Decodifica el ciber riesgo: más allá del plan de seguridad informática

Decodifica el ciber riesgo: más allá del plan de seguridad informática

publicado en: Gestión de Riesgos | 0

Durante la primera mitad de 2017, se registraron 69.644 ciber ataques en España, según datos del INCIBE. ¿Está fallando el plan de seguridad informática de las empresas? Más de la mitad de los incidentes registrados en el mundo empiezan con un fallo humano. De media, cada brecha en el sistema supone un gasto de cuatro millones de dólares. El problema, está claro, no es solo tecnológico.

DESCARGAR INFORME

“La respuesta pasa por un plan integral de gestión de riesgo a nivel de personal, capital y tecnología en toda la compañía”, señala Anthony Dagostino, head of Global Cyber Risk en Willis Towers Watson. “Y no solo nos referimos a un ejercicio para los departamentos de riesgos de grandes empresas. La pequeña y mediana empresa también son objetivo de los ciberataques”.

Así, un plan integral de ciber seguridad debería contemplar tres fases: evaluación, protección y recuperación.

 

En qué consiste un plan de seguridad informática  

 

1.- Evaluar el plan de seguridad informática

Como ante cualquier estrategia bien hecha, lo primero es evaluar el riesgo real. Así, es importante comprobar la estabilidad del firewall, la estructura de seguridad informática y los procesos (internos y externos) de manejo de datos. Según el informe sobre ciber riesgos de Willis Towers Watson, Cyber Claims Brief, la clave estaría también en evaluar los riesgos en el capital humano y la cultura corporativa.

“La baja implicación de los trabajadores en la compañía se relaciona directamente con el aumento del ciber riesgo. La gente que se siente menos identificada con su empleo y/o su lugar de trabajo tiende a ser menos cuidadosa”, explica Dagostino. “Una investigación bien hecha puede desvelar aspectos de la cultura corporativa que incrementan el potencial de los ciber incidentes”.

“La gente que se siente menos identificada con su empleo y/o su lugar de trabajo tiende a ser menos cuidadosa”

Otro aspecto central de la fase de evaluación es constatar la velocidad de respuesta ante un ataque. Es importante tener claro qué hacer cuando se pone en riesgo la ciber seguridad de la empresa. En este proceso, se hace necesaria la participación de expertos que señalen los puntos débiles del plan de seguridad y analicen los riesgos.

 

2.- La protección (no solo tecnológica)

Las herramientas y métodos informáticos son importantes en una estrategia de ciber seguridad. Sin embargo, son solo la primera capa de protección. La implicación de los trabajadores y la gestión del riesgo del capital son tanto o más importantes.

“Los trabajadores necesitan preparación y formación para manejar las herramientas de ciber seguridad y conocer los riesgos a los que ellos mismos pueden exponer a la compañía”, indica el experto de Willis Towers Watson. De esta forma, las compañías deben centrarse en:

  • Identificar las lagunas de conocimiento de sus empleados en términos de ciber seguridad.
  • Construir un capital humano que esté más comprometido con el plan de seguridad informática de la compañía.

“Incluso los trabajadores más preparados pueden cometer errores. El riesgo nunca se podrá eliminar”

La tercera pata de una buena estrategia de ciber protección es la gestión del riesgo del capital. “Incluso los trabajadores más preparados pueden cometer errores. El riesgo nunca se podrá eliminar. Por eso, se debe proteger el capital que se puede poner en riesgo tras un ciber ataque”, señala Anthony Dagostino. ¿Y cómo?

 

  • Desarrollo e implantación de un ciber seguro. Existen diferentes coberturas en el mercado y programas de transferencia del riesgo a medida.
  • Estudiar cómo una aseguradora cautiva puede ser útil para encontrar el equilibrio entre retener y transferir el riesgo.

 

3.- Capacidad de respuesta y recuperación

Tras un ciber ataque, cada segundo que pasa tiene un coste. La reputación, la fidelidad de los clientes, las operaciones, el negocio y los costes de responsabilidad se ven afectados. “La empresa tiene que estar preparada para recuperarse de estos costes, analizar qué ha pasado y desarrollar nuevas estrategias de defensa”, puntualiza el experto de Willis Towers Watson.

  • Coordinar la respuesta. Los planes de respuesta tienen que contar con fondos y personal asignados. Incluso se pueden contratar recursos externos para mejorar la capacidad de respuesta.
  • Defenderse ante las reclamaciones. Tras un incidente, probablemente lleguen demandas y reclamaciones. Contar con un equipo legal es esencial para minimizar su impacto.
  • Contabilidad forense. Un equipo de contables forenses y expertos en fraude puede cuantificar los riesgos previos al ciber ataque y las pérdidas potenciales tras el incidente.
  • Minimizar la interrupción de la actividad. Se debe trabajar en todos los departamentos para que el negocio se vea interrumpido lo mínimo posible tras un ciber ataque.

“El ciber riesgo está en constante evolución. Tu habilidad para gestionarlo también debería estarlo. No todo es luchar contra los hackers. Se trata también de tus trabajadores y de los millones de dólares que están en juego en cada ataque”, concluye Anthony Dagostino.

 

New Call-to-action

 

Comparte

Dejar una opinión