Ciberseguridad en el sector público y en el sector privado, por Erick Iriarte Ahon

En tiempos digitales la ciberseguridad termina siendo un elemento diferenciador entre  aquellas compañías que resguardan la información de sus usuarios/consumidores y la protegen como su propia información de aquellas compañías que simplemente usan la información de sus usuarios sin desarrollar medidas de resguardo de la misma; sin embargo, el quiebre de la ciberseguridad, mostrando grietas en el armatoste de una organización, puede implicar que los consumidores y otros stakeholders (en especial shareholders) puedan tomar decisiones que puedan afectar la estabilidad financiera de una empresa, teniendo en cuenta que se puede afectar la reputación corporativa al enfrentar brechas de ciberseguridad y la forma como se enfrentan las mismas.

Las empresas han ido incorporando una gama de responsabilidades y obligaciones (legales), en especial en materia de protección de datos personales y de ciberseguridad, en la medida que se han ido digitalizando y se han transformado digitalmente. 

Y no se debe a la ausencia regulatoria general, sino a la no comprensión por parte de la alta dirección de las empresas en la necesidad del cumplimiento de las mismas para tener ventajas en la competitividad empresarial, frente a otras entidades que no cumplen dichas normativas. En general, mientras los temas de protección de datos personales han ido acompañado de regulaciones duras y de cumplimiento forzoso pero no interiorizado, los estándares en materia de ciberseguridad se han manejado desde lo técnico / tecnológico antes que desde lo estratégico.  Y tomando en cuenta lo expresado por el WEF, el aumento de conectividad y el rápido ritmo de la innovación tendrán en la ciberseguridad uno de sus mayores retos.

Los temas de regulación en materia de protección de datos personales y ciberseguridad se encuentran en plena investigación a nivel internacional, siendo además que la perspectiva es mayoritariamente desde el área técnica y no desde la toma de decisión de la alta gerencia, aunque las normas han asignado cada vez mayor responsabilidades a la alta dirección y al directorio, llegando aún a las responsabilidades penales en algunos casos. Si bien los esfuerzos por tratar de desarrollar un set de herramientas mínimos para los directorios en materia de ciberresiliencia o manuales para que sepan desde los boards como supervisar los riesgos en materia de ciberseguridad, proceso de transformación digital no ha calado profundamente en la estructura empresarial, relegando estos temas como técnicos y no como estratégicos o de continuidad de negocios. 

Los ejercicios de prevención sirven para evitar una diversidad de ataques, el desplegar políticas de mitigación de riesgo, establecimiento de políticas y cumplimiento de estándares, añaden capas de menor inseguridad, pero como bien dijo alguna vez un buen amigo: no hay seguridad, lo que hay son menores niveles de inseguridad.

Y si esto es un tema tan grave, que ataca desde los móviles que tienes en tu casa (y que no guardan más que tu propia información) hasta los activos críticos nacionales (como los recientes ataques al sistema de oleoducto en USA), ¿por qué no se toma la conciencia debida sobre esta problemática?

Resulta aún difícil de entender que no se reporten las brechas que se producen (mismas que ya de por sí demuestran que existen dichas brechas pero que pudieran ayudar a otros a mejorar sus procesos y evitarlas); la mayoría de las organizaciones no denuncian por temor al riesgo reputacional, por el posible impacto en su valor de empresa, en las sanciones que pudieran recibir por no haber cumplido las normativas vigentes. Pero también esta falta de información hace creer que no está ocurriendo nada, o que la situación no es tan grave como parece. 

Cientos de compañías alrededor del mundo son afectadas diariamente con diversos tipos de incidentes informáticos, desde desactualizaciones de software que abren brechas hasta ataques con fuerza bruta, pasando por ataques desde dentro de las organizaciones hasta ransomware. Miles de dólares en rescate que al final termina en chantaje. Miles de dólares en inversión para evitar dichos ataques; miles en inversión para desplegar políticas de ciberseguridad. Es cierto que esta temática ha generado una gama de nuevos empleos (que aún falta mucho por desarrollar en Perú y requiere de la cooperación de expertos y empresas que vienen de otros países porque no nos damos abasto).

Y las preguntas son ¿Y la alta dirección cómo se está involucrando?, ¿cuántas organizaciones tienen en su directorio una persona que ve estos temas?, que ya es normal por ejemplo en la banca; ¿cuántas organizaciones dependen de sistemas informáticos propios (o de terceros) para la continuidad de su negocio y no invierten en ciberseguridad?; ¿cuántas organizaciones consideran el tema de ciberseguridad como un mero adjunto a la unidad de tecnología?; ¿cuántos prefieren pagar un rescate por no tener adecuadas políticas de ciberseguridad a invertir para evitar estas acciones?; y si miramos al Estado, que tiene como obligatorio primero la ISO 17799 y luego el 27000 sobre ciberseguridad, en efecto ¿Cuántas cumplen realmente estas medidas mínimas para resguardar la información de la ciudadanía que tienen en su custodia o para resguardar la información que sirve para sus funciones?.

La verdad es que los datos que podemos encontrar no nos ayudan. No se puede comprender cómo la alta dirección de las organizaciones no afronta esta problemática, pero peor aún, no lo entenderán hasta que les ocurra.