Para construir una resiliencia cibernética efectiva, invierte en confianza

De HBR.org

Basándonos en nuestra nueva investigación, hemos identificado tres hallazgos importantes para los líderes y ofrecemos cuatro pasos que pueden seguir para aumentar la resiliencia cibernética organizacional.

Conclusión 1: Los beneficios de seguridad derivados de las actividades de cumplimiento tienen un límite.

Definimos el cumplimiento como la adhesión de los empleados a las políticas de ciberseguridad escritas de la organización, a las regulaciones y a las soluciones que las hacen cumplir. Esto incluye capacitación obligatoria, auditorías, certificaciones y monitoreo.

El cumplimiento funciona, hasta cierto punto. Pero una vez que la capacitación, las evaluaciones y el monitoreo están en marcha, cada dólar adicional genera rendimientos decrecientes. En nuestro estudio, los aumentos reportados en el cumplimiento de las políticas y regulaciones no mostraron un efecto significativo en el número o la gravedad de los incidentes que sufrieron las empresas. Observamos una excepción entre las empresas más pequeñas, donde el aumento de los esfuerzos de cumplimiento redujo el número de incidentes, pero no su gravedad.

Muchas organizaciones invierten recursos en actividades centradas en el cumplimiento, aunque es probable que hayan alcanzado su límite máximo hace años. Justifican este gasto pensando que los reguladores y la junta directiva aún necesitan ver que se dedican cada vez más recursos al cumplimiento. Peor aún, creen que invertir en actividades de cumplimiento es suficiente para garantizar los niveles de seguridad de la IA y de ciberseguridad que buscan. Pero nuestra investigación reveló que es poco probable que esto genere la próxima reducción significativa en la tasa de incidentes.

Conclusión 2: El capital social compartido aumenta la seguridad de la IA y la ciberseguridad.

Es probable que el capital social compartido sea la fuente de los avances. Nuestra investigación reveló que las empresas con un capital social superior al promedio reportaron aproximadamente un 70 por ciento menos incidentes y un costo por incidente aproximadamente un 97 por ciento menor. Si bien nuestro trabajo no estudió la causalidad, encontró claramente que la asociación del capital social con los resultados de seguridad era un orden de magnitud mayor que la del cumplimiento normativo. Estos hallazgos fueron validados durante nuestras entrevistas con expertos.

Nuestro trabajo reveló que, cuando el lado comercial contaba con un alto capital social y el de la ciberseguridad no lo igualaba, los resultados eran peores que cuando ambos lados tenían niveles bajos, lo que sugiere que el equilibrio es importante. Además, cuando los equipos de ciberseguridad se comunicaban abiertamente, tenían confianza en las unidades de negocio y perseguían objetivos alineados con ellas, pero estas prácticas no eran correspondidas por las unidades de negocio, el capital social aún proporcionaba la mayor parte de sus beneficios. Por lo tanto, para maximizar los resultados de seguridad, lo ideal es un capital social equilibrado, pero en segundo lugar está el capital social concentrado en la unidad de ciberseguridad.

Muchas organizaciones confían en que los líderes del equipo de seguridad mantengan bajo control los asuntos de seguridad, pero nuestra investigación reveló que se podría lograr una mejor seguridad --medida por un menor número de incidentes y menores costos por incidente-- con una inversión en la construcción y el equilibrio del capital social.

Conclusión 3: Las organizaciones grandes y complejas obtienen mayores beneficios del capital social.

La creencia generalizada es que la complejidad está en conflicto con la seguridad, pero nuestro trabajo sugiere que invertir en actividades que mejoren el capital social mitiga este conflicto. Cuantas más partes móviles tenían que coordinar los equipos de ciberseguridad, más influía el capital social en los resultados. Las organizaciones se benefician más de las inversiones en la construcción de capital social cuando cuentan con más marcos de cumplimiento, mayores presupuestos de seguridad, múltiples unidades de negocio, un equipo de seguridad más grande en proporción al número total de empleados y un mayor respaldo de la alta dirección a la función de ciberseguridad.

Los líderes de alto nivel de toda la organización desempeñan un papel fundamental. Si los líderes de alto nivel y los gerentes hacen de la seguridad una prioridad, sus equipos desarrollan una cultura de seguridad sólida. Los valores, actitudes y creencias de los líderes y gerentes se transmiten a través del organigrama a todos los miembros del equipo.

Cuando se utiliza el capital social para promover y respaldar la ciberseguridad, se reduce el impacto de la complejidad. El apoyo visible a la ciberseguridad por parte de los líderes de alto nivel anima a otros miembros de la organización a seguir su ejemplo, lo que genera un impacto significativo en las actitudes del resto de la organización. Esto también contribuye a construir una cultura de IA y ciberseguridad.

