La seguridad cibernética es algo que vemos y oímos casi todos los días en los medios de comunicación. De los ataques cibernéticos puede parecer que las organizaciones están siempre bajo constante asedio.
Las amenazas cibernéticas vienen en varias formas, desde los estados «nacionales» que buscan realizar espionaje; del ciber-criminal que buscan robar información valiosa para utilizar y explotar; y los grupos motivados que buscan emitir, robar o causar una interrupción.
No hay duda de que los criminales cibernéticos pueden ser muy adaptables e innovadores, pero el ambiente de amenaza es un hecho. Es la forma de gestionar el riesgo de que es importante.
El entorno está lleno de todo tipo de soluciones técnicas, con la promesa de darle la ventaja en la detección y prevención. Sin embargo, es fundamental que todos los líderes empresariales den un paso atrás y recordar que el riesgo cibernético no es un riesgo de TI, sino un riesgo del negocio y al igual que cualquier otro riesgo de negocio que debe ser administrado.
También es importante entender que esta amenaza no puede ser eliminada, pero el riesgo puede ser manejado. Es fácil llegar a ser atraído por un «marco de riesgo», pero al igual que muchos marcos, una gran cantidad de tiempo y esfuerzo puede ser invertido para que los resultados en seguridad sean insignificantes.
Toda la seguridad cibernética con demasiada frecuencia se discute con el uso de jerga técnica o militar, pero esto sólo pierde la atención y comprensión de los principales líderes. Es vital que los profesionales de seguridad puedan explicar el ambiente de la amenaza y el desafío de seguridad cibernética en un lenguaje accesible.
Es por eso que es importante comprender el riesgo cibernético que enfrenta su organización. Todos deben ser capaces de preguntar y obtener respuestas a las siguientes preguntas simples y no técnicas:
1. Conocer el valor de sus datos:
¿Sabe usted qué datos valiosos su organización tiene? Esto incluye los datos que son valioso no sólo para usted, sino para los criminales cibernéticos que deseen robarlo. ¿Qué datos le causaría un problema real si usted fuera a perderlos? Usted debe tener una lista de que los datos son valiosos.
2. Sepa quién tiene acceso a esos datos valiosos:
¿Quién tiene derechos de administración o el acceso a la información? Haga una investigación de confianza para quien tiene acceso a datos valiosos para hacer su trabajo. Esta cuestión es fundamental porque el acceso a datos valiosos debe ser monitoreado de cerca. Usted no dejaría que cualquiera tenga un conjunto de llaves de su casa, así que se debe vigilar de cerca a quién tiene acceso a datos valiosos.
3. Sepa dónde están sus datos valiosos:
Usted necesita saber donde se almacena y cómo acceder a él. Es saber donde están en alta mar, en tierra, en una nube, o incluso si se almacena con un tercero? Vaya al siguiente paso y se pregunte si sus proveedores han compartido sus datos valiosos con subcontratistas.
4. Saber quién está protegiendo sus datos:
Usted necesita saber que está protegiendo a sus datos valiosos y esto es realmente lo importante. ¿Dónde están?
5. Sepa cómo se protege sus datos:
Usted necesita saber qué se está haciendo por los profesionales de la seguridad para proteger sus datos 24/7. Si los terceros que tienen acceso a sus datos valiosos adecuadamente lo protegen ?
Sólo cuando se puede responder a estas preguntas la organización va a estar bien preparada para entender el nivel de riesgo cibernético y la eficacia con que se está manejando.