Responsabilidad de la junta directiva ante el riesgo de ciberseguridad. Recomendaciones.
En 2022, se alcanzó un número récord de ciberataques. Hubo un aumento particularmente notable de los ataques basados en la obtención de las credenciales de los miembros de la plantilla, la instalación de malware, la suplantación de identidad, la falsificación o la denegación de servicio.
2022: Un año récord en ciberataques
El 2022 registró un número histórico de incidentes de ciberseguridad, con un incremento significativo en ataques basados en el robo de credenciales, la instalación de malware, el phishing, el smishing y las denegaciones de servicio. Los ciberdelincuentes han centrado su atención en los empleados, aprovechando este vector para impactar a la cadena de suministro y obtener un alto retorno con bajo riesgo.
Entre las víctimas figuran empresas de primer nivel como Apple, Cisco, Meta, Samsung, Twitter o Uber, pero también pymes y particulares siguen siendo objetivos frecuentes. La sofisticación de las técnicas y la magnitud de los daños han llevado incluso a gobiernos, como el de Costa Rica, a declarar el estado de emergencia tras un ataque de ransomware.
Las consecuencias para las organizaciones no se limitan a la pérdida de datos: también enfrentan costosos litigios, como el caso de T-Mobile, que en 2022 resolvió una demanda colectiva por 350 millones de dólares tras una brecha de seguridad.
La presión regulatoria y el papel de las juntas directivas
El aumento de ciberataques ha motivado que los reguladores impongan multas y sanciones a las empresas que no demuestran la debida diligencia. Las juntas directivas y altos ejecutivos están cada vez más expuestos a responsabilidad personal por incumplimientos en la supervisión de la ciberseguridad, especialmente cuando hay indicios de mala fe o ausencia de sistemas de control.
Casos como el de Marriott International, que expuso datos de 500 millones de huéspedes, evidencian que las demandas no solo se dirigen contra la empresa, sino también contra su equipo directivo, por no atender advertencias o no remediar fallos de seguridad conocidos.
Normativas como NIS2: nuevas obligaciones y responsabilidades
La directiva NIS2 de la Unión Europea introduce por primera vez una obligación específica para los órganos de gestión —incluidos miembros de C-Suite— de implementar medidas de seguridad reforzadas y responder ante el incumplimiento.
Estas exigencias incluyen:
- Aplicar principios de ciberhigiene básica (confianza cero, actualizaciones de software, segmentación de red, gestión de identidad y acceso).
- Formación y concienciación continuas frente a ciberamenazas.
- Informes periódicos a la junta o comités responsables de seguridad.
- Planes claros para proteger frente a intrusiones, riesgos internos y de cadena de suministro.
Recomendaciones clave para empresas y directivos
Para minimizar riesgos legales, regulatorios y reputacionales, las organizaciones deben:
- Tratar la ciberseguridad como un riesgo crítico a nivel de consejo.
- Establecer sistemas de control y reporte claros.
- Realizar diligencia debida antes de adquisiciones.
- Mantener programas de formación y concienciación continuos.
- Contar con cobertura adecuada de ciberseguro.
En un escenario de amenazas cada vez más complejas, la vigilancia, la preparación y la diligencia directiva son la mejor defensa.
¿Quieres proteger a tus empleados? Contáctanos para saber más
Suscríbete al boletín de Kymatio® y recibe consejos e insights sobre ciberseguridad directamente en tu correo.
