Cómo los órganos rectores pueden establecer niveles de tolerancia exigibles para el riesgo cibernético

Cada vez es más común que los consejos de administración establezcan una baja tolerancia al riesgo para la empresa. El problema es que, por lo general, la acción se detiene allí, ya que no se da ninguna nueva dirección al director ejecutivo o al director financiero para que tome otras decisiones que respalden esta baja tolerancia al riesgo.

Los mejores próximos pasos no requieren necesariamente más dinero, aunque aumentar la financiación de la seguridad cibernética es el paso más obvio y, a menudo, necesario. Esto puede incluir el empoderamiento para realizar los cambios necesarios para mejorar la posición de riesgo de la entidad.

El CISO o CRO debería poder aprobar acuerdos de nube con nuevos términos de seguridad. También debería poder exigir a los socios comerciales potenciales que cumplan con las medidas de seguridad, como las pruebas de penetración no anunciadas. Tal vez el CISO quiera eliminar la política inalámbrica BYOD y, en su lugar, solo insista en los dispositivos controlados por la empresa; deberían tener el poder de hacer esa llamada. O tal vez el CSO quiere el derecho de revisar los estados de cuentas por pagar y buscar compras (enrutadores, proveedores de nube, dispositivos IoT, etc.) que puedan indicar esto. TI en la sombra.

“El problema con eso es que es muy fácil para una junta decir que tienen baja tolerancia al riesgo. Casi se está convirtiendo en un mensaje de marketing”, dijo Jeff Pollard, vicepresidente y analista principal de Forrester Research. “¿Los miembros de la junta realmente entienden lo que realmente significa la tolerancia al riesgo bajo? A la junta no le cuesta nada simplemente decirlo. La baja tolerancia al riesgo tiene consecuencias y repercusiones”.

Para muchos organismos, «no existe una conexión directa» entre esta declaración y los cambios apropiados para hacerla realidad, dice Pollard. Él agrega: “Las juntas a menudo son incoherentes cuando se trata de tomar decisiones y decidir sobre el presupuesto. Los riesgos en el siglo XXI son a menudo cuantitativos con la apariencia de calidad cualitativa aunque precisa. El riesgo es nebuloso. No existe una definición realmente significativa de lo que eso significa en la práctica”.

«El departamento de más rápido crecimiento es probablemente de alto riesgo porque está creciendo muy rápido y está haciendo todo lo necesario para crecer tan rápido», dice. “¿El directorio autoriza (al director general) a poner el freno? no creo Esto es menos una discusión sobre riesgos y más una discusión sobre compensaciones”.

Establecimiento de una autoridad ejecutiva concreta

Soumya Banerjee, socio asociado de McKinsey, dice que los directorios de hoy deben tener una comprensión mucho más matizada de esto. El riesgo y las formas concretas de abordarlo.

“Las juntas todavía tienen tanta comprensión de los riesgos como necesitan. Los riesgos están evolucionando muy rápidamente hoy”, dijo Banerjee. “Cuando la junta dice ‘baja tolerancia al riesgo’, eso necesita crear una lista de indicadores clave de riesgo muy tangibles. La tolerancia al riesgo debe definirse por el impacto del riesgo. Claramente hay una discrepancia. Las juntas deben presentar la seguridad cibernética en términos de riesgo”. Tolerancia de la manera correcta, no en abstracto, sino de una manera muy tangible. ¿Cuáles son las compensaciones? ¿Tenemos el dinero para ello?

Andrew Morrison, jefe de estrategia, defensa y respuesta de Deloitte, ve esto como el mayor desafío en la aceptación de riesgos de la junta. autoridad.

“Lo único que realmente falta es un poder de decisión adecuado en ciberseguridad. Cuando vemos que los incidentes salen mal, las decisiones de comando y control no están claras. Por ejemplo, ¿quién puede decidir cerrar la presencia en línea?”, dice Morrison. “La junta declara baja tolerancia al riesgo sin entender lo que esto significa para la organización. Debe haber una discusión sobre la autoridad del CISO y el equipo de seguridad para tomar decisiones”.

«Los sistemas heredados pueden socavar efectivamente incluso la estrategia de directorio más apasionada y aversiva al riesgo, particularmente el subconjunto de sistemas muy antiguos y costosos en la fabricación y otras áreas de OT», dijo David Burg, director de seguridad cibernética de Ernst & Young Americas.

«Es un poco una tradición en la que se le dice al CISO: ‘No toques estas cosas. Es muy delicado y muy viejo’”, dice Burg. Cualquier sistema que sea inaccesible desde una perspectiva de TI y seguridad es visto por los atacantes como un gran lugar para ocultar malware.

Establecer expectativas razonables de los accionistas.

Al diseñar una estrategia de preparación para riesgos cibernéticos, las juntas directivas también deben prestar atención cuidadosa y estratégica a los requisitos de cumplimiento, dice Matt Tolbert, director de ciberseguridad y gestión de riesgos operativos en el Banco de la Reserva Federal de Cleveland.

Tolbert entregando un Presentación en la Conferencia RSA 2023 a bordo de las cuestiones relacionadas con la decisión sobre dicha política, dice que establecer dicha política es importante para que los accionistas entiendan el nivel de riesgo que la acción está dispuesta a tolerar. “Todos deben tener claro cuáles son esas expectativas”, dice Tolbert.

“¿Qué es apropiado para un tercero? ¿O al cambiar a la nube? Esta es una guía para saber si es aceptable», dice Tolbert. Un enfoque es llevar a cabo debates profundos sobre el riesgo con socios potenciales para determinar si las dos empresas tienen la misma tolerancia al riesgo.

También señala que los únicos niveles prácticos de tolerancia al riesgo son bajo, medio y alto. Por razones legales, una junta no puede declarar que no tiene tolerancia al riesgo. Si lo hiciera, la empresa sería demandada por una sola infracción.