Narrativa cibernética: cómo comunicar los riesgos al consejo de administración y más allá

Los consejos de administración evalúan el riesgo desde una perspectiva financiera y operativa. Un lenguaje centrado en el negocio aclara las consecuencias y facilita la toma de decisiones fundamentadas. 

Quiénes son los atacantes, cuáles son sus objetivos, cuál es la probabilidad de que se produzcan incidentes y el impacto potencial en la cuenta de resultados, la marca y las operaciones. 

Mediante el uso de ejemplos reales de ransomware, la cuantificación de los costes derivados del tiempo de inactividad y la asignación de riesgos a unidades de negocio específicas. 

Los incidentes cibernéticos afectan a las cadenas de suministro, a los clientes, al cumplimiento normativo y a los ingresos, por lo que es fundamental que exista una responsabilidad compartida. 

Controles actuales, planes de Recovery, deficiencias y grado de Readiness: explicados en un lenguaje empresarial para generar confianza. 

Consultaaquíel vídeo para ver la transcripción con marcas de tiempo

Hola, bienvenidos al podcast «Shift».

Soy Melissa Hathaway y me acompañan aquí mis amigos, John Zangardi y Shawn Henry.

¿Cómo se comunican los riesgos al consejo de administración?

Y vamos a hablar de algunas historias muy interesantes y controvertidas relacionadas con la ciberseguridad.

Muchas gracias por estar aquí; estoy deseando que empiece esta conversación.

¿Qué quieren oír los consejos de administración en la sala de juntas?

¿Qué esperan del CISO y qué quieren saber sobre los riesgos digitales?

Ya sabéis, cada vez que pienso en hablar con el consejo de administración,

siempre empiezo por el riesgo a alto nivel.

Creo que, en muchas ocasiones, el consejo oye que hay un montón de problemas.

Hablan con amigos durante la cena.

Se enteran a través de otros consejos de administración en los que participan de que esto es un problema, pero no
no tienen necesariamente un conocimiento detallado ni necesitan la

.

Creo que solo tienen que entender quiénes son los protagonistas y qué es lo que están
Aprovechando esto y, lo más importante, ¿cuál es el impacto?

Y si logran hacerse una idea clara de eso,

Entonces podrán empezar a comprender cómo la empresa se está preparando mejor y cómo el CISO
está protegiendo realmente a la empresa para mitigar el riesgo.

Los miembros del consejo saben lo que es el riesgo, ya sea que pertenezcan al sector de los servicios financieros o
que hayan lidiado con el riesgo toda su vida; son profesionales.

Y si se lo planteas en esos términos, es una forma estupenda de sentar las bases y
proporcionar un marco que permita mantener conversaciones mucho más profundas sobre cómo la

La empresa está mejorando para proteger a la organización.

Formo parte de varios consejos de administración y creo que todo lo que acaba de comentar Shawn tiene
mucho sentido.

Así que, en cuanto a la persona que recibe esta información, lo que realmente me gusta es que, en el comité de auditoría y riesgos
, que el CISO intervenga durante esa reunión y exponga la situación tal y como

menciona Shawn, de modo que el consejo lo escuche como parte de esa reunión del comité
de auditoría y riesgos.

Es realmente importante que aborde los riesgos.

Que plantee, por ejemplo: «Oye, ¿qué probabilidad hay de que eso ocurra?

que pasara algo malo y cuáles serían las consecuencias, ¿verdad?

En términos empresariales sencillos, ¿afecta esto a nuestra marca, a nuestra reputación?, pero también
explicar a todo el consejo cómo podría gestionar esas situaciones.

De este modo, crea conciencia en el consejo de administración sobre los riesgos a los que se enfrenta, en un lenguaje que
ellos entiendan, porque no se puede esperar que todos los miembros del consejo sean expertos en informática.

¿Verdad?

Así que hay algunos puntos ciegos y creo que es responsabilidad del CISO empezar a identificar
a la luz esos puntos ciegos.

Formo parte de varios consejos de administración y rindo cuentas ante muchos de ellos.

Siempre lo enfoco pensando que no se trata de un problema de TI.

Es una cuestión de riesgo empresarial.

Y tenemos que tener en cuenta que todas las empresas son empresas digitales.

¿Cómo nos va? ¿Cuál es la situación actual de la empresa?

Y hay que tener en cuenta estos conceptos empresariales clave:

¿Cómo se comunica realmente qué está en riesgo desde el punto de vista de la cuenta de resultados?

Y creo que muchos de nuestros profesionales en este ámbito lo ven simplemente como una
es una cuestión tecnológica y no están entendiendo realmente lo que implica que, si este sistema crítico para el negocio

se caiga y afecte a este resultado neto concreto, eso nos va a costar tal cantidad de
dinero a diario, y expresar todo eso en términos empresariales.

¿Has encontrado casos de éxito en este sentido, Shawn?

Creo que se ha vuelto mucho más fácil en los últimos años.

El ransomware ha hecho que eso

al alcance de todo el mundo.

