Hoy estuve en el 1er Congreso de Tecnología y Ciberseguridad organizado por ESAN Graduate School of Business y hubo una idea que se repitió en todo el panel: la ciberseguridad dejó de ser un tema técnico.
Comparto los temas que más se discutieron y por qué me parecen importantes.
El directorio es parte del problema y de la solución
Mientras la alta dirección siga viendo la ciberseguridad como un asunto de TI, no habrá presupuesto ni prioridad. El cambio ocurre cuando el riesgo se traduce a números: ¿cuánto cuesta una parada de operaciones de 24 horas? Ahí la conversación se vuelve otra.
El dueño del riesgo es el owner del activo crítico, no el CISO
El responsable de un activo crítico es el gerente del área, no el equipo de seguridad. Seguridad identifica, alerta y propone. El negocio decide si invierte o si asume el riesgo, pero decide con información.
El impacto de un incidente tiene cuatro frentes
Financiero, operativo, legal y reputacional. Hubo consenso en que el reputacional es el más difícil de recuperar.
Cambió el mapa de ataques en el país
Sectores que antes no figuraban como objetivo hoy están siendo atacados, en buena parte porque tienen menor madurez de seguridad y porque terminan pagando el rescate.
Sin activos críticos mapeados no hay gestión de riesgo
Y ese mapeo no puede delegarse solo a TI, porque desde TI todo puede parecer crítico. Se debe involucrar a todas las áreas de la organización.
Un plan que no se entrena no existe
Los simulacros de incidentes, tanto técnicos como ejecutivos, fueron uno de los puntos más repetidos en la charla. Cumplir la norma y guardar el plan en un cajón no es estar preparado.
La superficie de ataque incluye a los terceros
Comentaron que, por ejemplo, revisaron que un contratista entre a las oficinas con casco, lentes y guantes, pero no revisaron la laptop con la que se conecta a la red. Podría tener software malicioso sin saberlo y afectar a toda la infraestructura tecnológica.
La cultura se come a la estrategia
El factor humano sigue siendo el vector principal. Capacitar una vez al año no mueve la aguja: hay que medir, dar seguimiento y sostenerlo en el tiempo.
Hablemos de ciberseguridad en casa. Varios ataques a organizaciones empiezan por el entorno personal y familiar de un colaborador.