El caso SolarWinds demuestra por qué la ciberseguridad debe ser prioridad a nivel de consejo

El hackeo de SolarWinds en diciembre de 2020 puso de relieve lo vulnerables que pueden ser las cadenas de suministro de software y sistemas cuando una organización carece de una política robusta de ciberseguridad.

Un ataque persistente y sofisticado

Según el comunicado oficial de CISA, un actor de amenaza persistente avanzada (APT) comenzó a atacar agencias gubernamentales estadounidenses, infraestructuras críticas y entidades del sector privado en marzo de 2020, demostrando paciencia, seguridad operativa y técnicas sofisticadas. CISA advierte que eliminar a este actor de los entornos comprometidos será altamente complejo y desafiante. Los vectores de infección detallados y los pasos de mitigación se describen en el comunicado de CISA.

Estos detalles coinciden con los análisis de embedded.com y EE Times, reforzando el papel crítico de la seguridad en IoT y la experiencia de los profesionales de seguridad de la industria de semiconductores.

El factor humano, a menudo ignorado

Resulta asombroso que se produzcan brechas incluso cuando los gobiernos obsesionan con la seguridad, pero permanecen vulnerables a través de sistemas de terceros que omiten salvaguardas adecuadas. Recuerdo, como ex contratista del gobierno británico, la rigurosa formación y concienciación en seguridad requerida: nunca dejar un portátil en un coche cerrado, mantenerlo siempre consigo o a la vista. Estas prácticas ilustran el elemento humano que a menudo se pasa por alto.

Una brecha fundamental de política

En última instancia, el incidente SolarWinds subraya una brecha fundamental de política: ¿debe la ciberseguridad ser responsabilidad exclusiva de los diseñadores de hardware y software, o debe integrarse en los más altos niveles de gobierno corporativo?

Siete lecciones para la alta dirección

Woodside Capital Partners, asesor líder en finanzas corporativas, publicó un informe titulado Siete lecciones para CEOs, directores, miembros de consejos y firmas de capital privado, redactado por el Director Gerente Nishant Jadhav. El informe argumenta que el ataque a la cadena de suministro de SolarWinds demuestra la necesidad urgente de un entendimiento más profundo de la ciberseguridad a nivel ejecutivo y de consejo. En una era donde las amenazas persistentes avanzadas pueden acechar invisiblemente, proteger la reputación y el valor de la empresa nunca ha sido tan crítico.

El informe enfatiza que los miembros del consejo deben poder confirmar, en lenguaje llano, que su organización cuenta con una sólida garantía cibernética. A continuación, las siete lecciones:

Lección uno: Adoptar una mentalidad «seguridad primero», no «cumplimiento primero» — desde arriba

Un enfoque de «seguridad primero» significa que el equipo ejecutivo y el consejo comprenden los riesgos específicos que enfrenta su empresa y los riesgos que crean para clientes y socios. Una postura de «cumplimiento primero» simplemente satisface listas de verificación regulatorias y ofrece una red de seguridad fija y a corto plazo. Las ciberamenazas evolucionan rápidamente, por lo que las aprobaciones trimestrales del consejo sobre la postura de amenazas de la empresa son esenciales.

Lección dos: Los CISO deben formar parte del equipo de liderazgo ejecutivo

Los CISO eficaces piensan más allá de TI y consideran cada vector de amenaza potencial —incluyendo fugas de datos inadvertidas desde roles frente al cliente y riesgos derivados del despliegue de nuevas tecnologías. Al hacer que los CISO rindan cuentas a nivel ejecutivo, las organizaciones aseguran que las recomendaciones de seguridad se implementen y la exposición al riesgo se mida continuamente.

Lección tres: Medir a los CISO con KPIs de protección y remediación continua

En lugar de despedir a un CISO tras una brecha, enfóquese en su capacidad para asignar un presupuesto de seguridad adecuado, elevar la concienciación sobre ciberseguridad en toda la organización y modelar respuestas a amenazas externas como SolarWinds. Los KPIs deben reflejar tanto la disponibilidad operativa como la capacidad del negocio para mitigar y recuperarse de ataques.

Lección cuatro: Un socio de confianza no garantiza seguridad

El caso SolarWinds demuestra que ningún socio puede considerarse inmune al riesgo. Implementar entornos aislados (air-gapped) para el desarrollo de nuevos productos puede reducir el riesgo de infiltración desde proveedores de confianza.

Lección cinco: Comprometer la seguridad no es una palanca de beneficio

Woodside Capital propone una «calificación cibernética» como métrica de valoración que refleje inversiones en tecnología, formación, políticas de protección continua y remediación rápida. Las calificaciones cibernéticas más altas correlacionan con valoraciones empresariales más altas. Las firmas de capital privado deberían priorizar las calificaciones cibernéticas sobre la rentabilidad a corto plazo.

Lección seis: Reevaluar el seguro cibernético a nivel de consejo

Muchas pólizas cubren pérdidas financieras por brechas de datos, pero pueden excluir ataques a la cadena de suministro o amenazas estatales. Los CISO deben involucrar a los consejos para asegurar seguros que cubran estos escenarios y abarquen las consecuencias extendidas de un ataque.

Lección siete: Protección continua de la reputación

Las brechas pueden ocurrir en cualquier momento, afectando el rendimiento del negocio. Las empresas deben demostrar que la ciberseguridad es un diferenciador central —mediante inversión continua, educación y remediación transparente. Al establecer garantía cibernética y comunicarla a clientes y socios, las firmas pueden salvaguardar su reputación a largo plazo.

El informe de Woodside Capital también enumera empresas en fase de crecimiento que ofrecen soluciones integrales de garantía cibernética, desde gestión de riesgos hasta seguros cibernéticos. El informe completo está disponible aquí.