A medida que la frecuencia de los ciberataques sigue aumentando, las organizaciones deben estar mejor preparadas para mitigar dichos eventos. Los ciberdelincuentes están obteniendo cada vez más acceso a herramientas como el ransomware, lo que les facilita lanzar ataques y, en consecuencia, las organizaciones deben tener una estrategia definida de gestión de riesgos cibernéticos para hacer frente a estos ataques.

En 2018, el coste medio de una infracción cibernética fue de 3,86 millones de dólares, un 6,4 % más que el año anterior. Las estadísticas se han duplicado en porcentaje, con lo que el coste total de un ciberataque asciende a 4,6 millones de dólares en 2019. El alto coste de una violación se debe a una protección inadecuada o inexistente contra un hackeo. Y así, la Autoridad Canadiense de Registro de Internet (CIRA) estaba investigando esta preocupante tendencia y reveló que el 37 % de los encuestados no tenían protección contra malware y el 71 % no tenía una política de parches. Con hallazgos tan preocupantes, está claro que el riesgo cibernético debe ocupar un lugar destacado en la lista de prioridades para que las organizaciones lo mitiguen. Hay algunos factores clave que las organizaciones deben considerar implementar para facilitar el proceso de hacer frente a un ciberataque a medida que se desarrolla y proteger contra otro suceso.

Comunicación clara de los riesgos cibernéticos a la Junta

En caso de una infracción cibernética, un CIO o un equipo similar participará inmediatamente para evaluar los riesgos. Una vez completado un análisis de la situación, el equipo debe comenzar a implementar la estrategia de mitigación de riesgos de la organización (si existe). Comprender el coste de la situación es pertinente informar al resto del equipo ejecutivo para entender cuánto daño se ha hecho.

Este proceso se desarrolla a partir de una profunda comprensión y experiencia de la ciberseguridad y puede que no se traduzca necesariamente en la junta. Como tal, una parte clave de la notificación de riesgos debe ser la conciencia de dónde se encuentra la comprensión de la seguridad cibernética por parte de la junta y cerrar la brecha sobre el pensamiento de riesgo cibernético entre el equipo de tecnología y la junta. La junta podría considerar una violación como una no cuestión y ponerla en un lugar bajo de la lista de prioridades a tratar. Necesitan ser preparados e informados de forma proactiva de que si un ciberataque golpeara a la empresa, cuáles serán los efectos en términos de dólares reales (sin mencionar la reputación de la empresa y la seguridad de la información), por qué deben preocuparse y cómo proceder después de la incumplimiento. Esto creará una mayor comprensión de la ciberseguridad en la mente de la junta y la colocará más arriba en su lista de prioridades.

Tener una estrategia definida de gestión del riesgo cibernético

Una estrategia de gestión de riesgos cibernéticos le permitirá ponerse frente a los ciberdelincuentes y darle un plan claro para seguir el orden de mitigar la violación. Imagine un ataque DDoS (denegación de servicio distribuido) que apague los servidores de la empresa, evitando que los clientes potenciales interactuen con su sitio web y causando una caída en las compras (léase: ingresos). Una estrategia de riesgo definida permitirá mitigar rápidamente los ataques y minimizar el impacto en su balance.

Otro activo que puede verse afectado por un ciberataque es la reputación de la empresa: es intangible, pero invaluable. Después de haber mencionado ya la violación de Equifax en este entorno de blog, es importante recordar el estudio de caso y la mala gestión del riesgo cibernético por parte de la empresa. La empresa anunció la infracción el 7 de septiembre de 2017. La primera vez que notó tráfico sospechoso fue el 7 de julio, después de lo cual se contrató a una empresa independiente de ciberseguridad para investigar el ataque, que comenzó el 2 de agosto. Estas grandes brechas de tiempo son un ejemplo de Equifax luchando por encontrar una manera de mitigar el ataque en el último minuto, o siendo perezoso (lo cual es aún más desafortunado). Para empeorar las cosas, los ejecutivos de Equifax vendieron 1,8 millones de dólares en acciones de la empresa entre el 1 y el 2 de agosto, lo que creó la impresión de que conocían la brecha (aunque la negaron) que dañó aún más la reputación de la empresa. Imagine cómo deben sentirse los clientes actuales desde la violación; ¿qué haría que un cliente potencial quisiera inscribirse en sus servicios después de tal ocurrencia (y sentirse seguro de su seguridad)?

¡En resumen!

Con los ciberataques nuevos y cada vez más peligrosos por parte de delincuentes, la mitigación del riesgo cibernético debería ser una piedra angular del marco de gestión de riesgos de una empresa. Es pertinente abordar la comunicación y es crucial para proporcionar a una organización un plan de respuesta después de una violación cibernética. Otra gran parte de la gestión y prevención de riesgos es enseñar a los empleados qué buscar y ser capaces de identificar actividades sospechosas. En nuestro seminario web más reciente, discutimos cómo es un ataque de ransomware e ilustramos formas de prevenirlo desde el principio.

Ponte en contacto con uno de nuestros consultores y descubre cómo podemos ayudarte.