Cómo deben responder las organizaciones ante un ciberataque complejo

Cuando ocurre un incidente cibernético, las organizaciones deben estar listas para responder con rapidez y precisión. Exploramos cinco pasos críticos.

Responder a un incidente cibernético complejo requiere una amplia investigación para apoyar la recuperación, remediación, consultas regulatorias, litigios y otras actividades asociadas. Las organizaciones necesitan realizar investigaciones competentes con rapidez y precisión. De lo contrario, el impacto financiero y reputacional puede ser profundo – incluyendo, pero no limitado a: riesgo de pérdida de ingresos por disrupción del negocio, multas regulatorias por incumplimiento y pérdida de confianza del cliente.

En caso de un ciberataque grande y complejo, muchos actores se ven afectados. Su participación en las actividades de respuesta es crítica. Sin embargo, una respuesta efectiva y oportuna requiere algo más que su participación – la colaboración estrecha y permanente es clave. Solo cuando los actores involucrados trabajan juntos de manera efectiva puede ser posible una respuesta oportuna, precisa y rentable.

Es muy común que una organización contrate a un tercero independiente para ayudar a gestionar las actividades de respuesta en caso de un ciberataque importante. El tercero necesita poseer una profunda experiencia legal, de cumplimiento e investigación para poder comunicarse de manera efectiva con todos los stakeholders. Ayudan a realizar investigaciones oportunas y exhaustivas, activar el plan de continuidad del negocio con precisión, hacer cumplir un proceso de comunicación entre todos los stakeholders y gestionar de manera centralizada todas las consultas recibidas de grupos externos e internos, ya que el incidente continúa desarrollándose a lo largo de días, semanas o incluso meses.

Un plan centralizado de respuesta cibernética es fundamental para reunir a los stakeholders que pueden tener diferentes prioridades pero que deben colaborar para resolver el ciberataque. Explorando sus roles.

• Junta directiva: La supervisión de riesgos es una función de toda la junta directiva. La junta directiva supervisa la estrategia de respuesta que incluye comunicarse con los empleados, el público, los accionistas y, muy probablemente, los reguladores y las fuerzas del orden. La junta directiva (o comité de auditoría) también necesita trabajar a la par con el CFO y el auditor externo.
• CFO: El CFO tiene la responsabilidad de verificar la integridad de los controles y datos financieros de la empresa, comprender el posible impacto financiero adverso del incidente y determinar la información financiera adecuada en los documentos pertinentes, todo lo cual tiene un impacto directo en la comunicación de la junta directiva con los accionistas y el público en general.
• Asesoría legal interna: El abogado interno tiene un papel activo en el trabajo con los investigadores forenses en asuntos prácticos como la recolección de pruebas, el análisis de causa raíz y el descubrimiento electrónico. El abogado interno generalmente toma la iniciativa en la comunicación con reguladores y asesores externos. Deben determinar rápidamente el posible cumplimiento del incidente y los impactos legales para poder interactuar de manera efectiva con diversos stakeholders externos.
• Comunicaciones: Los equipos de comunicación interna y externa son importantes para garantizar que el incidente se comunique adecuadamente a empleados, clientes, accionistas y otros terceros que puedan verse afectados. Si se les educa adecuadamente, los empleados pueden ayudar a facilitar la investigación y tomar las medidas necesarias para evitar que la brecha se extienda aún más. La comunicación oportuna con el público es fundamental para restaurar la confianza e infundir confianza en la capacidad de la organización para gestionar el riesgo cibernético y minimizar el impacto negativo del incidente en sus operaciones y clientes.
• Cumplimiento y ética: El director de cumplimiento (CCO, por sus siglas en inglés) es responsable de evaluar el riesgo de cumplimiento normativo en caso de un ciberataque, ya sea relacionado con la protección de datos y privacidad, o regulaciones específicas del sector. Un ciberataque importante a menudo abarca múltiples países o jurisdicciones; el CCO puede enfrentar desafíos para abordar la disparidad — y a veces incluso el conflicto — entre jurisdicciones. El CCO debe trabajar en estrecha colaboración con los especialistas en privacidad, el departamento jurídico, la junta directiva y el equipo ejecutivo mientras manejan estos temas.
• CSO: Muchas organizaciones grandes emplean a un director de seguridad (CSO), cuya responsabilidad clave es la seguridad general de todos los activos — ya sean físicos, informáticos, propiedad intelectual o personas — contra todas las amenazas, como la negligencia accidental, los infiltrados malignos, los delincuentes profesionales o los grupos patrocinados por el Estado. En las industrias reguladas, las contrataciones gubernamentales y de defensa y los servicios críticos de infraestructura nacional, el CSO suele ser responsable del cumplimiento de la legislación nacional que rige la seguridad como parte de la “licencia para operar” de la organización.
• CISO: El director de seguridad de la información (CISO) trabaja en estrecha colaboración con el equipo de investigación para determinar rápidamente la causa principal del ataque, comprender su alcance y evaluar su impacto en el riesgo — datos robados, sistemas impactados y nivel de penetración — para contener y erradicar la amenaza y realizar actividades de remediación. El CISO también debe estudiar cuidadosamente los resultados de la investigación y recopilar información útil para que las lecciones aprendidas se utilicen para fortalecer la estrategia de seguridad de la información de la compañía y las respuestas futuras.