Por qué necesitamos mejores controles cibernéticos para proteger al Reino Unido de las disrupciones
5 min read
Comprender cómo cumplir con las regulaciones globales de seguridad y resiliencia no es fácil para las empresas; No existe un lugar único donde confluyan todas las reglas y, a menudo, corresponde a los equipos de cumplimiento regionales y a los líderes de seguridad interpretar las políticas, lo que genera una falta de pensamiento inclusivo y un enfoque muy aislado.
Sin embargo, si bien siempre habrá matices basados en la jurisdicción geográfica en la que opera una empresa, están surgiendo varios temas regulatorios globales:
- La resiliencia operativa y la seguridad son ahora tan importantes como la resiliencia financiera
- La transparencia y la presentación oportuna de informes son clave
- Centrarse en los controles cibernéticos fundamentales
- Haga lo correcto para sus clientes y el resto vendrá.
La resiliencia operativa y la seguridad son ahora tan importantes como la resiliencia financiera
Varias regulaciones se centran en los servicios más importantes que una empresa brinda a sus clientes y mercados y para protegerlos por encima de todo. Ejemplos incluidos Desarrollar la resiliencia operativa regulaciones del Reino Unido y Ley de Resiliencia Operacional Digital (DORA) en la UE
Estas regulaciones surgieron porque existe la creencia de que las organizaciones a menudo se centran en la resiliencia financiera, pero las interrupciones causadas por la explotación de vulnerabilidades o fallas operativas ocurren con demasiada regularidad y alteran la vida de los clientes. Ha habido muchos ejemplos de interrupciones importantes causadas por problemas operativos y de la cadena de suministro en los últimos años, incluidos ataques cibernéticos y colectivos, WannaCry y múltiples interrupciones que afectan a la industria aérea.
Las organizaciones necesitan identificar sus servicios más importantes y proteger la infraestructura necesaria para ejecutarlos. Esto generalmente se logra determinando cuánta pérdida causará una interrupción del servicio y luego organizando los servicios en niveles en consecuencia. Los servicios más importantes deberían recibir la mayor inversión y protección.
La transparencia y la presentación oportuna de informes son clave
Cuando las cosas van mal, los reguladores están interesados en comprender los detalles. Varias regulaciones en todo el mundo se centran en la necesidad de informar oportunamente sobre problemas de seguridad, cibernética y resiliencia. Ejemplos incluidos Ley de notificación de incidentes cibernéticos para infraestructuras críticas (CIRCIA) En los Estados Unidos, los requisitos de presentación de informes según dora Notificaciones de infracción de incidentes relacionados con la privacidad en la Unión Europea y en todo el mundo, como en el marco del RGPD.
Las empresas deben asegurarse de poder informar incidentes cibernéticos y operativos de manera oportuna, incluyendo saber quién redactará y aprobará la notificación y quién se comunicará con cada regulador. Los reguladores deben ser informados a medida que avanza el incidente, incluido lo que la organización está haciendo para resolverlo.
Cada jurisdicción puede tener diferentes períodos de presentación de informes, por lo que es importante mantener un registro (actualizado al menos mensualmente) de las regulaciones y requisitos de presentación de informes. Existen herramientas que pueden automatizar esto, lo que puede reducir el esfuerzo requerido por las grandes organizaciones globales para mantenerse actualizadas con los requisitos reglamentarios de presentación de informes.
Centrarse en los controles cibernéticos fundamentales
Algunas jurisdicciones están apoyando un enfoque en una regulación cibernética de base amplia. Por ejemplo, cualquier empresa de Estados Unidos que quiera proporcionar servicios en la nube al gobierno federal debe estar certificada. FedRAMP Planifique para garantizar que existan controles cibernéticos básicos.
Normas reconocidas, por ejemplo. ISO27001 Y NIST LCR se ha convertido en un foco para las organizaciones que quieren demostrar que están mejorando continuamente sus controles cibernéticos. También son útiles para la presentación de informes a la junta directiva, donde los miembros de la junta directiva necesitan comprender la relativa madurez cibernética de su empresa.
Las organizaciones deben revisar la madurez de sus controles cibernéticos al menos una vez al año y comparándolos con un punto de referencia aceptado. Esto es igualmente importante para la regulación no técnica; Por ejemplo, garantizar que los equipos estén capacitados para detectar ataques de phishing, realizar simulacros y simulacros periódicos para responder a incidentes y que los comportamientos de liderazgo cibernético y de resiliencia estén completamente alineados con la protección de la empresa y sus clientes.
Haga lo correcto para sus clientes y el resto seguirá
En la mayoría de las nuevas regulaciones se da a entender que centrarse en proteger a los consumidores conducirá a mejores resultados de seguridad en general. Algunas jurisdicciones han ido más allá y han publicado regulaciones para proteger estos resultados (por ejemplo, los derechos del consumidor en la industria de servicios financieros del Reino Unido).
A menudo, cuando sucede lo peor, la forma en que una empresa ayuda a sus clientes a lidiar con las interrupciones es una parte importante (pero a menudo olvidada) de la respuesta. Las consecuencias de un ciberataque pueden prolongarse durante meses y años, con una investigación casi inevitable (impulsada por algunos requisitos regulatorios) a continuación.
Si bien el viejo dicho “siempre haga operaciones bancarias con un banco que acaba de ser asaltado” puede ser un poco exagerado, hay un elemento de “antifrágil”, las operaciones de una empresa se ven fortalecidas por el estrés de vez en cuando. A menudo se juzga a las organizaciones por la solidez de su respuesta a los clientes y mercados; Las personas que lo hacen bien a menudo pueden volverse más fuertes y resilientes.
Los gobiernos siempre están dispuestos a enfatizar la importancia de reducir la carga regulatoria y no se puede argumentar que la regulación no debería frenar la innovación. Sin embargo, existe una percepción general de que el público, los consumidores y los mercados no son inmunes a los impactos cibernéticos y operativos, y los reguladores ahora están abordando estas preocupaciones. Esto significa que es poco probable que la atención se desplace pronto de la ciberresiliencia operativa y la regulación de la cadena de suministro.
Adam Stringer es jefe de ciberseguridad, privacidad y resiliencia operativa en servicios financieros PA Consultoría
