Supervisión de ciberseguridad desde el consejo
La ciberseguridad dejó de ser responsabilidad exclusiva de tecnología. El consejo debe supervisarla como riesgo empresarial, exigiendo responsables, métricas, controles, respuesta a incidentes y protección adecuada de información crítica.
La transformación digital modificó sustancialmente el perfil de riesgos de las empresas. Procesos que anteriormente dependían de archivos físicos, instalaciones y comunicación presencial ahora descansan sobre sistemas interconectados, servicios en la nube, proveedores tecnológicos, dispositivos móviles y bases de datos que concentran información estratégica. Esta dependencia genera eficiencia, pero también amplía la superficie de exposición.
Por ello, la ciberseguridad no puede permanecer confinada al departamento de tecnologías de la información. Un ataque puede detener operaciones, impedir facturación, comprometer datos personales, alterar pagos, afectar propiedad intelectual o provocar incumplimientos contractuales. Cuando las consecuencias alcanzan esas dimensiones, el riesgo deja de ser exclusivamente tecnológico y se convierte en un riesgo empresarial que debe llegar al consejo de administración.
La función del consejo no consiste en seleccionar herramientas técnicas ni dirigir la respuesta operativa. Debe supervisar si existe una estructura razonable para identificar activos críticos, evaluar amenazas, proteger información, responder a incidentes y recuperar operaciones. La pregunta de gobierno no es cómo funciona cada control tecnológico, sino si la empresa conoce suficientemente su exposición y dispone de responsables, recursos y mecanismos de escalamiento.
La LGSM no establece un comité obligatorio de ciberseguridad
La Ley General de Sociedades Mercantiles (LGSM) no contiene una obligación general para que toda sociedad mercantil constituya un comité de ciberseguridad, nombre a un responsable específico o adopte un estándar tecnológico determinado.
Esto no significa que el consejo pueda considerar la materia ajena a su función. Cuando la dependencia tecnológica representa un riesgo material para operación, patrimonio o cumplimiento, su supervisión forma parte de una administración prudente de la sociedad.
La estructura concreta dependerá de tamaño, industria y exposición. Una empresa cuyo modelo de negocio funciona completamente mediante plataformas digitales necesita una profundidad distinta a la de una organización con limitada dependencia tecnológica. El gobierno debe ser proporcional al riesgo.
Crear un comité especializado tampoco debería convertirse en respuesta automática. En muchas sociedades, el riesgo puede supervisarse adecuadamente mediante el propio consejo o un comité de riesgos o auditoría ya existente. Lo importante no es el nombre del órgano, sino que exista una responsabilidad claramente asignada y una ruta efectiva de información hacia el consejo.
Protección de datos y ciberseguridad están relacionadas, pero no son lo mismo
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) constituye un referente jurídico esencial cuando una empresa trata datos personales. La legislación aplicable exige observar principios y deberes relacionados con el tratamiento de esa información y adoptar medidas de seguridad administrativas, técnicas y físicas que permitan protegerla frente a daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado.
Sin embargo, protección de datos y ciberseguridad no son conceptos idénticos. Un ataque puede comprometer secretos industriales, sistemas productivos o información financiera sin involucrar necesariamente datos personales. Del mismo modo, puede existir una infracción de protección de datos producida por un error humano sin un ataque informático sofisticado.
El consejo debe comprender esta diferencia porque cumplir las obligaciones de privacidad no equivale automáticamente a contar con una adecuada estrategia de ciberseguridad, aunque ambas materias se encuentren estrechamente vinculadas.
El primer paso es conocer qué debe protegerse
No todos los sistemas poseen la misma importancia. Una organización puede tener miles de dispositivos y aplicaciones, pero sólo algunos resultan indispensables para mantener operaciones.
El consejo debería recibir una explicación comprensible de cuáles son los activos críticos. Pueden incluir sistemas financieros, información de clientes, propiedad intelectual, plataformas productivas, respaldos, infraestructura de pagos y credenciales con privilegios elevados.
El consejo no necesita saber configurar un firewall; necesita comprender qué activos críticos pueden comprometerse, cuál sería el impacto empresarial y si la organización está preparada para responder.
Sin este inventario resulta difícil priorizar inversiones. La empresa puede gastar considerablemente en controles periféricos mientras mantiene vulnerable aquello cuya interrupción tendría mayor impacto.
Una pregunta útil para el consejo es sencilla: si mañana perdiéramos acceso a nuestros sistemas principales, ¿qué operaciones dejarían de funcionar y cuánto tiempo podríamos mantenernos así?
La respuesta permite transformar un riesgo técnico en un lenguaje empresarial.
El consejo necesita métricas, no únicamente garantías
Un informe que simplemente indique “la empresa está protegida” aporta poco, la seguridad absoluta no existe y, por tanto, la supervisión requiere indicadores.
