Después de una catástrofe, lo más importante para una empresa es poder reanudar rápidamente su actividad. Esto es así tanto en el mundo real como en el virtual. Si la ciberseguridad consiste en limitar los riesgos de ataques, solo una visión global compartida entre TI, seguridad y negocio puede ofrecer una verdadera ciberresiliencia a las organizaciones.
Los riesgos cibernéticos y sus consecuencias: el problema número uno para la ciberresiliencia
Habitualmente hablamos de “riesgo cibernético”, pero, en esencia, el mayor riesgo no es el ataque, sino sus consecuencias. Según IBM Security y el Ponemon Institute, el coste medio de un ataque con filtración de datos sería de 4,45 millones de dólares en 2023, un 15% más que en 2022. A un ritmo de Más de 2.200 ciberataques al día en todo el mundoo un ciberataque cada 39 segundos (Revista de seguridad), los riesgos financieros son colosales. En general, el estudio Perspectivas mundiales de ciberseguridad para 2024 El Foro Económico Mundial ha evaluado así Los delitos cibernéticos costarán 11,5 billones de dólares en 2023 – que podría duplicarse para 2027.
En un contexto geopolítico tenso en el que se recurre cada vez más a la ciberguerra, los reguladores están reforzando su arsenal legislativo para contrarrestar las ciberamenazas y sus consecuencias. Es el caso, en Europa, de la normativa NIS2, que tiene como objetivo mejorar la ciberseguridad de las redes y los sistemas de información, y de la DORA, que se centra en la resiliencia operativa digital de las instituciones financieras. El Reino Unido, los Estados Unidos y muchos países asiáticos también están reforzando su legislación para reforzar la ciberresiliencia de sus organizaciones.
Frente a los desafíos económicos, la percepción positiva de estas regulaciones está creciendo: 60,4% de los encuestados Perspectivas mundiales de ciberseguridad para 2024 consideran que estas regulaciones son útiles (frente al 39,2% en 2022).
También en el ámbito interno se toma muy en serio el tema de la ciberresiliencia. Además de los problemas empresariales, la pérdida de horas de trabajo, el espionaje industrial o la imagen de marca, el asunto pasa ahora a manos de la alta dirección, que en algunos casos puede ser considerada penalmente responsable de las consecuencias en caso de un ataque.
Alinear TI, seguridad y negocio: la clave para una ciberresiliencia eficaz
A pesar de que los intereses convergen claramente (es decir, el éxito de la empresa), es evidente que la empresa y el departamento de TI no hablan el mismo idioma, por lo que pueden tener dificultades para entenderse. Pero los sistemas de información y la empresa están tan entrelazados que ya no es posible una falta de entendimiento. No se trata solo de cumplir con las obligaciones reglamentarias, sino sobre todo de garantizar la continuidad de la actividad en caso de ataque, que es, en última instancia, el objetivo de la ciberresiliencia.
Para ello, el mapeo de los componentes de TI de la organización es una » Prerrequisitos necesarios para la defensa, protección y resiliencia del sistema de información «según ANSSI. Este tipo de mapeo, que se suele implementar en las organizaciones, conserva sin embargo un enfoque muy técnico. Al mismo tiempo, si en determinadas organizaciones se ha realizado un mapeo de los procesos de negocio, no necesariamente incluye la correspondiente visión de TI.
Para poder hablar el mismo idioma y garantizar la resiliencia de toda la organización en caso de ataques, los equipos técnicos y de negocio deben poder cruzar el mapeo de TI con el de los procesos de negocio. El objetivo es identificar, para todos los procesos (en particular los más críticos para la empresa), las múltiples interdependencias con el sistema de información y el ecosistema (socios tecnológicos), con el fin de garantizar la continuidad digital.
Unificar perspectivas para garantizar la ciberresiliencia
Sin una visión tanto de TI como de negocio, es imposible localizar las aplicaciones que soportan los procesos críticos y los datos estratégicos, ni identificar los impactos de negocio de los incidentes y fallos cibernéticos. Sólo esta visión transversal permite priorizar las acciones de securización de los SI por parte de la unidad de Seguridad, cuyo ámbito de actuación se amplía constantemente, evitando así posibles puntos ciegos, riesgos de efecto dominó, puntos únicos de fallo, etc.
El reto para el departamento de TI y las líneas de negocio es tener una referencia común en torno a un vocabulario y una taxonomía que sea idéntica para todos. El objetivo es entendernos a partir de definiciones comunes, pero sobre todo trabajar juntos para garantizar la ciberresiliencia de la organización.
Ya sea para cumplir con las regulaciones (DORA, NIS2) o simplemente para garantizar la resiliencia digital, una respuesta puramente tecnológica no es suficiente. Debe complementarse con una visión de negocio que tenga en cuenta los procesos de la organización. La ciberresiliencia no se limita a la ciberseguridad en el sentido estrictamente tecnológico del término: también tiene en cuenta los aspectos empresariales, organizativos y humanos.
____________________________
Par Cyril Amblard-LadurantieGerente de Marketing de productos GRC – Gobernanza, Riesgo y Cumplimiento – MEGA Internacional
Lea también:
Arquitectura empresarial, piedra angular de la migración a la nube de SAP
6 ideas preconcebidas (o no) sobre Shadow SaaS…
Las empresas no deberían esperar a la NIS2 para fortalecer su resiliencia cibernética…
Mega lanza Hopex V5 para arquitectos empresariales
Ciberresiliencia: 3 errores que siguen cometiendo las empresas
[