Se puede ver cuándo el ransomware afecta a una empresa concreta y esta queda inactiva durante
dos días, dos semanas o dos meses; ¿cuánto cuesta eso? Y, a menudo, eso se

hace público.

Hemos visto algunos ejemplos recientes con Jaguar en el Reino Unido, aquí en Estados Unidos y, en muchísimas
ocasiones, a diferentes empresas que se han visto afectadas de esa manera.

Creo que el papel del CISO es facilitar el funcionamiento de la empresa.

Esto se consigue, ante todo, garantizando su seguridad

, pero también hay que asegurarse de no restringir ni limitar sus funciones.

Creo que cuando el riesgo que estamos describiendo aquí se comunica de forma eficaz, entonces
El consejo de administración y otros directivos, en el marco de sus actividades, tienen una

comprensión y aprecio, y están dispuestos a hacer ajustes si se dan cuenta de que
cuáles serán las repercusiones a largo plazo.

Así que cuantificarlo es cada vez más fácil, porque hoy en día hay muchos más datos disponibles.

Así que, Shawn, déjame añadir algo más al respecto.

La confianza es algo difícil de ganar y fácil de perder, ¿verdad?

Y la primera vez que ocurre algo malo, cuando aparece esa «tijera» y empieza a hablar
de lo malo y del Risk, ya es demasiado tarde.

No hay confianza.

La confianza se forja a través de la interacción, ¿verdad?

Cuando él entra en escena, el consejo de administración ya lo conoce, sabe cuál es su enfoque, está
acostumbrado a tratar con esa persona y ha visto el comportamiento que se deriva de ello.

Así que cuando se produzca ese contratiempo —que le va a pasar a todo el mundo, porque las TI
«Son omnipresentes, están en todas las empresas y en todas partes hoy en día», hay que asegurarse de que

Existe un vínculo de confianza entre la persona que informa a la junta sobre los riesgos y la
su propia junta.

Y, además, en todo esto, el director general es el responsable último.

Así que, aunque se diga que esto es algo que debería hacer el director de seguridad de la información (CISO), el director general es
el responsable último.

Pero no se trata solo del director ejecutivo, ni del director de seguridad de la información (CISO), ni del director de sistemas de información (CIO), ni del director de datos.

Se trata de una responsabilidad amplia.

Entonces, ¿cómo se consigue esa fluidez en la que todo gira en torno al negocio y se
incorpora al responsable de privacidad, se integra en el departamento de TI y se

se integra al equipo de transformación digital?

De hecho, el director general puede remitir estas cuestiones al consejo de administración, con lo que realmente pasan a ser responsabilidad del equipo.
, en lugar de una responsabilidad individual.

Así que creo que

Cuando se habla de responsabilidad, tiene que haber alguien que asuma dicha responsabilidad.

En este caso, quizá sea el director de seguridad de la información (CISO) quien asuma esa responsabilidad.

Pero debe estar representada.

Y todos los miembros de la organización deben reconocer y comprender que se trata de un trabajo en equipo
y que cada uno tiene su parte de responsabilidad.

Todos son responsables y una infracción grave o un incidente importante afectará a
todos los miembros de esa organización.

Así que, sin duda, la responsabilidad es compartida.

Pero el CISO… Creo que tiene que haber una persona que se haga cargo de ello,

que contribuya a definir la orientación estratégica y se encargue de garantizar que se adopten medidas
y que la estrategia se lleve a cabo con éxito.

Pero, sin duda, se trata de una respuesta de toda la empresa, no solo de los ejecutivos, sino de cada
una de las personas de la organización, porque todos son usuarios.

Todos utilizan el teclado, todos manejan datos, todos son responsables de
alimentar las bases de datos de una forma u otra.

Todo el mundo debe reconocer y comprender que:

En mi organización, la seguridad es lo primero.

Nos estamos implicando y todos reconocemos que una brecha de seguridad tendría consecuencias catastróficas
en todos nosotros como grupo.

Así que eso está muy bien dicho.

Tiene que haber un único responsable.

La persona responsable a la que acudir, la que coordina el ejercicio.

Pero muchos consejos de administración celebrarán una sesión a puerta cerrada en la que no estarán
presentes ni los miembros de la empresa ni el director general.

Y allí tendrá lugar un debate.

Y, a veces, donde

Los consejos de administración carecen de conocimientos especializados en el ámbito cibernético, en el ámbito de las tecnologías de la información.

Y creo que es importante que los consejos de administración también cuenten con esa experiencia entre sus miembros.

Y lo digo con sarcasmo, así que no os lo toméis a mal: asistir a un curso de la NACD sobre ciberseguridad
eso no convierte a un miembro del consejo en un experto en este ámbito concreto.

Creo que es realmente útil para un consejo contar con alguien que, cuando ocurra algo,

y estén en sesión ejecutiva, haya alguien en el consejo que, dentro de la empresa
«… donde pueda haber una pequeña ruptura de la confianza…», pueda hacer esa traducción y presentársela

la reunión de una forma más comprensible o que les ayude a formular las preguntas que
plantean.

