Es hora de realizar su propia Orden Ejecutiva Cibernética

El tiempo no es bueno para la seguridad de una organización. Cuanto más espere, más débil se sentirá. Cuanto más se prolonguen las cosas, mayor será el riesgo de lesiones. Los retrasos en la respuesta a amenazas, incidentes y compensaciones significan aumentos exponenciales de los costos.

Su organización no tiene que ser completamente segura (lo que ni siquiera es posible), pero tiene que ser más segura que los otros objetivos del adversario. Tiene que hacer que sea poco atractivo, o al menos muy costoso, que cualquiera pueda comprometer sus sistemas digitales.

El 12 de mayo de 2021, el presidente de los Estados Unidos emitió una orden ejecutiva para mejorar la ciberseguridad del país. Entre otras cosas, el reglamento instruye al gobierno federal a aumentar el intercambio de información y cooperación, modernizar la ciberseguridad, aumentar la seguridad de sus cadenas de suministro de software y estandarizar el manual de estrategias para responder a las vulnerabilidades e incidentes de ciberseguridad. Los principales expertos en ciberseguridad han elogiado unánimemente este reglamento de aplicación.

Todos podemos aprender del gobierno de los Estados Unidos sobre este asunto. Los comités de auditoría o ciberseguridad de la junta directiva corporativa deben preguntar a sus directores ejecutivos cómo responderán al panorama cambiante de las amenazas cibernéticas.

Los CEO deben trabajar con su CIO y CISO en una orden ejecutiva organizacional para mejorar la ciberseguridad de la empresa. Una orden ejecutiva no es un plan o presupuesto de ciberseguridad detallado (ya establecido por el gerente de seguridad de la empresa), sino un llamado a la acción en toda la empresa que establece la prioridad y urgencia de mejorar los controles de ciberseguridad y asegurar el financiamiento para tales iniciativas.

Un buen ejemplo es la seguridad de la cadena de suministro. Es un área familiar para cualquier líder en ciberseguridad. Pero a nivel corporativo, la seguridad de la cadena de suministro es a menudo un tema olvidado y subpresupuestado del que el CEO y la junta directiva saben poco.

La violación de datos de una importante cadena minorista en 2013, cometida a través de los sistemas de sus proveedores de HVAC, fue una advertencia temprana del riesgo de la cadena de suministro. La reciente lesión de SolarWinds es un ejemplo devastador. No fue un incidente aislado en el que se vio comprometido un proveedor de sistemas de TI, sino un asunto nacional en el que más de 18.000 de sus clientes resultaron heridos. Estos son ejemplos aterradores de vulnerabilidades en la cadena de suministro, y hay más. Ninguna empresa está a salvo hasta que la cadena de suministro sea segura. Necesitamos encontrar y corregir las debilidades en la cadena de suministro.

Cuando un riesgo se vuelve mayor o más amenazante, las decisiones deben tomarse con mayor rapidez y decisión.

Hoy en día, todas las empresas están expuestas a un mayor riesgo cibernético: los estados nacionales, el ciberdelito organizado y los villanos. Todo lo que es valioso en la sociedad y la economía se almacena en software o lo maneja. Así que ahí es donde van los criminales. Existen en todo el mundo, e incluso cuando se rastrean e identifican, es difícil localizar a los delincuentes. Como propietarios y operadores de sistemas digitales, tenemos que detenerlos antes de que ataquen haciendo que los ataques al sistema sean poco atractivos y costosos.

Lea la Orden ejecutiva completa sobre la mejora de la ciberseguridad de la nación. Está escrito con claridad y muchas de las secciones se aplican a las empresas comerciales. Piense en cómo cambian las consideraciones de seguridad a medida que las cargas de trabajo de las aplicaciones se ejecutan cada vez más en nubes públicas. Obtenga más información sobre el modelo de confianza cero. Prepárese para lanzar un programa de divulgación de vulnerabilidades. Solicite una revisión de seguridad de la cadena de suministro interna. Adopte el marco de ciberseguridad del NIST.

Repitiendo lo que ya se ha dicho, existe una necesidad urgente de hacer segura nuestra sociedad digital. El tiempo no está de nuestro lado.

Una orden ejecutiva da a toda la organización instrucciones claras sobre iniciativas importantes. Es una forma de mantenerse a la vanguardia y jugar para el futuro. Si nos tomamos en serio la ciberseguridad, nos prepararemos para el mañana y crearemos confianza digital con nuestros ciudadanos.

A medida que nos adaptamos a la pandemia y vemos una cura global, todas las señales apuntan a un crecimiento empresarial masivo en todo el panorama económico. Es hora de jugar a la ofensiva de ciberseguridad y poner en forma nuestra situación de seguridad. De lo contrario, otra persona utilizará la oportunidad de negocio de mañana. El tiempo es ahora.

Marten Mickos

CEO, HackerOne