Estamos en una nueva era del cibercrimen en la cual se realizan ataques dirigidos a las empresas con diversas intenciones que al final se resumen en: ocasionar daño.
Las amenazas cibernéticas se introducen en las organizaciones principalmente a consecuencia de romper el eslabón más débil que usualmente es el empleado, seguido de políticas de seguridad organizacional débiles o nulas y cierran con aplicaciones, infraestructura o sistemas no actualizados o no monitoreados adecuadamente.
La gobernanza de ciberseguridad en las empresas se refiere al conjunto de políticas, procesos, prácticas y estructuras que una organización establece para gestionar y proteger sus activos de información y sistemas de tecnología de la información contra amenazas cibernéticas. Esta gobernanza se centra en garantizar la seguridad, la privacidad y la integridad de los datos, así como en la continuidad de las operaciones empresariales.
Roles y responsabilidades
Algunos elementos clave de la gobernanza de ciberseguridad en las empresas incluyen:
- Políticas y procedimientos: Las empresas deben desarrollar políticas claras y procedimientos operativos estándar para abordar la seguridad cibernética. Estas políticas deben establecer las expectativas, responsabilidades y acciones que deben seguir los empleados y los equipos de seguridad de la información.
- Responsabilidad: Definir roles y responsabilidades en relación con la ciberseguridad es fundamental. Esto incluye la designación de un oficial de seguridad de la información (CISO) o un equipo de seguridad para supervisar y gestionar la estrategia de ciberseguridad.
- Gestión de riesgos: Las empresas deben identificar y evaluar los riesgos cibernéticos a los que están expuestas. Esto implica la realización de evaluaciones de riesgos y la implementación de medidas para mitigar estos riesgos.
- Educación y capacitación: La concienciación y formación en ciberseguridad son esenciales para todos los empleados, ya que gran parte de las amenazas cibernéticas se originan en errores humanos. La capacitación ayuda a los empleados a reconocer y responder a amenazas de seguridad.
- Cumplimiento normativo: Las empresas deben asegurarse de cumplir con las regulaciones y leyes relacionadas con la seguridad de la información, como el Reglamento General de Protección de Datos (GDPR) en Europa o la Ley de Privacidad del Consumidor de California (CCPA) en los Estados Unidos.
- Evaluación y mejora continua: La gobernanza de ciberseguridad implica la implementación de procesos de seguimiento y mejora continua para garantizar que las medidas de seguridad se mantengan actualizadas y efectivas.
- Plan de respuesta a incidentes: Las organizaciones deben tener planes establecidos para responder a incidentes cibernéticos, lo que incluye procedimientos para la notificación, mitigación y recuperación de incidentes de seguridad.
Componente clave
La gobernanza de ciberseguridad es esencial para proteger los activos digitales de una empresa y garantizar la confidencialidad, integridad y disponibilidad de la información crítica. Además, es un componente clave en la construcción de la confianza de los clientes y socios comerciales, ya que demuestra un compromiso con la protección de los datos y la gestión de riesgos en un entorno empresarial cada vez más digital y amenazado por ciberataques.
La seguridad requiere la participación activa de los altos directivos de las empresas. El término que describe el compromiso de la alta dirección es el gobierno corporativo, que es el conjunto de responsabilidades y prácticas ejercidas por los responsables de una empresa con el objetivo de proporcionar dirección estratégica, asegurar que los objetivos sean alcanzados, garantizar que los riesgos sean gestionados adecuadamente y verificar que los recursos de la empresa sean utilizados de manera responsable.
Por lo tanto, la ciberseguridad debe ser parte integral del gobierno corporativo para lograr sus objetivos, no solo para cubrir las necesidades actuales sino también las futuras.
Fig 1 (https://www.securityartwork.es/)
Buenas prácticas:
- Realizar una evaluación anual de la seguridad de la información a cargo de la alta dirección.
- Llevar a cabo evaluaciones de riesgos periódicos como parte de un programa global de gestión de riesgos.
- Implementar políticas y procedimientos basados en las evaluaciones de riesgos.
