Los altos directivos tienen que dejar de correr riesgos innecesarios

La cultura corporativa de asunción de riesgos puede provocar un auténtico trastorno mundial

Correr ciertos riesgos es una necedad. Muchos de los préstamos basura que provocaron la crisis crediticia y, en última instancia, la crisis financiera global, se otorgaron a personas que muy obviamente nunca podrían devolverlos. Sin embargo, prácticamente todos los bancos lo hacían.

Y más recientemente, nadie había previsto el confinamiento y el hecho de que actividades simples, como ir a estudiar, trabajar, reunirse con amigos o estar en la playa podría ser una amenaza para nuestra vida y la de quienes nos rodean. Pero ahora que entendemos el contexto, es evidente.

Tanto la crisis financiero global de 2008 como la actual pandemia han sido eventos extremadamente perturbadores, cuyas consecuencias podrían haberse evitado, o al menos mitigado, si hubiésemos sabido valorar mejor los riesgos o prestado atención a los gestores del riesgo crediticio y expertos sanitarios a su debido momento.

¿Carece la cultura corporativa de capacidad de valoración de riesgos?

Además, la manera en que consideramos el riesgo suele ser ilógica e impredecible. Hemos visto un vuelco masivo hacia el trabajo en casa, lo cual ha abierto un nuevo vector de ataque para los ciberdelincuentes oportunistas. Podría esperarse que las organizaciones se centraran en la seguridad de sus aplicaciones en la nube, aunque con demasiada frecuencia se supone que el proveedor de servicios de la nube se encargará de ello. De hecho, en la vida real son las instancias de errores de configuración de la nube algunas de las causas más comunes de vulneraciones de datos.

Si bien usted nunca deja su nube o su portátil sin ninguna contraseña u otra medida de protección, las organizaciones frecuentemente delegan el suministro de dispositivos de IdC y artículos sencillos, como las claves de las memorias USB, a sus departamentos de compras. Inevitablemente van a adquirir los dispositivos más baratos, en lugar de pagar un poco más para elementos adicionales, como el cifrado. Hágase esta pregunta: ¿era el último pincho de memoria USB que utilizó cifrado y estaba protegido por contraseña? Si la respuesta es ‘no’, es urgente que efectúe una auditoría de ciberriesgos.

No considerar el riesgo no es solo un defecto cultural —desde quien se hace un selfie hasta el gerente de compras, no siempre valoramos el riesgo—, sino también el resultado de la manera en que funcionan las organizaciones.

Los tres puntos fundamentales que siempre deben considerarse

Se espera que los tiempos recientes nos conciencien más en materia de riesgos. Los altos directivos deben cambiar la manera de incentivar y gestionar sus equipos, y asegurarse de que su perspectiva incluya los tres puntos fundamentales: ingresos, beneficios Y riesgos. Los gerentes de compras tienen que valorar los riesgos y entender cómo las decisiones de compra, desde dispositivos de relativamente bajo coste (las unidades cifradas NO cuestan mucho más) hasta sistemas más complejos e importantes, deben adoptarse tomando en consideración la ciberseguridad.

Hay que propiciar una cultura consciente de los riesgos dispuesta a pagar una pequeña prima para protegerse contra los ciberriesgos adquiriendo desde dispositivos seguros y cifrados hasta complejos sistemas multinube como inversión sensata, con CISO que sepan que las advertencias que lanzan no serán ignoradas.

Se requiere un cambio cultural que marque la diferencia

Como sociedad, nunca hemos estado tan interconectados o dependientes de la tecnología —y, por consiguiente, vulnerables— como ahora, en especial con la continua evolución y crecimiento de las amenazas.

Se requieren líderes que cambien la manera en que se comportan los directivos y sus subordinados. Este cambio cultural hacia una mejor valoración de los riesgos debe venir desde arriba, desde muy arriba. Una cultura de ética digital (que incluya la privacidad y la protección de los datos) tiene que permear todos los niveles, desde lo más alto hasta lo más bajo. Las organizaciones que posean esta cultura de la ética digital, y que sean conscientes de los riesgos, no solamente tendrán menos probabilidades de sufrir una vulneración de los datos, sino que además estarán capacitadas para responder mejor a estas situaciones en caso de producirse.