El hecho de que una empresa sea víctima de un ciberataque y que éste sea considerado un error interno es una percepción desenfocada. Actualmente, las modalidades para perpetrar este tipo de ilícito son tan variadas, que a cada minuto se concretan millones de ataques, por lo que es muy probable que en algún punto cualquiera puede ser presa del hampa.
Debido a lo anterior, es fundamental saber qué tan preparado está el personal y qué tan robustos son los procedimientos y las herramientas tecnológicas con las que cuenta la organización, para lograr enfrentarlo con efectividad y con las menores repercusiones posibles, concluyeron Alberto Martínez, Cyber Risk Consulting Leader, de Marsh México; Vanessa Vargas, Legal director de Kennedy´s, y Miguel Ángel Cornejo, Head de Líneas Financieras de AXA México, al participar en el panel: Lección aprendida. Los ciberincidentes y sus consecuencias, efectuado en el Cyberforum 2023 organizado por Marsh México.
Los panelistas indicaron que el simple hecho de que una organización opere con el riesgo permanente de que su información sensible y procesos sean vulnerables, justifica y la obliga a invertir en reforzar las medidas de seguridad, y a reflexionar e identificar cuál es el estatus de la organización y a que su personal sepa qué rol, qué instancias y elementos de apoyo humano y tecnológico requieren para reaccionar con rapidez, o de lo contrario será muy difícil minimizar las consecuencias.
Alberto Martínez consideró que este escenario de alta vulnerabilidad cibernética invita a que los equipos de trabajo tecnológico y humano interactúen con mucha sinergia. Por separado, una herramienta tecnológica no puede resolver el problema y viceversa. Hay que hacerlo en equipo y reforzando en todo momento que los colaboradores sepan con total claridad cuál es el plan, cuál su rol dentro del mismo y en quién deben apoyarse en el momento más crítico de la emergencia.
En ese sentido, Alberto Martínez recomendó designar quién cumplirá con ese papel de líder para tomar decisiones en el momento de crisis. Si no se trabaja en la formación de esos líderes, se les infunde el relevante papel que están jugando y se les capacita sobre cómo comunicar los pasos a seguir durante el ataque, será muy complejo atender con efectividad el momento crítico, resaltó.
Para que una organización logre solventar los obstáculos de una situación así, y asegure con ello la continuidad del negocio, cada uno de los colaboradores debe ser capaz de llegar al extremo de depender, casi de un lápiz y una libreta, y poder funcionar para tomar decisiones, porque hay que tomar en cuenta que en muchos de los casos la totalidad de las herramientas tecnológicas estarán en poder de los delincuentes.
Finalmente, el representante de Marsh invitó a los asistentes a imaginar hasta qué extremo puede llevar a los colaboradores y a la operación de las empresas un ciberataque, y para que se trabaje en las estrategias integrales que faciliten, llegado el caso, aterrizar una resolución en sintonía.
Por su parte, Vanessa Vargas señaló que, en promedio, el ciclo de vida en el que se desarrolla un ataque cibernético puede ser de hasta seis meses, y en el cual hay mucho desgaste anímico, financiero, operativo, etcétera, de ahí la importancia de generar una visión holística para poder responder adecuadamente a una extorsión o incidente cibernético, así como de contar con una red de emergencia 24/7, los 365 días del año.
El mensaje que dejó la ejecutiva de Kennedy´s es que nadie está preparado para afrontar un ciber incidente. Son muchas las variantes y fuentes de donde pueden venir, además están en constante evolución, razón por la que hay que estar preparados con protocolos permanentemente actualizados.
Asimismo, dijo, dentro de la estrategia de mitigación de ataques cibernéticos “evitemos obviar que ocurrirán ciertas cosas que parecerían lógicas. Cuando ocurre un ataque, nada puede pasar por ese tamiz, retemos a los equipos de trabajo a evitar dejar huecos por donde se pueden filtrar los ciberdelincuentes y formémoslos a que sepan cómo actuar ante escenarios extremos.
Al hacer uso de la palabra, Miguel Ángel Cornejo resaltó que las organizaciones que cuentan con un ciber seguro han aumentado. de 2011 a la fecha, se han generado algunas regulaciones en la materia, lo que ha generado el aumento de cierto nivel de conciencia de la importancia de tenerlo y de las consecuencias de estar desprotegido.
En el proceso de selección de los riesgos, los asegurados, con apoyo de la compañía de seguros, han logrado identificar y tener una autoevaluación mucho más completa de los riesgos a los que están expuestos, lo que ayuda enormemente a que tengan en realidad un instrumento de protección que los respalde en cada punto de riesgo.
Como en todo riesgo atendido por el sector seguros, el papel de la aseguradora ante un ataque cibernético es de acompañamiento y servicio y volverse un socio para los momentos clave en que las organizaciones los necesitan, concluyó Cornejo.