La incertidumbre es generalizada entre las empresas sobre quién toma la iniciativa en el ámbito cibernético, dice Willis Towers Watson.
La mayoría de los ejecutivos de todo el mundo sienten que se enfrentan a un dilema de “especialista-generalista” en cuanto a quién lidera la resiliencia cibernética debido a su naturaleza crítica en toda la empresa, pero también el reconocimiento de que la especialización es necesaria. Esto es de acuerdo con los resultados de una encuesta global realizada por The Economist Intelligence Unit (EIU) y patrocinada por Willis Towers Watson. La EIU encuestó a más de 450 empresas de todo el mundo sobre sus estrategias y los desafíos que enfrentan para construir una organización ciberresiliente. Casi el 40 por ciento de los ejecutivos encuestados consideró que la junta debería supervisar el ciberespacio, en comparación con el 24 por ciento que opinó que debería ser el papel de un comité cibernético especializado. Una pequeña parte de los encuestados cree que debería ser responsabilidad de auditoría, riesgo o algún otro subgrupo.
La encuesta también encontró que la comunicación dentro de los roles de liderazgo con respecto a los riesgos de seguridad cibernética también es inconsistente:
- Solo el 8% de los ejecutivos dice que su CISO o equivalente se desempeña por encima del promedio en la comunicación de las consecuencias financieras, laborales, de reputación o personales de las amenazas cibernéticas.
- Menos de una cuarta parte de los ejecutivos dice que sus reuniones informativas de la junta de ciberresiliencia están «muy por encima del promedio».
- Menos del 15% otorga a sus CISO o su equivalente una calificación máxima de una escala de uno a diez.
“No es de extrañar que uno de los principales desafíos que enfrentan las empresas al implementar un plan de mitigación o resiliencia del riesgo cibernético sea la brecha de comunicación entre la junta y el CISO”, dice Anthony Dagostino, director global de riesgo cibernético de Willis Towers Watson. “La resiliencia cibernética comienza con la junta porque comprenden el riesgo y pueden ayudar a sus organizaciones a establecer la estrategia adecuada para mitigar ese riesgo de manera efectiva. Sin embargo, aunque los CISO son especialistas en seguridad, la mayoría de ellos todavía luchan por traducir adecuadamente las amenazas de seguridad en un impacto operativo y financiero para sus organizaciones, que es lo que las juntas quieren entender. Para cerrar esta brecha de comunicación, los CISO necesitan herramientas que puedan ayudarlos a cuantificar y traducir las vulnerabilidades descubiertas en sus evaluaciones de madurez de la seguridad cibernética. Estas herramientas les permiten comunicar mejor el riesgo a la junta, buscar un presupuesto adecuado y permitir que la junta proporcione una guía significativa ”.
Según la encuesta, el dilema especialista-generalista no solo se enfrenta a nivel de la junta, ya que la cibernética requiere conocimientos y habilidades especializadas junto con capacidades empresariales, laborales y de procesos en toda la empresa. Por ejemplo, dado que las vulnerabilidades de la fuerza laboral contribuyen a la mayoría de los incidentes cibernéticos, dos tercios de las empresas encuestadas creen que la asociación entre RR.HH. y Seguridad de la Información es clave. Cuando se les preguntó quién tiene un papel de liderazgo en el desarrollo de políticas de riesgo cibernético relacionadas con los empleados, el 54% dijo que RR.HH. lidera con asesoramiento en Seguridad de la Información y el 28% dijo que Seguridad de la Información lidera con asesoramiento de RR.HH. “Estos hallazgos son alentadores porque indican que más organizaciones están involucrando su función de recursos humanos para abordar el riesgo cibernético. Aún así, las organizaciones necesitan una mayor colaboración entre sus CHRO y sus CISO para evaluar verdaderamente la cultura organizacional que impulsa el riesgo cibernético en primera instancia. La solución no siempre es más formación en concienciación sobre seguridad. Podría ser un tema de liderazgo o incentivos y recompensas, cosas que caen directamente dentro de la función del CHRO ”, agregó Dagostino.
Algunos otros hallazgos clave en torno a las responsabilidades de liderazgo en cibernética incluyen:
- 3 de las 4 regiones encuestadas creen que la “junta en su conjunto” debería supervisar el riesgo cibernético, mientras que Europa cree que debería ser un grupo cibernético dedicado.
- Solo el 30 por ciento de los ejecutivos cree que tiene suficientes directores que comprenden los riesgos cibernéticos y solo el 23 por ciento está reclutando activamente directores que comprendan esos riesgos.
En todas las regiones, excepto en el Reino Unido, los jefes de ciberresiliencia informan al director ejecutivo. En el Reino Unido, la mayoría informa a la junta.