Sí, así que supongo que, si tuviera que resumirlo, habría que contar con un miembro del consejo que te
ayude y, quizá, junto con el director general, que actúe como mediador en la sala y refuerce

que todos ellos tienen la responsabilidad fiduciaria de proteger a la empresa.

Y esa es la palabra clave: responsabilidad fiduciaria.

Así que, ya sabes, ¿por qué no recurrir a un antiguo CISO o a un antiguo CIO, o a alguien de ese nivel?
, ¿en tu consejo de administración para que te ayude a analizar estas cuestiones en las sesiones ejecutivas?

De acuerdo.

De acuerdo.

Así que, cuando empiezas a pensar en esto, yo siempre, cuando quiero ponerlo un poco en contexto,
Lo que está pasando: me centro en lo que está ocurriendo.

Ya sabes, nos han

nos han pedido un rescate.

Y, ¿qué pasa entonces? Estamos totalmente fuera de línea y nos está costando mucho dinero cada hora y cada día
que estamos así.

Y, como has dicho, Shawn, hay varios ejemplos en los que vemos cómo hay empresas que
Llevan ya casi tres meses sin conexión y no pueden hacer frente a sus gastos: no pagan a sus

proveedores, no están pagando, no están vendiendo su producto, etcétera.

Y entonces surge la pregunta: «¿Y ahora qué?», ¿qué tenemos que hacer al respecto?, ¿cómo hemos llegado a esta
¿situación?

Así que, si pudieras empezar hablando de algunos de los indicadores…

que te resulten útiles para expresar eso.

Para mí, se trata sobre todo del hardware y el software heredados que
ya no reciben soporte y que son 100 % vulnerables el 100 % del tiempo.

Pero, ¿cuáles son algunas de las métricas que te resultan útiles, Shawn?

Bueno, creo que, cuando se facilitan métricas, el objetivo del CISO al hacerlo
En mi opinión, se trata simplemente de demostrar al consejo de administración que se está avanzando en la

seguridad general de la organización.

Así que, si el mes pasado

Tuvimos un número X de vulnerabilidades que quedaron sin parchear,

Este mes hemos reducido esa brecha y estamos explicando por qué está ocurriendo.

Y si no es así, hay que plantearse algunas preguntas.

Por lo tanto, las métricas deben ser cuantificables y deben aportar valor a la hora de demostrar
que el programa está avanzando.

Creo que aspectos como la capacidad de la empresa para detectar ataques…

Exacto.

Hay que estar al tanto de lo que está pasando.

Esto es lo que somos capaces de detectar.

La rapidez de respuesta.

¿Cuál es el tiempo de respuesta y de corrección o mitigación tras la detección?

¿Estamos reduciendo ese margen?

Hemos aprendido, gracias a la IA y a muchos otros vectores de ataque, que la incapacidad de identificar, detectar y reducir rápidamente
ese margen da lugar a una brecha de seguridad.

Ocurre con frecuencia.

Hemos visto a adversarios que han permanecido en las redes durante meses o años sin ser detectados.

Esas son algunas de las métricas.

Esta cuestión de la vulnerabilidad es fundamental.

Me ha gustado mucho lo que has dicho: algo que es heredado, que ya no recibe soporte,
sin parches, 100 % vulnerable, el 100 % del tiempo.

¿Nos parece bien eso?

Porque si nos parece bien,

eso constituiría una negligencia grave si se produjera una filtración.

Sabías que era vulnerable y decidiste no hacer nada al respecto; la explotaron
Y eso provocó estas consecuencias.

Eso no está bien.

Así que quiero que el consejo de administración tenga la seguridad de que se está avanzando.

En cuanto a lo que ha dicho John, si hay personas que son puramente empresarios y no tienen ninguna
La experiencia en materia de seguridad depende, en realidad, de la confianza que tengan en el CISO.

Eso, en sí mismo, no me parece adecuado.

Deberíais contar con alguien con cierta experiencia que pueda plantar cara de forma constructiva y
profesional.

Pero hay que demostrar que estamos creciendo y que somos más seguros.

Así que me gustaría añadir que todo lo que hacemos es fantástico.

Quiero añadir una cosa más.

Y creo que esto tiene que ver, en cierto modo, con la formación.

Y ya me habéis oído hablar de la aviación demasiadas veces.

Pero en aviación, cuando sales y tienes un mal vuelo o un percance, haces un «hot wash».

Vais

Vuelves atrás y analizas la causa fundamental de lo que ha pasado.

Y puede deberse a una razón técnica o a otras razones.

Pero creo que es importante que, cuando ocurra algo malo, se convoque al
la junta directiva y se les explique lo que ha ocurrido.

Esto es lo que ha pasado.

Así es como nos recuperamos.

Estas son las consecuencias que hemos sufrido en términos de, por ejemplo, pérdida de ingresos, daños a
la reputación o lo que sea.

Y la razón es que,

Todos lo sabemos: se aprende más de los errores que de los éxitos.

Así que no me lo estoy tomando a la ligera, pero creo que es un aspecto importante que hay que incluir en
la formación y capacitación de tu consejo de administración.

