Liderazgo ejecutivo en cibercrisis: el eslabón perdido en la defensa contra ataques cibernéticos

Imagínese que ud. va manejando por una de las autopistas concesionadas de nuestro país, y de repente, visualiza un taco más adelante, inmediatamente después de pisar el freno y reducir la velocidad, lo más probable es que ud. prenda las luces intermitentes de emergencia de manera que el conductor que viene inmediatamente detrás suyo pueda darse cuenta de esta situación y prevenir un choque por alcance. Bueno, esto no es más ni menos que “memoria muscular”, que básicamente es una forma de memoria de procedimiento que consiste en consolidar una tarea motora específica en la memoria a través de la repetición, y que hoy por hoy, vendría siendo una parte importantísima de lo que las organizaciones necesitan cuando responden a ciberataques.

Memoria Muscular y Ciberdefensa

Cuando nos preguntamos, ¿cómo coordinar un esfuerzo efectivo de defensa contra ciberataques?, la mayoría de las respuestas tienen que ver con temáticas relacionadas a la tecnología: Mejore sus defensas perimetrales, fortalezca controles en la red e implemente mejores soluciones de detección de intrusiones y análisis de seguridad.

Si bien la tecnología es absolutamente relevante, las respuestas provenientes de su organización durante y después del ataque, el lado humano de la ecuación, son aún más vitales. La capacidad de poder comunicar en tiempo y forma del incidente o brecha, tanto al directorio de la empresa, alta administración, reguladores, organizaciones relacionadas o al mercado en general, cambia radicalmente las opciones de ganar la batalla “comunicacional” que se libra en paralelo a la batalla “técnica”, de la cual no sabemos el resultado final.

En este sentido se estima que en los últimos 8 de 10 grandes incidentes o brechas de seguridad a gran escala, la respuesta de la organización atacada hizo tanto o más daño que el ataque en sí. La mayor parte de ese daño fue reputacional.

Pero, ¿por qué ocurre esto? La respuesta es quizás más simple de lo que se pudiese esperar: Muy pocos ejecutivos o directivos de las empresas han sido capacitados en liderazgo de crisis, menos en crisis de Ciberseguridad. Rara vez tienen que tomar decisiones urgentes en tiempo casi real. La práctica habitual es crear un equipo de trabajo que les entregan información, estudian cuidadosamente esta información y desarrollan un conjunto de opciones que eventualmente, forman una respuesta. Esto algunas veces puede tomar días, semanas, o en algunos casos, ni siquiera ocurrir.

La peor respuesta es no responder

La mayor parte del daño reputacional posterior a un ataque o brecha es perfectamente evitable e innecesario.

Primero, todas las organizaciones deberían suponer y basar su estrategia de ciberdefensa en que serán víctimas de un ataque o brecha importante en algún momento y estar preparadas para ello. Identificar, contener y erradicar en el menor tiempo posible con el menor impacto para el negocio es lo que marcará la diferencia a la hora de un incidente mayor.

En segundo lugar, el equipo ejecutivo debe someterse a un entrenamiento en profundidad en la gestión de una crisis de ciberseguridad. Este equipo necesita preparar y ensayar las respuestas para los clientes, proveedores, reguladores, los medios de comunicación y el directorio ante la materialización de un escenario de este tipo. Se debe desarrollar un plan por adelantado, que cumpla con condiciones básicas como:

• Tener definida la postura de la empresa frente a una Ciber crisis.
• Definir e Invocar al comite de crisis, definir y proveer los recursos internos para enfrentar la crisis.
• Proveedores que ayudarán en el proceso, y digo proveedores de verdad, en una crisis no sirve que alguien trate de venderme algo.
• Plan comunicacional interno y hacia el exterior.
• Medidas preevaluadas, frente a la materialización de escenarios con distintos tipos de impacto. (Ej: Dar de baja ciertos servicios, Accesos a Internet, entre otros)

En tercer lugar, tenga en consideración que es imposible tapar el sol con un dedo, este tipo de incidentes en algún punto del tiempo, lo quiera ud. o no, saldrá a la luz pública, por lo tanto, es mejor actuar de manera correcta y diligente desde el comienzo.

Respuestas claras y predeterminadas

Los incidentes y las brechas de Ciberseguridad seguirán ocurriendo, posiblemente con una frecuencia e impacto mayor al que hemos visto hasta el día de hoy, dada la creciente interconectividad que nos rodea y la creciente amenaza que conlleva operar de esta manera. Lo peor que puede hacer una empresa en este tipo de casos es lo que muchos acaban haciendo, nada.

Es necesario entender que no existe la seguridad absoluta, tampoco hay nada “inhackeable”, por lo tanto, cualquier organización, puede ser definida como un objetivo para un ataque.

En vez de no hacer nada, prepárese para enfrentar la cibercrisis con respuestas claras y predeterminadas.

Recuerde, si usted posee un cargo ejecutivo, puede delegar tareas, pero no la responsabilidad.

Autor: Juan Roa