Dependiendo del negocio, pueden revisarse vulnerabilidades críticas pendientes, tiempos de corrección, porcentaje de sistemas con autenticación reforzada, pruebas de recuperación, incidentes detectados, capacitación, resultados de simulaciones y nivel de exposición de terceros.
Las métricas deben permitir observar tendencias. Una cifra aislada puede carecer de significado; saber que las vulnerabilidades críticas llevan tres trimestres aumentando ofrece una señal diferente.
Tampoco conviene saturar al consejo con indicadores técnicos. El reporte debe traducir la información a riesgo empresarial: qué exposición aumentó, qué control falló, qué inversión se necesita y qué consecuencia podría materializarse.
La responsabilidad ejecutiva debe estar identificada
Uno de los problemas frecuentes aparece cuando la ciberseguridad queda distribuida entre tecnología, jurídico, cumplimiento, operaciones y proveedores sin que exista un responsable capaz de coordinar el conjunto.
El consejo necesita saber quién responde ejecutivamente por el programa y cómo se relacionan las distintas funciones. Puede existir un director de seguridad de la información, un responsable tecnológico u otra estructura equivalente según tamaño y complejidad.
La línea de reporte también importa. Si la persona responsable de seguridad depende completamente del ejecutivo cuyo desempeño debe cuestionar, puede existir dificultad para escalar determinadas deficiencias.
No existe una estructura universal. Lo indispensable es que los riesgos materiales puedan llegar al órgano de gobierno sin quedar filtrados por conflictos organizacionales.
Los proveedores forman parte de la superficie de ataque
Una empresa puede invertir considerablemente en sus propios controles y sufrir un incidente a través de un proveedor. Servicios en la nube, procesadores de pagos, despachos, plataformas de recursos humanos y otros terceros pueden acceder a sistemas o información relevante.
La gestión de proveedores debe incluir criterios de seguridad proporcionales a la exposición. Antes de contratar, conviene determinar qué información recibirá el tercero, qué accesos tendrá, qué controles utiliza y qué obligaciones contractuales asumirá. También deben existir reglas para terminar la relación: revocación de accesos, devolución o eliminación de información y conservación necesaria.
Desde el consejo no corresponde revisar cada contrato tecnológico. Sí corresponde saber si la organización posee un sistema para identificar y supervisar a aquellos terceros cuya falla podría afectar materialmente a la empresa.
El ransomware exige pensar en continuidad, no solamente en prevención
Los ataques de ransomware ilustran por qué la ciberseguridad debe conectarse con continuidad de negocio. Una empresa puede sufrir cifrado o indisponibilidad de sistemas aun teniendo múltiples controles preventivos.
La pregunta entonces cambia: ¿existen respaldos?, ¿están aislados?, ¿se han probado?, ¿cuánto tardaría la recuperación?, ¿qué operaciones deben restablecerse primero?
Un respaldo que nunca ha sido probado ofrece una tranquilidad engañosa. La organización necesita conocer su capacidad real de restauración.
El consejo debería recibir resultados de ejercicios periódicos y conocer las principales brechas. La resiliencia no consiste en prometer que nunca ocurrirá un incidente, sino en reducir su probabilidad y limitar su impacto cuando ocurra.
El plan de respuesta debe existir antes de la crisis
Durante un incidente relevante no hay tiempo para decidir desde cero quién tiene autoridad, qué asesores deben intervenir o cuándo informar al consejo.
El plan debe establecer responsables para tecnología, jurídico, comunicación, operaciones y dirección. También debe prever criterios de escalamiento según gravedad.
No todo incidente requiere convocar inmediatamente al consejo. Una alerta contenida por los controles ordinarios puede manejarse operativamente. Pero una interrupción significativa, compromiso de información crítica o exposición jurídica material debe contar con un canal definido.
Las simulaciones o ejercicios de mesa permiten comprobar si el plan funciona. En ellos pueden plantearse escenarios y observar quién toma decisiones, qué información falta y dónde existen contradicciones.
El consejo debe saber qué ocurriría durante las primeras horas
Una pregunta particularmente reveladora consiste en pedir a la administración que describa las primeras veinticuatro horas después de un ataque grave.
¿Quién detecta? ¿Quién declara el incidente? ¿Quién desconecta sistemas? ¿Quién contacta especialistas? ¿Quién determina obligaciones de comunicación? ¿Quién informa a clientes o contrapartes cuando corresponda?
Si las respuestas dependen de “ver qué hacemos en ese momento”, el problema no es únicamente tecnológico; es de gobierno.
Los protocolos tampoco deben ser tan rígidos que impidan reaccionar ante circunstancias inesperadas. Su función es establecer una estructura inicial para que las decisiones urgentes no comiencen desde cero.
El factor humano continúa siendo crítico
Muchos incidentes comienzan mediante credenciales comprometidas, engaños, errores o malas prácticas. Por ello, la capacitación forma parte del sistema de control.