Por eso me gusta recurrir siempre a ejemplos y casos prácticos reales, y la historia que más me ha llamado la atención en
En las últimas semanas ha tenido lugar el robo en el Louvre.

Así que perdemos, ya sabes, 10 millones de dólares en joyas, o quizá incluso más que eso, ¿verdad?

Y es que el Louvre estaba

Utilizaba hardware y software sin soporte técnico en todo el museo y lo sabía.

Y las contraseñas eran «Louvre» y «Thales», que era la empresa que se
Suponía que se encargaba de la seguridad.

Así que eran 100 % vulnerables, el 100 % del tiempo, con una contraseña fácil de adivinar y, ¡bum!, lo perdieron todo
las joyas.

¿Tienes alguna de esas historias impactantes que se te quedan grabadas y que puedas
usar como ejemplo?

Puedes

anonimizarla diciendo que fue un mal día y que se trató de algo grave y vergonzoso.

¿La contraseña era «Louvre»?

Lo estaba escribiendo esta semana.

No lo sabía.

Va a aparecer en mi boletín de esta semana.

No creo que tenga nada tan vergonzoso como eso.

Lo siento.

Pero, ya sabes, volveré al tema del que hablaba antes.

Ya sabes, ¿qué se aprende de las cosas?

Y he tenido el privilegio de ser testigo de muchos incidentes cibernéticos a lo largo de mi carrera en
la administración pública.

Y, ya sabes,

Mientras estés en el Departamento de Defensa y ocurra algo malo cuando les vendas algo, el Cibercomando se
Va a entrar de lleno en tu vida.

La forma en que debes gestionarlo —porque es importante que lo hagas— consiste en
ser transparente y decir: «Estos son los errores que cometí».

No me gustaría tener que decirle a CyberComm: «Bueno, nuestra contraseña era “Louvre”, pero tenéis…»
«que se pueda acceder a eso».

Las consecuencias son muy graves cuando vendes al Gobierno, ya que

El Cyber Command emitirá una orden de misión.

Eso supone, básicamente, un «desmontaje y sustitución», y todos los componentes y servicios comenzarán a
eliminarlo.

Por eso es muy importante ser totalmente sincero al tratar con ese tipo de personas.

Y creo que eso también se aplica a los clientes.

Si echamos la vista atrás y nos fijamos en SolarWinds —un término que, como todo el mundo sabe, ya forma parte de nuestro
«vocabulario cotidiano» y observamos cómo se gestionó el asunto y cómo actuaron,

hay muchas

cosas que salieron mal y no voy a entrar en detalles, pero si te fijas
en los ingresos de la empresa desde el día en que ocurrió hasta ahora, siguen vigentes, son

Una empresa en funcionamiento: sus ingresos han aumentado porque tomaron las medidas necesarias —por muy difíciles que fueran—
que fueran y por muchos pasos en falso que dieran— para mejorar, y el producto sigue vendiéndose, aunque «SolarWinds»

se considera, en general, un término no muy positivo.

Profundicemos un momento en la seguridad de los productos, porque muchas de estas empresas

no se consideran necesariamente empresas de seguridad.

Por eso, es posible que no hayan invertido en la seguridad de dicho producto.

Y por eso estamos viendo muchos casos de este tipo: voy a atacar un producto, comprometer su
integridad y, a continuación, llegar a muchos otros clientes que, en realidad,

dependían de que hicieran lo correcto: invertir en seguridad, garantizar que el
que el producto que saliera al mercado fuera de calidad y garantizar que contara con las actualizaciones necesarias, etcétera.

Entonces, ¿cómo se explica la situación?

cuando un producto ha perdido su integridad y sabes qué esperas de la empresa,
¿cómo se le explica eso al consejo de administración? Yo no tengo poder de decisión sobre el presupuesto.

Creo que has mencionado SolarWinds, y NotPetya es otro ejemplo.

Ha habido casos más recientes en los que el producto ha sufrido una brecha de seguridad.

Creo que este es uno de los riesgos y que el CISO debe exponerlos con claridad ante el consejo de administración.

Creo que también plantea

un aspecto interesante sobre la continuidad de las operaciones.

Y no se trata solo de preguntarnos: «¿En qué aspectos somos vulnerables?»,

Porque todos somos vulnerables en algún aspecto.

¿En qué aspectos somos vulnerables?

¿Quién nos tiene en el punto de mira?

¿Por qué nos tienen en el punto de mira?

¿Cuáles son las consecuencias?

Si ocurre alguna de esas cosas o todas ellas, ¿cómo nos recuperamos?

¿Cómo es nuestra resiliencia?

¿Y cuál es nuestro plan para asegurarnos de que somos capaces de reconstruir la empresa y recuperar la confianza?

¿Cómo se traduce eso en la práctica?

Y eso tiene que ser un elemento importante de las comunicaciones del CISO al consejo de administración.

Todas las empresas van a sufrir algún incidente.

Puede ser algo tan sencillo como la pérdida de un ordenador portátil.

