Hemos llegado a la entrega final de esta serie, en la cual compartiré finalmente tres estrategias de alto nivel y cobertura organizacional, que aportarán elementos relevantes para la decisión que deberá tomar la Alta Dirección, antes de conceder el presupuesto para Ciberseguridad: 

• Contrastar de forma tangible los beneficios en la disminución del riesgo, cuando implementamos ciberseguridad versus no implementarla.

Debido a que la ciberseguridad está fundamentada en la administración y gestión del riesgo, hay que considerar esta arista para reforzar la decisión de invertir en planes y programas. El directivo encargado de la ciberseguridad debe aportar su criterio especializado para ayudar en la definición del “apetito de riesgo” para toda la organización, con respecto a un producto, servicio o iniciativa en particular. 

Para ello, es adecuado relacionarlo con datos de competidores, pares locales y regionales, así como también reportes de cuerpos colegiados y diferentes organismos internacionales especializados en ciberseguridad, estudiar la información y adaptarla al contexto local de la empresa, para que esta indagación proporcione resultados aplicables y efectivos.

Es importante tener claro, por ejemplo: Del universo de transacciones procesadas (considerando el ingreso por comisiones) cuál es el porcentaje de transacciones rechazadas y/o reclamos (con la consiguiente pérdida económica) que la empresa puede asumir y, si estas pérdidas mencionadas disminuyen o no con la implementación focalizada de medidas de ciberseguridad. 

Si el riesgo o pérdida esperada del proceso evaluado es mayor al porcentaje de riesgo aceptable, es mandatorio implementar controles compensatorios o acciones correctivas. Si la pérdida esperada es menor al apetito de riesgo definido, entonces se lo considera como un riesgo inherente a la operación del negocio.

• Explicar qué hacer con el riesgo remanente después de ciberseguridad, o qué alternativas existen si el presupuesto es una limitante.

Una vez que ya se ha establecido el apetito de riesgo en el proceso de negocio que se está evaluando, se debe determinar qué hacer con la pérdida proyectada, entre varias alternativas se tiene:

• No hacer nada. Aceptar el riesgo de pérdida tal cual es, debido a que no representa un impacto significativo con respecto a los ingresos que el negocio genera.

 Transferir el riesgo. Evaluar escenarios y transferir el riesgo a un tercero, como una aseguradora. En este escenario, es requerida la intervención de otros actores o especialistas para validar los términos de cobertura, monto de la prima, excepciones, etc. 

• Tratar el riesgo remanente. Se deberá definir planes de seguimiento recurrente, donde los responsables de los procesos deberán proponer diferentes alternativas que ayuden a mitigar dicho riesgo en el transcurso del tiempo. 
• Establecer indicadores alineados estrictamente con la estrategia del Negocio.

De esta manera será posible mostrar la efectividad de los controles implementados o la contribución que cada elemento de ciberseguridad aporta a la estrategia. La seguridad básicamente es la percepción de confianza, y esta debe alimentarse con información clara y precisa, en términos que puedan ser fácilmente explicados a un público no técnico. 

• Una vez identificados los indicadores y procedimientos internos para la medición y generación de reportes, en lugar de trabajar en la recopilación manual de los datos; hace sentido implementar tableros de información gerencial. Es un esfuerzo adicional, pero tener a mano información en tiempo real, vale la pena (tiempo=dinero, información=poder).
• Ante lo propuesto, nace la preocupación: “Suena espectacular tener este tablero gerencial, pero requiere un tiempo, presupuesto y recursos que hoy no tengo. ¿Cómo pretendes que lo haga?” Una respuesta válida puede ser: Realizar alcances priorizados, definir para cada término de evaluación una métrica en particular, sobre la cual dedicar el esfuerzo de contar con información, conectividad, visualización en tiempo real, pero solo una métrica y que sea relevante. 
• ¿Para qué y por qué una?  Una métrica o indicador basta para mostrar a la Dirección el valor de contar con un tablero de indicadores de ciberseguridad, y a partir de ese MVP (Mínimum Viable Product), exponer el esfuerzo que se requirió para lograrlo y proponer la ejecución de un proyecto tecnológico integral para hacerlo realidad.

Finalmente, contar con un CISO (Chief Information Security Officer) con pensamiento analítico y visionario, orientado a resultados y que sepa interpretar adecuadamente la estrategia del negocio, resulta en una ventaja competitiva para cualquier compañía. De no tenerlo, la empresa enfrentaría peligros como: no poder garantizar la continuidad de sus operaciones por ataques informáticos o fallas de ciberseguridad, incurrir en pago de multas por hacer un uso inapropiado de los datos de clientes; invertir de forma no controlada en iniciativas que no aporten mayor valor a la estrategia del negocio, o en su defecto, no realizar inversión alguna y mantener el estado actual, con una visión temerosa respecto al cambio futuro. 

Deseo profundamente que las estrategias que he compartido se conviertan en un apoyo para el CISO encargado de la Gestión de Ciberseguridad. Así como también, que todo integrante de la Alta Dirección (CEO, director adjunto, entre otros) haya podido encontrar aquí elementos clave que incorporar en su toma de decisión, comprendiendo que la Ciberseguridad debe estar presente en todas las iniciativas tecnológicas y sobre todo, ofrecer al negocio soluciones flexibles, dinámicas, oportunas y sin fricción para el cliente.  (O)