Un 35% de las pymes asegura que sus altos directivos no consideran los ciberataques como un riesgo significativo. Así lo ha relevado Barracuda Network a través de los resultados de un estudio-encuesta, en el que ha quedado demostrado que las empresas no están preparadas para hacer frente a los riesgos de la ciberseguridad. De hecho, según afirma la compañía tecnológica, una cuarta parte de estas empresas afirma que los líderes no están al día de las amenazas a las cuales se enfrenta la organización; un elefante en la habitación.
Para Riaz Lakhany, CISO de Barracuda Networks, esta cuestión no es "un error de dirección", sino que considera que es difícil interesarse o preocuparse por algo que no se comprende del todo. Los CISO tienen que saber explicar historias y ser capaces de influir en las personas de todos los niveles de la organización y ayudarlas a entender lo que pasa dentro de la compañía.
Según el CISO de la compañía, es difícil interesarse o preocuparse por algo que no se comprende del todo
Por este motivo Lakhani ha compartido la guía ¿Cómo hablar con los directivos de las empresas sobre los riesgos de seguridad?, donde esbozan las tres conversaciones clave que todo CISO tiene que mantener, en función del cargo con el que entabla la conversación.
- Con el personal técnico (como ingenieros, desarrolladores o investigadores de seguridad). Según Lakhani, estas serán probablemente "las personas a quienes un CISO tenga que llamar un día a las 02:00 am con una petición urgente" y, por lo tanto, será fundamental construir una relación fuerte, ponerse en su papel e intentar entender cómo se ve la seguridad desde su perspectiva.
- Con altos directivos. Con este perfil serán necesarias las reuniones periódicas y programadas con las partes interesadas de más alto nivel en áreas de riesgo críticas como ingeniería, finanzas y legal para analizar cómo se está evolucionando en el ámbito de las amenazas y la seguridad y lo que esto significa para la hoja de ruta del negocio, el riesgo y el cumplimiento.
- Con el consejo de administración. Según Keri Pearlson, autora de A Tool to Help Boards Measure Cyber Resilience y directiva de Barracuda Networks, la conversación se tiene que centrar en los riesgos prioritarios a los cuales se enfrenta la empresa, por ejemplo, a través de la cadena de suministro, y qué pasa si un ataque tiene éxito. "El consejo de administración quiere saber que su CISO ha pensado no solo en mantener alejados los malos actores, sino en cómo responder y recuperarse de un incidente para que las operaciones puedan continuar y no pierdan la empresa", afirma Pearlson.