Puede ser algo como lo que vimos con Jaguar, donde toda la empresa queda inactiva durante
meses y pierden cientos de millones o miles de millones de dólares.

¿Cómo responde la empresa?

¿Quién es el responsable?

¿Cómo se comunica?

¿Cómo se hace, desde un punto de vista técnico, cómo se recurre a

organizaciones externas y socios para que te ayuden a llevarlo a cabo?

Es otro aspecto importante para que el consejo se sienta seguro de que, como empresa
, contamos con el mejor plan posible.

Lo primero que queremos hacer es asegurarnos de que lo tenemos todo bajo control.

Cuando surja un problema, debemos asegurarnos de contar con un plan para solucionarlo.

Eso es lo que se conoce como «seguridad 360», porque no puede haber resiliencia sin seguridad, ni
seguridad sin resiliencia.

Bien dicho.

Y creo que la resiliencia es un

un aspecto del que deberíamos hablar un poco.

He escrito muchos artículos sobre la monocultura del software y la creación de una dependencia respecto a un único
proveedor de software.

No voy a mencionar nombres.

Si eres prudente, querrás asegurarte de haber creado algún tipo de redundancia que
te permita alcanzar la resiliencia.

Así pues, estas cuestiones son bastante complicadas en cuanto a su estructura.

No esperaría que muchos consejos de administración fueran capaces de analizar estas cuestiones, pero creo que es
importante que un CISO sea lo suficientemente transparente,

y que el director de sistemas de información (CIO) sea lo suficientemente transparente como para explicar las medidas de precaución que han adoptado y cómo han diseñado
la infraestructura para garantizar que han tenido en cuenta las diferentes contingencias que

puedan producirse.

Y que no dependan en exceso de una única fuente para su software.

Sí, la continuidad del negocio, la recuperación ante desastres… A mí me gusta llamarlos «desastres digitales».

Y el reto radica en que, aunque yo me haya encargado de la seguridad, otra persona
se encarga de la reparación y de que todo vuelva a funcionar.

Así que esto pone de relieve la cuestión de cómo me preparo o cómo planteo esos escenarios y llevo a cabo
simulacros de mesa en los que participa el consejo de administración.

Ya sé, Shawn, que has dirigido varios ejercicios.

Sí, creo que hemos llevado a cabo ejercicios con el personal de primera línea, el CISO y su equipo,
de forma más amplia con el equipo ejecutivo en general y también solo con el consejo de administración.

Creo que, en estos temas, lo más importante es la concienciación y conseguir que lo entiendan.

Y luego, desde un punto de vista práctico, intentar determinar quién es responsable de qué.

Puedo decirte que he participado en estos ejercicios.

He dirigido algunos de ellos.

Uno de los que me pareció más importante y que más me marcó —y esto fue hace bastante tiempo—,
Probablemente hace ocho o diez años fue cuando me reuní con una importante entidad financiera y el

El director de operaciones de esa organización estaba presente en la sala y había

Entre 20 y 30 personas en la sala: el director de seguridad de la información (CISO), así como numerosos técnicos, el director de sistemas de información (CIO) y el director de tecnología (CTO).

Cuando expusimos el ataque ficticio y lo que había sucedido —y que, de hecho, había afectado a la
plataforma de negociación de esta entidad financiera—, recuerdo que el director de operaciones miró al otro extremo de

la mesa al responsable de seguridad de la información (¿podría suceder esto de verdad?).

Señalando la descripción de la presentación de PowerPoint, preguntó: «¿Podría suceder eso de verdad?».

Y el director de seguridad de la información asintió con la cabeza.

Y se quedó atónito.

A continuación, pasamos a

Vale, bueno, ¿cuál sería la respuesta?

Bueno, ah, Mary es la encargada de eso.

De hecho, Mary está de vacaciones esta semana.

¿Quién la sustituye?

Es Dave.

Dave ya no trabaja en la empresa.

A mí me pareció increíble, pero este es el tipo de cosas que se ven cuando se hacen estos
ejercicios, y sobre todo cuando un consejo de administración lleva a cabo un ejercicio en el que realmente puede

ver todas las repercusiones en cadena y cómo hay tantas variables en juego.

Y les ayuda de verdad a comprender, a apoyar

y a proporcionar recursos, así como a evaluar la situación, creo, y eso es lo que aporta esto.

Antes hemos hablado de que se trata de un deporte de equipo en toda regla.

Pues bien, la junta forma parte del equipo porque, al fin y al cabo, tiene el mismo
objetivo que todos los miembros de la empresa: quiere que la empresa tenga éxito y satisfaga a sus

clientes.

Así que creo que esos ejercicios son importantes y aportan un gran valor a todo este proceso
del que estamos hablando.

Así que estoy de acuerdo y todos hemos oído hablar de la curva de aprendizaje.

Así que la primera vez que ocurre algo no debería ser la

, ¿verdad?

Teniendo en cuenta todo lo que estás diciendo, ¿dónde está Dave?

Ha dejado el trabajo.

¿Dónde está Mary?

Hoy es su día libre.

