¿De qué forma debe actuar una junta directiva frente a los riesgos cibernéticos?

  • Comparte este artículo:
  • Publicado: 19 septiembre, 2019

¿De qué forma debe actuar una junta directiva frente a los riesgos cibernéticos?

Desde el punto de vista de Asobancaria, las juntas directivas deben supervisar fortaleciendo el diálogo entre los encargados de la seguridad de la información y la prevención del fraude. Falta trabajar para responder ante las amenazas, y desarrollar una cultura de ciberresiliencia en las entidades.

En su informe Semana Económica 2019, del 16 de septiembre del año en curso, titulada El rol de las juntas directivas en la gestión de los riesgos cibernéticos, Asobancaria analiza los ciberataques como una amenaza para el sistema financiero.

«La naturaleza cambiante y el crecimiento del riesgo cibernético para las instituciones financieras exigen enfrentar efectivamente los desafíos desde el mayor nivel y de forma estratégica», indica la entidad en la publicación.

Frente a la ciberseguridad, las juntas directivas deben ejercer de forma efectiva la supervisión, favoreciendo y fortaleciendo el diálogo entre los gerentes de seguridad de la información y prevención del fraude, de forma tal que se cumplan los objetivos estratégicos de la organización.

A pesar de que las juntas han adquirido mayor conciencia del ciberriesgo en años recientes, hace falta trabajar en un conjunto de principios sobre cómo responder y desarrollar ciberresiliencia en sus organizaciones.

Asobancaria destaca una serie de componentes de la evaluación del riesgo cibernético propuestas en el Foro Económico Mundial, las cuales sirven de guía para los miembros de una junta directiva.

Activos

La junta debe tener una perspectiva sobre el inventario de los activos más importantes de la organización, el cual incluye sistemas de hardware y software, redes, e infraestructura para operar sus sistemas, así como la información de personas y recursos externos. Para una evaluación a nivel de junta, los activos deben ser agregados en categorías.

Pérdidas de los activos y su impacto

Se debe evaluar el impacto potencial de un incidente. Por lo tanto, cada activo priorizado identificado previamente debe ser evaluado bajo dimensiones como:

  • Costo directamente asociado con el incidente, por ejemplo, pérdida financiera debida a datos de transacciones manipulados o pérdida en ventas.
  • Costo indirectamente asociado con el incidente, por ejemplo, un daño a la reputación de la organización.
  • Costo de investigar el incidente, por ejemplo, costo externo de asesores.

Luego de que las pérdidas potenciales y el impacto sean determinados, la probabilidad de un incidente debe ser evaluada con el objetivo de obtener el valor esperado del riesgo.

Vulnerabilidades

La combinación del nivel de amenaza y vulnerabilidades indica la probabilidad de que un incidente se materialice. Las vulnerabilidades pueden clasificarse en las siguientes categorías: personas y cultura; procesos y organización; y tecnología e infraestructura.

Algunas preguntas que deben plantearse en torno a estas categorías incluyen: ¿cuál es el nivel de conciencia y capacitación de nuestros empleados?, ¿nuestros empleados tienen la certeza de qué es seguro y qué no? y, ¿qué tan fácil sería tener acceso a información, modificar datos o hacer que no estén disponibles?

“La junta debe ser consciente de que el patrón de riesgo de una empresa puede cambiar de repente y necesita ser actualizado continuamente por la administración, basado en cambios como la introducción de nuevas tecnologías”

La junta debe ser consciente de que el patrón de riesgo de una empresa puede cambiar de repente y necesita ser actualizado continuamente por la administración, basado en cambios como la introducción de nuevas tecnologías, que pueden aumentar las oportunidades de ataque por parte de nuevos agentes de amenaza.

Los riesgos cibernéticos deberían ser parte de la agenda estándar de las reuniones de la junta. De igual manera, la gerencia debe reportar los cambios en los patrones de riesgo, las medidas de mitigación correspondientes y la exposición al riesgo residual.

Amenazas

La junta debe considerar las amenazas en el contexto de los negocios actuales y futuros, y determinar su relevancia para la organización en una escala de bajo a alto. Cada grado en la escala asigna la probabilidad de que se realice un ataque contra la organización (hacktivismo, error humano, terrorismo, entre otros).

El área de seguridad de la empresa debe contar con un servicio de inteligencia de amenazas cibernéticas que pueda identificar los agentes de amenaza que podrían llegar a impactar a la entidad. Este servicio puede ser contratado con un tercero o con recursos propios de la empresa.

Una vez evaluadas las amenazas y vulnerabilidades, la junta directiva debe combinar los cuatro elementos expuestos anteriormente y preguntarse: ¿cuáles son los activos más importantes identificados en el paso 1?, ¿cuáles serían las pérdidas potenciales de estos activos si sufren el mayor nivel de impacto?, ¿qué combinación de vulnerabilidades y amenazas podría derivar en una pérdida?, y ¿qué tan probable es que se dé esa combinación?

A partir de este análisis la junta directiva podrá determinar el nivel de impacto y la probabilidad de los riesgos cibernéticos, y así ubicarlos con mayor precisión.

Material relacionado

$199.000 /año

Quiero suscribirme

Recursos digitales básicos: Análisis de investigadores, Casos de estudio, Opiniones, Infografías, Trivias, Reseñas normativas, Noticias, Respuestas, Entrevistas, Análisis periodísticos, Reportajes, Conferencias

Contenidos gratuitos sin límite

Boletín Diario

Modelos y formatos

Especiales Actualícese

Consultorios exclusivos

Descuentos del 15% en capacitaciones propias

Descuentos del 15% en publicaciones impresas de la editorial actualícese

$399.000/año

Quiero suscribirme

Todos los beneficios de la Suscripción Básica

+

Descuentos del 30% en capacitaciones propias

Descuentos del 30% en publicaciones impresas de la editorial actualícese

Revista Actualícese (Digital)

Cartilla Actualícese (Digital)

Libro blanco en versión digital de impuesto de renta de personas naturales

Libro blanco en versión digital de información exógena

Libro blanco en versión digital de cierre contable y conciliación fiscal

Libro blanco en versión digital de Retención de la fuente

$999.000/año

Quiero suscribirme

Todos los beneficios de la Suscripción Oro

+

Descuentos del 50% en capacitaciones propias

Descuentos del 50% en publicaciones impresas de la editorial actualícese

66 sesiones de actualización en el año:

9 en temas legales (laborales y comerciales)

18 en impuestos y procedimientos tributarios

18 en Normas Internacionales y contabilidad

9 en Revisoría Fiscal y Auditoría

12 en mejoramiento profesional, actualización tecnológica, propiedad horizontal, etc…

Tutoriales y casos prácticos

Videoconferencias y Webinars seleccionados

Si deseas tener más información sobre nuestras suscripciones haz click
AQUÍ