Riesgos y seguridad: objetivo permanente de reinvención

Es un hecho que riesgos globales se están intensificando, pero la voluntad colectiva para enfrentarlos parece no tener la misma prisa. La idea de ‘recuperar el control’, ya sea a nivel nacional o supranacional resuena en muchos países y con muchos problemas sobre la mesa sobre la evolución de los riesgos y la seguridad y la mejor gestión de ambos.

Más allá de los riesgos medioambientales que siguen estando en el primer puesto de exigencias y vulnerabilidades, la tecnología sigue desempeñando un papel importante en la configuración del panorama de riesgos globales y de eso nos vamos a ocupar en este caso.

Las preocupaciones sobre el fraude de datos y los ciberataques volvieron a ser prominentes en el pasado año 2018, que también destacó en otra serie de vulnerabilidades tecnológicas.

Hubo más violaciones masivas de datos o brechas en la seguridad, se revelaron nuevas debilidades de hardware y software y la investigación señaló los usos ya potenciales de la inteligencia artificial para diseñar ciberataques más potentes. El año pasado también proporcionaron evidencia adicional de que los ataques cibernéticos plantean riesgos para las infraestructuras críticas, lo que obliga a fortalecer sus sistemas transfronterizos por motivos de seguridad nacional, además de todas aquellas actividades estratégicas con mayor criticidad en su funcionamiento.

Por tanto, así como hemos visto cambios de paradigmas en la delincuencia transnacional y, sobre todo, en el terrorismo, ahora se requiere un cambio hacia una forma más global de participación e intercambio, principalmente entre países. Y ahí es donde creo debemos centrar esa nueva asignatura de la Gestión del Riesgo y la Seguridad.

El Informe Global de Riesgos del Foro Económico Mundial (WEF, en sus siglas en inglés) que se publicó el año pasado en un momento de grandes incertidumbres a nivel global y de creciente descontento popular con el orden político y económico existente, analiza el panorama de riesgos a nivel macro y destaca las principales amenazas que pueden perturbar al mundo en 2019, e incluso, en la próxima década.

Y, aunque la humanidad se ha vuelto notablemente adepta a entender cómo mitigar los riesgos convencionales que pueden aislarse y gestionarse con relativa facilidad usando estrategias de gestión del riesgo ya estandarizadas, sin embargo, somos mucho menos competentes cuando se trata de lidiar con riesgos complejos en los sistemas interconectados sobre los que se apoya nuestro mundo, como las organizaciones, las economías, las sociedades y el medio ambiente, en general, y las infraestructuras críticas, en particular.

En la encuesta del WEF, sobre Percepción de Riesgos Globales, los ambientales han crecido en mayor importancia en los últimos años.

Pero, también están incrementándose los riesgos en cuanto a ciberseguridad, tanto en términos de su prevalencia como de su potencial disruptivo, de forma especial. Los ataques en contra de entidades corporativas casi se han duplicado en cinco años y los incidentes que antes se consideraban algo fuera de lo común se están volviendo más habituales.

Por tanto, el impacto financiero de toda violación contra la ciberseguridad va en aumento, y dan cuenta de algunos de los costes más elevados desde 2017 con relación a ataques con Ransomware, que representaron el 64% de todos los e-mails maliciosos. Entre los ejemplos más notables se incluye el ataque WannaCry que afectó a más de 300.000 ordenadores en 150 países, y el NotPetya, que causó pérdidas trimestrales de más de 300 millones de euros a las empresas afectadas.

Y como ya se ha dicho, otra de las tendencias crecientes consiste en los ciberataques que apuntan a infraestructuras esenciales y sectores estratégicos, lo que hace temer que, en el peor de los casos posibles, los atacantes podrían provocar el colapso de sistemas que mantienen a actividades sociales en su correcto funcionamiento.

El Informe Global de Riesgos de este año presenta tres nuevas series: Shocks Futuros, Retrospectiva, y Reevaluación de Riesgos.

1. Shocks futuros, como una advertencia en contra de la complacencia, un recordatorio de que los riesgos pueden materializarse a una velocidad desconcertante e imprevisible.
2. Retrospectiva, mirando hacia atrás, a los riesgos que ya se han analizado en ediciones anteriores del Informe Global de Riesgos, para estudiar su evolución y las respuestas globales ante la potencial materialización de éstos.
3. Reevaluación de Riesgos, donde un número de expertos en riesgos compartirán sus opiniones sobre las implicaciones para los tomadores de decisiones en las organizaciones, los gobiernos y la sociedad civil en términos de cómo avanza nuestra comprensión con la evolución de los riesgos.

En un momento en que las nuevas oportunidades de las tecnologías emergentes exigen audacia y agilidad, un aumento en los ataques cibernéticos está agravando los puntos vulnerables dentro de las operaciones de la entidad, la infraestructura, la cadena de suministro y las interacciones con los usuarios.