El uso del capital social para desarrollar la IA y la ciberseguridad

Adoptar un enfoque basado en el capital social para impulsar el aumento de la IA y la ciberseguridad es más una cuestión de mentalidad que un rediseño de procesos. Nuestra investigación sugirió ideas prácticas sobre formas de utilizar el capital social para impulsar el aumento de la IA y la resiliencia cibernética, además de las inversiones existentes en cumplimiento normativo.

Recompensa la construcción de relaciones en ambos lados. Los líderes tienden a dedicar su tiempo a aquellas áreas donde el trabajo se alinea con los sistemas de incentivos de la organización. Para los líderes de seguridad, esto suele significar comprender los incidentes, abordar las auditorías y desarrollar nuevos controles. Para los líderes de las unidades de negocio, significa alcanzar sus propios indicadores clave de desempeño (KPI). El tiempo dedicado a comprender los objetivos del otro es poco común en las evaluaciones de desempeño de ambos.

Incorpora la construcción de relaciones, que aumenta el capital social, a las evaluaciones de los líderes de seguridad y de las unidades de negocio, y luego mídela (como se describe en la tercera medida a seguir a continuación). Concéntrate en hacer que el contacto entre los líderes y los equipos sea rutinario, en lugar de fortuito o, peor aún, basado en la urgencia. Esto puede incluir que el equipo de seguridad se incorpore a las primeras reuniones de diseño de productos y que los equipos de negocios participen en ejercicios de seguridad, en lugar de reunirse una vez al año para un ejercicio de simulación.

Para construir relaciones basadas en la confianza, Higgins hizo este intercambio intencional: destinó al menos el 30 por ciento de su tiempo a interactuar con los líderes de los negocios.

Construye una cultura de IA y ciberseguridad basada en la comunicación, la confianza y los valores compartidos. Los líderes construyen capital social al tomar medidas que fomentan la confianza mutua, la admiración y los valores compartidos. Se comunican de manera abierta y clara, y buscan comprender e incorporar las perspectivas de los demás. Se comprometen con objetivos compartidos y refuerzan esos objetivos con sus equipos. Para construir capital social, busca maneras en que los líderes de negocios y de seguridad demuestren su compromiso personal de trabajar juntos en torno a las preocupaciones sobre IA y ciberseguridad mediante actividades reales y significativas. Ellos son los modelos a seguir para sus equipos, quienes seguirán los ejemplos que den sus líderes.

Cuanto más a menudo trabajen juntos los equipos de negocios y de seguridad, más sólida se vuelve la cultura de la seguridad cibernética y de la IA. Farr dijo: "El liderazgo en seguridad se asemeja cada vez más a la administración de una comunidad. Los equipos de seguridad deben preguntarse: '¿Cómo podemos ayudar?', en lugar de '¿Quién violó la política?'. Quiero que nuestro equipo sea aquel al que la gente acuda cuando sienta que algo no está bien y necesite apoyo".

Mide el capital social. Encuentra formas de destacar las acciones y actividades que generan capital social. Por ejemplo, tanto Farr como Porter sugirieron una serie de indicadores, entre los que se incluyen:

-- participaciones en las que se invitó al equipo de seguridad a reuniones iniciales de diseño de productos, así como la participación interdepartamental en ejercicios de seguridad

-- el tiempo que tardan las unidades de negocio en reportar voluntariamente un incidente de IA o de seguridad después de observarlo

-- la proporción de incidentes reportados por los propios usuarios frente a los detectados por herramientas

-- el NPS (Índice de Promotores Neto) para la seguridad

-- mapas de redes de confianza

-- redes informales de influencia

El seguimiento de las medidas las hace visibles, recompensables y motivadoras. Establecer métricas antes de que ocurra un incidente cibernético o de IA brinda a todos en la organización ideas prácticas sobre lo que se espera de ellos.

Revisa el presupuesto en busca de oportunidades para financiar el capital social. Las preguntas clave sobre el presupuesto ya no son cuánto se gasta en cumplimiento ni si es suficiente. Se trata de si el próximo dólar debe destinarse a financiar una iniciativa de cumplimiento más o a una inversión que genere capital social. Busca formas de financiar actividades que fortalezcan la relación entre los líderes de negocios y los de seguridad. Por ejemplo, establece la meta de aumentar el número de líderes de negocios que atienden el teléfono cuando llama su director de seguridad de la información (CISO, por su sigla en inglés). Según nuestros datos, este tipo de inversión se ha amortizado con creces.