Las C-Suites deben dejar de asumir riesgos innecesarios

La cultura corporativa de asumir riesgos puede conducir a la ruptura del mundo real

Correr algún riesgo es una tontería. Gran parte de los préstamos bancarios de alto riesgo que llevaron a la crisis crediticia y, en última instancia, a la crisis financiera mundial, fueron para personas que, obviamente, nunca hubieran podido pagar los préstamos. Sin embargo, casi todos los bancos lo estaban haciendo.

Así mismo, más recientemente, nadie pudo prever el encierro y el hecho de que actos simples como ir a la escuela, trabajar, reunirse con amigos o ir a la playa podrían ser una amenaza para su vida y para quienes lo rodean. Pero ahora que entendemos el contexto, nos parece obvio.

Tanto la crisis financiera mundial de 2008 como la pandemia actual han sido eventos extremadamente disruptivos, cuyas consecuencias podrían haberse evitado, o al menos mitigado, si hubiéramos tenido una mayor apreciación del riesgo o escuchado antes a los gestores de riesgo crediticio y a los expertos en salud.

¿Tiene la cultura corporativa falta de estimación de riesgo?

La forma en que contabilizamos el riesgo también suele ser ilógica e impredecible. Hemos visto una transición masiva al trabajo desde casa que ha abierto un nuevo vector de ataque para los ciberdelincuentes oportunistas. Es de esperar que las organizaciones se centren en la seguridad de sus aplicaciones en la nube, pero con demasiada frecuencia suponen que es el proveedor de la nube el que se ocupa de la seguridad, cuando en realidad las instancias de nube mal configuradas son una de las fuentes más comunes para las filtraciones de datos.

Si bien nunca dejaría su nube o su computadora portátil sin ninguna contraseña o protección, las organizaciones con frecuencia delegan la adquisición de dispositivos IoT y elementos simples como claves de memoria USB a su departamento de compras. Inevitablemente, adquieren los dispositivos más baratos disponibles, en lugar de pagar un poco más por extras como el encriptado. Pregúntese, ¿la memoria USB que utilizó por última vez estaba encriptada y protegida con contraseña? Si la respuesta es ‘“no", entonces debe realizar una auditoría de riesgo cibernético urgente.

No tener en cuenta el riesgo no es solo cultural,(desde el autor de la selfie hasta el gerente de compras, no siempre saben estimar el riesgo), sino que también es el resultado de la forma en que operan las organizaciones.

Los tres puntos clave siempre deben considerarse

Se espera que los últimos tiempos nos hagan a todos mucho más conscientes de los riesgos. Las C-Suites deben cambiar la forma en que incentivan y administran a sus equipos y garantizar que su perspectiva incluya los tres puntos clave: ingresos, beneficios Y riesgos. Los gerentes de compras deben estimar el riesgo y comprender cómo las decisiones de compra por dispositivos de costo relativamente bajo (las unidades encriptadas no cuestan mucho más) hasta sistemas complejos más grandes deben tomarse teniendo en cuenta la ciberseguridad.

Con una cultura consciente del riesgo, pagar una pequeño excedente de riesgo cibernético por todo, desde dispositivos seguros y encriptados hasta complejos sistemas de múltiples nubes, es una inversión sensata, y los CISO podrían dar la alarma sin ser ignorados.

Se necesita un cambio cultural para marcar la diferencia

Como sociedad, nunca hemos estado tan interconectados o tan dependientes de la tecnología como ahora y, por lo tanto, tan vulnerables, especialmente con el panorama de amenazas en constante evolución y crecimiento.

Se requiere liderazgo para cambiar la forma en la cual el equipo de gestión y todos los que están por debajo de él se comportan, y este tipo de cambio cultural hacia una mayor estimación del riesgo, debe venir desde arriba. La cultura de ética digital (incluida la privacidad y seguridad de los datos) debe permear todos los niveles, de arriba a abajo. Las organizaciones que tienen esta cultura de ética digital, y que son conscientes de los riesgos, no solo tienen menos probabilidades de experimentar una filtración de datos, sino que también estarán más preparados para responder en caso de que ocurra.