves» de las infracciones que, en el entorno de seguridad actual, son inevitables.

A medida que la forma en que las organizaciones y los usuarios finales ven la ciberseguridad continúa madurando y desarrollándose, veremos que más y más empresas fortalecen sus comunicaciones en torno a la gestión, protección y preparación del riesgo cibernético, presentando la confianza como un diferenciador comercial. Harán que esto sea parte de su programa de RSE, así como de su programa de seguridad, en un intento por mitigar el riesgo no solo a nivel financiero, sino también a nivel de reputación.