A medida que se va trabajando en un ejercicio de simulación y se repasan estas cuestiones, la gente se va familiarizando más
con los elementos que intervienen y con la forma en que se supone que deben actuar ante ellos.

Y surgen imprevistos que plantean preguntas interesantes.

Por eso se practican estas situaciones: para aprender de ellas y adquirir mayor destreza.

Es mejor tener cierta destreza antes de

ocurra algo malo.

Así que realmente recomendaría no solo un ejercicio, sino una serie de ejercicios habituales que, ya
sabes, pongan a todo el mundo al mismo nivel.

Desarrollar esa memoria muscular es realmente importante y todo eso.

Creo que eso es fundamental, pero también hay que empezar a entender que, cuando tienes un mal
día, no son solo las personas las que van a restablecer los sistemas, sino las que deben

proteger los sistemas.

Tiene que haber toda una estrategia de comunicación.

Y hay que pensar bien quién va a ser el portavoz y cómo va a funcionar mi equipo
de prensa o de los medios de comunicación, dónde están mis asesores jurídicos —tanto internos como externos— y cómo empiezo a plantearme

esa gestión de emergencias, por así decirlo, Shawn.

Sí, claro, y para todo eso, un simulacro de mesa es una forma estupenda de hacerlo.

Hay que saber quiénes son esas personas con suficiente antelación.

No querrás ponerte a buscar números y a averiguar quién es quién mientras te
te apresuras a dar una respuesta.

Hay que prepararse con bastante antelación.

Este es también un ámbito en el que se empieza a hablar de gobernanza, cumplimiento normativo y
las normas, ¿no?

Como parte del proceso de comunicación, lo primero que hay que hacer es hablar con
los clientes, por supuesto.

Quieres hablar con todos tus socios.

Quieres hablar con tus empleados.

Y, en muchos casos, tendrás que hablar con las autoridades reguladoras, por lo que tendrás que hacer
que tu asesor jurídico participe en ello, ya que existen importantes

problemas potenciales de responsabilidad civil.

Todo eso se puede planificar con antelación.

No va a ser al 100 %.

No va a ser perfecto.

Pero te proporcionará la familiaridad necesaria y un cierto nivel de confianza.

Te permitirá establecer relaciones con estas personas externas para que, cuando ocurra algo
«… y sucederá, aunque dependa de la gravedad…», seas capaz de

reaccionar.

Puedo decirte que quienes están mejor preparados logran superar estas situaciones con éxito.

Y los que no estén bien preparados fracasarán estrepitosamente.

Bueno, y se nota si no lo has practicado y eres el director general, quien, como cabría
En muchos casos, tendrá que ponerse en contacto con sus principales clientes y explicarles la situación.

Esto hay que hacerlo con tacto y como si fueras un profesional.

Así que limitarte a responder sin haberte preparado te pone en una situación delicada.

Y creo que eso se ve muy claramente en la forma en que se describe la situación.

Además, dañará la reputación y la imagen de marca de la empresa.

Así que dar la impresión de estar preparado,

con cierta elegancia y que tienes el control, creo que es algo que debes
transmitir en este caso.

Y eso no se consigue sin todo lo que Shawn acaba de mencionar.

Sí, dirigí un ejercicio para un centro sanitario que duró solo dos horas y se
lo dividió en bloques de 30 minutos.

Y al final,

El director general me dijo: «Tenía la adrenalina por las nubes, mi frecuencia cardíaca estaba en 140, y menos mal que solo…»
«es un simulacro».

Y es que, si lo gestionas bien, sientes el mismo estrés que si se tratara de
de un día de verdad y, además, de uno malo.

Bueno, los tres hemos trabajado en la administración pública y los tres hemos tenido que recurrir a nuestro
jefe —«que probablemente era un alto cargo político»— para darle malas noticias.

No es fácil.

Simplemente no lo es.

Pero hay que arrancar la tirita de un tirón.

Hay que hacerlo.

Sí, en el Gobierno solíamos decir que lo importante es ir al grano desde el principio.

Lo esencial primero: empieza todos los mensajes a la junta directiva con lo esencial primero.

Estoy aquí para hablaros de A, B y C.

Y hoy os voy a explicar lo mal que está nuestra organización, porque tenemos tantos
sistemas heredados gestionando nuestro negocio principal.

Y esto es lo que tenemos que hacer al respecto.

Y aquí es donde necesito vuestro apoyo.

Y nunca te vayas, sobre todo cuando informes al Congreso; nunca te vayas sin plantear tu petición.

Tenéis que dejar claro desde el principio cuál es el objetivo final y, a continuación, qué esperáis de ellos.

Quiero vuestro apoyo.

Necesito dinero.

Necesitamos más gente.

Tienes toda la razón.

Pero aquí es donde entra en juego la confianza.

Si el consejo de administración confía en la responsable de seguridad cibernética porque ella siempre ha sido sincera con ellos, ya que han
pasado por un incidente anteriormente.

