Tres pasos que los ejecutivos y las juntas directivas deben tomar para garantizar la preparación cibernética

COMENTARIO

El nuevo Comisión Nacional del Mercado de Valores (SEC) sobre gestión de riesgos de ciberseguridad, estrategia, gobernanza y divulgación de incidentes han entrado en vigor recientemente, y los enfoques organizacionales para responder a los incidentes de ciberseguridad son una prioridad para las partes interesadas tanto en empresas públicas como privadas. Si bien la mayoría de los equipos de liderazgo y juntas corporativas asumen que sus empresas están preparadas para un posible ataque cibernético, los acontecimientos recientes han demostrado que muchos no están preparados para el peor día en el trabajo.

La respuesta de una empresa a una crisis es un reflejo directo de su preparación. En lugar de centrarse únicamente en lo que sucede durante y después de un incidente cibernético, los líderes y los equipos de liderazgo deben comprender primero que el momento previo a un evento es el más crítico. Las mitigaciones organizacionales pueden y deben desarrollarse, probarse e implementarse antes de que ocurra un ataque. Es esencial que el liderazgo aproveche este tiempo para evaluar qué tan bien responderán sus equipos si se enfrentan a una situación grave y tomar las medidas necesarias para garantizar la preparación cibernética.

Desarrollar e implementar un plan de respuesta a incidentes.

Demasiadas empresas se encuentran en medio de una crisis cibernética sin contar con un plan de respuesta formal. Las empresas cometen errores graves que pueden agravar el daño financiero y de reputación asociado con un incidente cibernético porque simplemente no tienen roles o responsabilidades establecidos o una cadena de mando documentada para manejar tal situación. Observamos que durante la primera hora de la crisis, la mayoría de los sesgos en el lugar de trabajo emergen y conducen a un número significativo de errores. En esta “hora dorada”, la gente no sabe qué hacer, pero se lanza a la crisis porque cree que es su trabajo hacer algo. Esta falta de comprensión, en última instancia, ralentiza el proceso de recuperación y rehabilitación.

No existe un modelo único para qué tipo Plan de respuesta a incidentes debería ser, porque cada crisis es diferente. Sin embargo, los ejecutivos, miembros de la junta directiva, equipos de seguridad y otras partes interesadas necesitan saber quién liderará la respuesta, cuáles son las responsabilidades de cada persona y qué pasos de comunicación interna y externa se deben tomar. El plan formal de respuesta a incidentes debe incluir un comandante de incidentes identificado que trabaje en todas las empresas y departamentos dentro de una organización para garantizar que cada persona y departamento comprenda la situación y complete sus tareas según lo asignado. El gerente de respuesta a incidentes también tendrá la tarea de servir de enlace con los expertos externos de la empresa, como por ejemplo: B. Sociedades jurídicas y operativas, Corredores de rescatey relaciones públicas para garantizar que estén informados de los acontecimientos. El protocolo de respuesta a incidentes cibernéticos debe integrarse en el plan más amplio de respuesta a crisis de la organización, revisarse periódicamente y actualizarse según sea necesario.

Probar el plan de respuesta en una simulación activa, una prueba de estrés.

Debido a la respuesta psicológica natural de los empleados ante una crisis, las acciones planificadas pueden perderse fácilmente en el caos de un ciberataque real. Los líderes deben comprender que quienes participaron en el ataque experimentarán un aumento de cortisol, la hormona del estrés que crea una “niebla de guerra” en tiempos turbulentos, y que esto puede generar problemas adicionales. El problema más común es la imposibilidad de validar y verificar la información. La interpretación de una persona de lo que sucedió o de lo que le dijeron puede diferir significativamente de los hechos del incidente. El resultado puede aumentar una sola pieza de información sobre un evento potencial y conducir a una crisis en toda regla.

La mejor manera de evaluar cómo responderán los equipos a un ciberataque es poner a prueba el plan formal de respuesta a incidentes. Ejercicios de mesa y juegos de guerra. Son experiencias inmersivas realizadas en un entorno controlado que preparan a las organizaciones para afrontar y defenderse de un posible ataque. Esto le da a cada persona dentro de la organización la oportunidad de sentir, actuar y comportarse como si estuvieran en medio de una situación de ataque. Estos ejercicios de capacitación permiten a los equipos experimentar este aumento de cortisol, aprender a gestionarlo y gestionarlo y desarrollar la disciplina necesaria para ejecutar el plan de respuesta. Esto también proporciona al liderazgo una idea de cómo la respuesta de un individuo impacta el enfoque de recuperación holístico.

Evaluar la eficacia del plan y mejorarlo.

Una vez puesta a prueba la organización y su plan de respuesta a incidentes cibernéticos, el siguiente paso es evaluar la eficacia del plan e identificar oportunidades de mejora. Es importante tener en cuenta dónde se produjeron las averías básicas y qué se puede hacer para solucionarlas. Por ejemplo, si el ritmo de comunicación se estancó, ¿por qué el equipo no pudo contactar a las partes interesadas adecuadas? ¿Fue de procedimiento o el comandante del incidente falló en sus deberes? Los líderes deben saber si se trata de dedicar recursos adicionales para mejorar la postura de seguridad o si necesitan involucrar a varios líderes organizacionales para avanzar en el esfuerzo de respuesta.

Los líderes y miembros de la junta directiva deben pensar en qué tan bien está preparado su equipo antes del ataque y cómo se comportan durante la crisis. Debes ser consciente de que los desafíos que surgen del ejercicio de wargame surgirán en un ataque real. Es imperativo que el liderazgo participe en el proceso de evaluación, ya que las decisiones finales tendrán impactos de gran alcance en las partes interesadas clave. La capacidad de comprender cómo cada decisión afecta y mejora la postura y la cobertura de seguridad aumenta el compromiso de los empleados, lo cual es fundamental para defender con éxito una organización.

La ciberseguridad se ha convertido en un tema a nivel de las juntas directivas en los últimos años y debe seguir siendo una prioridad en el futuro. Es deber del liderazgo estar bien informado sobre el plan de respuesta de seguridad de su organización y la respuesta de los empleados antes, durante y después de una crisis cibernética. Al evaluar proactivamente su protocolo de respuesta antes de que comience un ataque, las juntas directivas y los ejecutivos pueden fortalecer sus defensas contra riesgos emergentes y garantizar la preparación cibernética.