4 maneras de preparar al Consejo de Administración ante una brecha de ciberseguridad

La ciberseguridad y las empresas son 2 realidades íntimamente relacionadas entre sí desde hace ya bastantes años. El concepto de brecha de ciberseguridad se define por primera vez con la publicación del nuevo RGPD. Así, el Esquema Nacional de Seguridad (ENS) determina un “incidente de seguridad” como aquel “suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información”.

En un sentido más amplio, el RGPD define las brechas de ciberseguridad como “violaciones de seguridad de datos personales” y apunta a “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”.

Ciberseguridad y empresas: las segundas ya no pueden pasar por alto los problemas de la primera

Ante el nuevo panorama de ciberataques, las empresas ya no pueden ser ajenas a estos inconvenientes. Por ello, los Consejos de Administración deben ser conscientes de la gravedad del asunto y poner todos los medios a su alcance para atajar posibles fallos de seguridad.

De esta manera, los citados órganos de gobierno corporativo deben comprender cómo funciona el protocolo de actuación introducido en el RGPD y ponerlo en marcha.

En este sentido, para que la asociación ciberseguridad y empresas llegue a buen puerto, lo primero en lo que deben empeñarse es en preparar sus compañías para hacer frente a cualquier ataque. Dicho de otra forma, los Consejos de Administración están en la obligación de facilitar los medios para proteger los datos y comunicaciones frente a ciberataques.

Del mismo modo, es también importante que se dediquen esfuerzos a la identificación de las brechas de seguridad. Este punto incluye detalles sobre cómo las organizaciones deben estar preparadas para detectar los incidentes de seguridad que puedan ocurrir, mediante los mecanismos de detección apropiados.

Una vez localizados, se deberá analizar y clasificar la amenaza a la ciberseguridad. En los planes de los Consejos de Administración, seguidamente, se incluirá un apartado dedicado al plan de actuación, a la respuesta ante la amenaza y al proceso de notificación del ciberataque.

Cómo proceder ante un incidente que puede clasificarse como una brecha en la amalgama ciberseguridad y empresas

A día de hoy, cualquier compañía debe estar preparada para sufrir un ataque cibernético. De hecho, tenemos ejemplos de grandes compañías que han perdido apoyos financieros y sociales debido a brechas en su ciberseguridad, como los flagrantes casos de Facebook y Google.

Con el objetivo de evitar los desastres que pueden causar la ausencia de ciberseguridad y empresas vulnerables, tal y como figura en el RGPD, el Consejo de Administración de cualquier compañía deberá seguir una serie de pasos:

1. Establecer una cadena de responsabilidad. De esta forma, se creará un protocolo en el que se definirá quién deberá hacerse cargo del ataque y la responsabilidad de cada persona en la empresa frente a la brecha en la ciberseguridad.
2. También se deberá contratar a terceros que puedan ayudar a hacer frente al ataque. Para este propósito se podrá contratar a un abogado, una empresa de RRPP o externas para hacer test de penetración y evitar que suceda de nuevo.
3. El Consejo deberá asegurarse de que se comprenden las protecciones incluidas en el seguro y de que se defina la cobertura, en caso de brecha en la ciberseguridad de la empresa.
4. Se deberá establecer una política en la empresa que incluya cómo actuar en caso de ciberataque o de rasomware para que todos los empleados estén preparados para reaccionar frente a una brecha en la ciberseguridad en la empresa, tal y como indica Incibe en este artículo.