Ella tiene, ya sabes, el control de la sala, por así decirlo, habrá esa sensación de
serán más receptivos y estarán mucho más dispuestos a conceder lo que se les pida

sin hacer muchas preguntas; no es que no deban preguntar, pero cuando hay un
En cuanto al nivel de confianza, el programa se ha diseñado de tal manera que facilita el flujo de información

mucho, mucho mejor.

Así que nuestros reguladores nos han estado diciendo, básicamente, que necesitamos contar con estrategias, políticas,
rendición de cuentas y financiación adecuada para la ciberseguridad y la resiliencia digital de nuestra empresa.

Y se supone que el consejo de administración debe celebrar reuniones periódicas y demostrar que, eh…
realmente está cumpliendo con su responsabilidad fiduciaria.

El 17 % de las organizaciones afirma que no está preparada para un mal día.

Y muchos consejos de administración siguen reuniéndose solo una vez al año, o han delegado esta tarea en un
comité, en lugar de hacerlo ante el pleno del consejo.

¿Qué opinas al respecto?

Estoy de acuerdo en que este tiene que ser uno de los riesgos más importantes, si no el más importante
es importante para cualquier organización, ya que toda su empresa depende de

entorno digital.

Por lo tanto, como parte de la gestión de riesgos empresariales (ERM), tiene que ser algo a lo que

se le preste mucha atención.

Cada consejo de administración es un poco diferente, cada empresa es un poco diferente, y el nivel de
varía en función de la familiaridad y la experiencia.

Así que, en realidad, no hay una solución única que sirva para todos, pero yo me inclinaría a pensar que «cuanto más, mejor».
, dada la importancia de este tema.

No tengo ningún problema en que un comité concreto, por ejemplo
el comité de auditoría sea la entidad responsable y que el presidente de dicho comité

mantenga una relación casi matricial con el CISO, de modo que este último disponga de una línea directa para llamar por teléfono y
acudir a hablar con el presidente del comité de auditoría si surge algún problema.

Pero sí creo que el consejo de administración en su conjunto debe tener una visión y una comprensión
sobre el tema, y eso requiere una comunicación más frecuente.

Así que estoy de acuerdo contigo, no me aferro al comité de auditoría, pero sí creo que es un lugar lógico
donde situarlo.

Y, en realidad, depende de cómo quiera gestionarlo la empresa.

Así que no hay una fórmula como tal, pero…

Supongo que sí hay una fórmula, en el sentido de que debería estar vinculado de alguna manera al consejo de administración.

Pero tenemos que comprender de verdad que el mundo no se está volviendo menos peligroso en lo que respecta a la ciberseguridad.

De hecho, cada vez es más arriesgado.

Y podríamos entrar en todas las razones por las que es así, pero deberían ser evidentes, ya que aparecen en las
noticias casi a diario.

Así que no puedes hacer como si nada.

No puedes esconder la cabeza bajo el ala como un avestruz.

Hay que empezar a aceptar que, vale, está pasando.

Lo estoy viendo con mis propios ojos.

Probablemente le haya pasado a alguno de tus amigos del mundo de los negocios.

¿Estoy preparado?

Pues bien, todo empieza por plantear las preguntas sencillas de la junta directiva.

¿Qué hacemos cuando esto ocurra?

Y poner las cosas en marcha.

Eso es lo primero que hay que hacer para empezar a prepararse.

Yo añadiría algo más.

En el marco de todo este tema de la confianza, no creo que el CISO deba limitarse siempre a responder
a las preguntas de la junta directiva.

Creo que el CISO debería ser proactivo.

Por ejemplo,

hemos estado hablando de la IA como un riesgo significativo.

Es una nueva flecha en la aljaba de los adversarios.

Sería estupendo que el CISO fuera proactivo y se dirigiera al consejo para decir: «Oigan, probablemente ya hayan…»
He oído hablar de esto.

«Dejadme que os explique qué estamos haciendo al respecto».

Esto contribuye a generar confianza en que los CISO están atentos.

Ya sabéis: «Oye, sé que estamos construyendo una nueva fábrica en la India».

Estas son algunas reflexiones y preocupaciones al respecto desde

mi perspectiva como CISO.

Este es el tipo de cosas en las que deberíamos pensar.

Creo que ser proactivo demuestra concienciación, demuestra competencia y
genera confianza.

Y creo que realmente permite al CISO contribuir al éxito de la empresa.

Así que, Shawn, nunca se me había ocurrido lo que acabas de decir y me encanta.

Y el director financiero (CFO) mantiene una relación similar con el presidente del comité de auditoría.

Si surge algún problema, como

«Vaya, vamos a tener problemas para pagar las nóminas» o si surge algún problema financiero,
se recurre al auditor.

La confianza se forja entre esas dos personas.

No hay ninguna razón.

No hay ninguna razón válida por la que un vendedor no deba hacer algo parecido.

Sé proactivo en tus comunicaciones.

Ya sabes, yo también lo veo desde el punto de vista de: ¿qué preguntas debería plantear la junta directiva?

No es eso, es solo en general.

¿Conocemos realmente todos nuestros sistemas críticos para el negocio?

¿Tenemos visibilidad de todas las identidades, tanto humanas como no humanas?