Ante el actual escenario corporativo, donde las empresas viven en constante presión y la competencia es brutal, para conseguir desarrollar la actividad y sobrevivir es necesario trazar y seguir estrategias empresariales, que van a ser la base para alcanzar los objetivos de la entidades o corporaciones.

En este sentido, la Gestión de Riesgos Corporativos está directamente ligada a la estrategia de la propia entidad y su actividad sectorial.

El contexto de Gestión del Riesgo de las organizaciones es y será cada vez más dinámico, exigiendo un proceso con elevada flexibilidad y manteniendo un alto nivel de gestión, así como una mayor necesidad en la identificación y evaluación continua y en la respuesta a posibles escenarios de riesgos.

Integrar la estructura de gestión de riesgos en los procesos y en las estrategias de la organización es una necesidad para las corporaciones, ya que el objetivo destacado es la creación de una función integrada que genere y ponga en valor su actividad.

Uno de los aspectos importantes en la Gestión del Riesgo es la protección de la información. Así, la nueva Ley Orgánica de Protección de Datos Personales y Garantía de Derechos Digitales (LOPD-GDD), define cómo debe ser el tratamiento de datos personales, incluso en los medios digitales, por persona física o jurídica, con el objetivo de proteger los derechos fundamentales de libertad y de privacidad, garantizando la seguridad al usuario en general. Cualquier información que pueda identificar a una persona, debe ser protegida por las entidades públicas y privadas.

No obstante, otros aspectos funcionales de las organizaciones como la no conformidad o cumplimiento también están relacionados con resultados insatisfactorios de las entidades. Así, podemos concluir que la no conformidad o incumplimiento es un factor de riesgo.

Por todo ello, es importante contar con un proceso estructurado para realizar la identificación y la evaluación en la gestión del riesgo, así como el registro, la clasificación de la criticidad y el tratamiento, buscando la mejora, el desempeño y la eficacia de la organización y su actividad.

Toda organización necesita una estrategia bien definida y objetivos claros a seguir. Los procedimientos y las mejores prácticas de la ISO 31000 fueron revisadas y actualizadas recientemente planteando el enfoque estratégico como uno de los puntos claves en la Gestión de Riesgos Corporativos.

La función de la ISO 31000 es proporcionar directrices, principios, estructuras y un proceso para gestionar riesgos, pudiendo ser utilizado por cualquier organización, independientemente del tamaño, actividad o sector. En febrero de 2018 se lanzó la versión más reciente de esta norma ISO, que deberá ser oficialmente puesta a disposición y aplicar sus cambios significativos para ayudar a gestionar las incertidumbres.

Los riesgos que afectan a las organizaciones pueden tener incidencias en términos de desempeño económico y reputación profesional, así como consecuencias ambientales, de seguridad y sociales. Por lo tanto, la gestión de riesgos es fundamental para que las organizaciones tengan un buen desempeño en un entorno vulnerable, incierto, ambiguo y complejo.

Como venimos viendo y disfrutando, el desarrollo y aplicación de las constantes nuevas tecnologías en todos los campos son un avance de especial importancia para la sociedad globalizada. No obstante, estas tecnologías también son una oportunidad para todo tipo de actos ilícitos.

Así, delincuentes, criminales, terroristas, etc. también están creando un espacio diferente donde, en muchos de los casos, son muy beneficiados al generar una inseguridad global. Cada vez que aparece una nueva tecnología o aplicación los criminales están ahí para explotarla.

Pero, igualmente, el simple hecho de la mayor conexión de nuestras vidas a través de redes e Internet presenta un gran riesgo y vulnerabilidad. Todos los objetos físicos de nuestro entorno se están transformando en tecnologías de la información o el Internet de las cosas y eso ya tiene e incrementará las consecuencias en contra de nuestra seguridad porque, a más conexiones, más apertura y, más dispositivos, significa también más vulnerabilidades.

Ya podemos decir que, prácticamente, no existe ninguna tecnología o sistema operativo que no haya sido vulnerado.

En este sentido, la integración de la Seguridad con la Gestión del Riesgo necesita fluir de forma automática. Así, los gestores de riesgos deben evaluar cuáles son los riesgos críticos, sus respectivos factores de amenaza y control, y las notas asignadas en los análisis deben ser revisadas periódicamente por el correspondiente Auditor dentro de los procesos, áreas o actividades estratégicas, principalmente.

Y, para la optimización del trabajo del Auditor, en la era de la automatización, este debe ser independiente y poder acceder a la información precisa para garantizar que los procesos están operándose en consecuencia.

La auditoría basada en la Gestión del Riesgo agrega valor a la organización, ya que permite la visión prospectiva, siendo más eficaz que una auditoría tradicional, pues se enfoca en el futuro, quedando orientada a cubrir toda la amplitud de los aspectos que interesan a la gestión, comprobando los controles considerados clave y, muy especialmente, aquellos que dan soporte a los riesgos críticos.