No basta con impartir un curso anual y obtener una constancia. Conviene evaluar si las personas reconocen intentos de fraude, utilizan adecuadamente accesos y saben cómo reportar eventos sospechosos.
Un incidente cibernético se convierte en problema de gobierno cuando amenaza continuidad, información, patrimonio, obligaciones contractuales o confianza y nadie puede explicar quién debía prevenirlo, detectarlo o escalarlo.
Los ejecutivos y consejeros tampoco deberían quedar excluidos. Por el nivel de información que manejan, pueden ser objetivos especialmente atractivos.
La cultura de reporte resulta fundamental. Un empleado que sospecha haber abierto un archivo malicioso debe sentirse incentivado a informarlo inmediatamente, no a ocultarlo por temor a una sanción.
Inteligencia artificial amplía el mapa de exposición
La incorporación acelerada de herramientas de inteligencia artificial (IA) introduce riesgos adicionales. Empleados pueden utilizar aplicaciones externas para procesar contratos, información de clientes, código o documentos internos sin conocer cómo serán almacenados los datos.
El consejo no necesita aprobar individualmente cada herramienta. Sí debería verificar que exista una política sobre utilización de IA, clasificación de información y autorización de plataformas.
También aparecen riesgos de fraude mediante contenido sintético, suplantación de voz o comunicaciones aparentemente legítimas. Esto exige reforzar controles para pagos, cambios de cuentas bancarias y autorizaciones extraordinarias.
La tecnología modifica las amenazas; los principios de control permanecen: segregación de funciones, verificación independiente y trazabilidad.
El CPMPGC incorpora los riesgos tecnológicos dentro de una visión integral
El Código de Principios y Mejores Prácticas de Gobierno Corporativo (CPMPGC), fortalece la responsabilidad del consejo respecto de administración integral de riesgos y reconoce la importancia creciente de tecnología, información y continuidad dentro de la gestión empresarial.
La lógica del Código es particularmente útil: los riesgos no deberían administrarse en compartimentos aislados. Un incidente tecnológico puede convertirse simultáneamente en riesgo financiero, operativo, jurídico y reputacional.
Las recomendaciones del CPMPGC constituyen mejores prácticas de adopción voluntaria, salvo que alguna obligación derive adicionalmente de la ley, estatutos, contratos o regulación sectorial aplicable.
El seguro cibernético no sustituye los controles
Las pólizas especializadas pueden formar parte de la estrategia de transferencia de riesgos. Sin embargo, contratar un seguro no elimina la necesidad de controles preventivos y planes de respuesta.
Las coberturas tienen exclusiones, límites y condiciones. La empresa debe conocer qué incidentes están cubiertos, qué servicios se incluyen y qué obligaciones debe cumplir para conservar la cobertura.
El consejo puede revisar periódicamente si la transferencia financiera del riesgo corresponde a la exposición actual. Pero debe evitar una falsa sensación de seguridad: una indemnización no necesariamente recupera reputación, información perdida ni relaciones comerciales deterioradas.
Después del incidente debe existir una revisión real
Superada una crisis, la organización debería analizar causas, controles que fallaron, tiempos de respuesta y decisiones adoptadas. El objetivo no es encontrar inmediatamente a una persona a quien responsabilizar, sino reducir la posibilidad de repetición.
El consejo debe recibir las conclusiones de incidentes materiales y verificar que exista un plan de remediación. Si la misma vulnerabilidad aparece repetidamente, el problema puede ser presupuestal, cultural o de liderazgo.
Los incidentes menores también pueden aportar información. Varias señales pequeñas pueden revelar una debilidad antes de que ocurra un evento grave.
Supervisar sin administrar
El mayor desafío del consejo consiste en involucrarse suficientemente sin asumir funciones técnicas. Un órgano que intenta decidir configuraciones o productos de seguridad invade responsabilidades de la administración. Uno que sólo recibe una presentación anual probablemente supervisa demasiado poco.
El equilibrio aparece cuando el consejo formula preguntas empresariales: cuáles son los activos críticos, qué amenazas pueden producir mayor impacto, quién es responsable, cómo se mide la exposición, cuándo se probó la recuperación y qué ocurriría si un proveedor crítico dejara de operar.
La ciberseguridad madura cuando deja de presentarse ante el consejo como una colección de herramientas tecnológicas y comienza a explicarse como continuidad, patrimonio, información y capacidad para operar.
Ninguna empresa puede garantizar que jamás sufrirá un incidente. Lo que sí puede hacer es construir una estructura razonable para reducir probabilidad, detectar oportunamente, contener daños y recuperar operaciones.
Ésa es precisamente la función del gobierno corporativo frente al riesgo cibernético: no prometer invulnerabilidad, sino exigir preparación, responsabilidad y capacidad de respuesta antes de que la pantalla se apague y comience la crisis.
Sobre el autor
Mtro. Benjamín Serna Liogol
Sigue leyendo