¿Y estamos preparados para la próxima oleada de identidades con «agentic»?

¿Entendemos realmente todas las cuentas con privilegios y estamos analizando la «dark»…?
web en busca de, ya sabes, nuestras credenciales y cosas por el estilo?

Si vosotros, nosotros, no podemos responder a esas preguntas ante el consejo de administración, eso es, en mi opinión, una señal de alarma de
que no contamos con las capacidades que necesitamos tener.

No estamos realmente preparados para eso, para, ya sabes, ser una empresa resiliente.

Así que, al principio de la conversación, mencioné que podría resultar útil para un consejo de administración contar con
con alguien con experiencia en TI y ciberseguridad entre sus miembros.

Y, por poner un ejemplo práctico, formo parte del consejo de administración de una empresa y estaban cambiando su sistema de recursos humanos
, una transición que, como todo el mundo sabe, siempre conlleva riesgos.

Pero nos informaron al respecto.

Pero quien realmente comprendió el riesgo fui yo, como miembro del consejo, porque planteé preguntas
basadas en mi experiencia en la transición de esos sistemas

lo cual resultó de gran ayuda para que el consejo comprendiera cómo estaban las cosas.

Y, por cierto, fue de gran ayuda para el director general, ya que no era un experto en informática.

Así que realmente se puso de relieve el riesgo y, a continuación, se produjo un debate muy enriquecedor del tipo: «Entiendo…»
«que eso supone un riesgo y así es como lo estoy gestionando», algo que es importante que los consejos de administración

mantener cuando se realizan cambios en el sistema o incluso a la hora de comprender cuáles son los sistemas críticos.

Por lo tanto, el director de seguridad de la información (CISO) debe ser consciente de que está informando

a las personas que tienen la responsabilidad de supervisar la empresa.

Tienen que explicarles cuáles son los riesgos reales para el negocio y el riesgo empresarial, y
abordarlo desde una perspectiva empresarial.

Y tiene que debatir realmente el plan y defender lo que va a necesitar de
los miembros de su consejo de administración.

Eso es totalmente cierto.

He tratado con muchos consejos de administración y con muchos CISO.

Y sé que, a veces, los CISO se muestran reacios a hacerlo porque

Su jefe puede estar presente en la reunión y no les interesa facilitar
toda la información que deberían, ya que el consejo tiene esa responsabilidad fiduciaria y

debería conocer todo lo que está en riesgo.

Pero se muestran reacios a hacerlo, y yo sugeriría a los CISO que, una vez más, lo hagan
de forma profesional y adecuada, aunque a veces hace falta valor para facilitar esa información y puede que

romper un poco el hielo, pero creo que hay que hacerlo y, si te encuentras en una situación
en la que sientes que no puedes facilitar la información legítima y autorizada que el consejo de administración

necesitas o deberías saber, y si no te encuentras en un entorno propicio
para ello, debes buscar otro trabajo.

Es difícil.

Una anécdota personal, sin entrar en detalles: como director de sistemas de información (CIO) de un departamento

Tengo muchos directores de sistemas de información en las distintas unidades y se produjo un problema en una de ellas en la que el
El director de sistemas de información de esa unidad tenía miedo de hablar con sus superiores.

Yo lo hice.

No debería ser así.

Hay que hacerlo.

Y una vez que hablé con la dirección, se les notaba la sorpresa en la cara, pero
También se dieron cuenta de que, bueno, teníamos que hacer algo.

Así que tienes razón, es difícil romper el hielo, pero hay que hacerlo.

Lo hice con respeto.

Lo hice con sencillez.

Y nos pusimos manos a la obra para resolver el asunto.

Creo que les he dicho a muchos consejeros que, cuando están sentados a la mesa, tienen que
crear un entorno que favorezca el debate abierto.

Si, como miembro del consejo de administración, estás ahí sentado intentando pillar a alguien haciendo algo mal y
Si creas un ambiente que limita el diálogo libre, el problema eres tú.

Estás causando problemas a esa junta.

Tiene que ser propicio.

Tiene que ser colaborativo.

Y, una vez más, todos queremos lo mismo, ¿verdad?

Queremos que la empresa tenga éxito.

Queremos minimizar el riesgo y queremos satisfacer a nuestros clientes.

Eso es lo que deberíamos hacer como empresa.

El consejo de administración tiene la responsabilidad de supervisar.

El CISO es el responsable de la ejecución.

Pero juntos tenéis que crear un entorno que permita que eso suceda.

Y si, como miembro del consejo de administración, no estás creando ese entorno, debes buscar otro sitio.
donde trabajar.

Pero tenemos que comunicar los riesgos y mitigarlos.

Correcto.

Y juntos formamos el equipo.

Y tenemos que hacerlo de una forma «delightful», porque me gusta esa palabra.

Encantadora.

Bueno, ha sido un auténtico placer hablar con vosotros dos, John y Shawn, gracias.

Y con esto concluye nuestro podcast SHIFT.

Soy Melissa Hathaway, y esta ha sido la sesión titulada «Cómo comunicar el riesgo cibernético en la sala de juntas».