Lorreta Songola, vicepresidenta y directora ejecutiva de Liquid Intelligent Technologies Zimbabue
La gobernanza siempre ha consistido en la gestión responsable. Pero, ¿cómo es esa gestión cuando los activos más críticos de una organización son invisibles, intangibles y están cada vez más amenazados?
Las juntas directivas de todo Zimbabue deben considerar esto detenidamente, especialmente ahora que el trabajo remoto, los pagos digitales, las operaciones basadas en la nube y la prestación de servicios en línea se han convertido en parte de los negocios cotidianos. La misma infraestructura digital que impulsa nuestros negocios es también lo que malintencionado actores analizar y explotar todos los días.
La resiliencia cibernética es más sólida cuando las organizaciones combinan una sólida gobernanza interna con asociaciones de confianza y conocimiento compartido de amenazas. A medida que las amenazas cibernéticas se vuelven más sofisticadas y disruptivas, la resiliencia cibernética debe recibir el mismo nivel de supervisión que el riesgo financiero, operativo y reputacional. Una forma que tienen las juntas directivas de poner a prueba su preparación es cuestionar regularmente sus suposiciones con las siguientes preguntas.
¿Tenemos suficiente fluidez digital en la sala?
En muchas salas de juntas, el momento ciberseguridad se plantea, el instinto es ceder el paso al equipo de TI. Es comprensible: los temas técnicos a menudo se presentan en un lenguaje que excluye en lugar de informar. Pero el cociente digital no trata sobre la especialización técnica. Se trata de hacer las preguntas correctas, leer las señales de advertencia y exigir responsabilidades a la organización.
Los miembros de la junta directiva no necesitan saber cómo se configura un cortafuegos. Lo que importa es comprender si existen los controles adecuados, quién es responsable de ellos y cuáles serían las consecuencias si fallaran. La ciberresiliencia, al igual que la resiliencia financiera o reputacional, es en última instancia una responsabilidad de gobernanza.
¿Estamos tratando el cumplimiento como un techo en lugar de un suelo?
Es natural que las juntas directivas aborden la ciberseguridad desde una perspectiva de cumplimiento: ¿hemos cumplido con los requisitos reglamentarios y nuestras obligaciones? El marco jurídico de Zimbabue es claro y exigible. La Ley de Ciberseguridad y Protección de Datos está en vigor, los requisitos de notificación de brechas de POTRAZ son obligatorios y toda organización debe designar un Delegado de Protección de Datos. La Estrategia Nacional de Ciberseguridad del Gobierno también fomenta la colaboración con CERT-Zim.
Cumplir con los requisitos reglamentarios puede proteger a una organización de sanciones, pero no la protege de un ataque. De Interpol Evaluación de ciberamenazas en África identifica a África Austral como un objetivo principal para el phishing impulsado por IA, el compromiso de correo electrónico empresarial y la extorsión digital. Una gobernanza eficaz requiere más que cumplir con los requisitos mínimos. Las organizaciones deben tener un apetito por el riesgo cibernético claramente definido, proporcionar informes periódicos sobre la preparación y las tendencias en ciberseguridad, y mantener procedimientos de escala que puedan activarse inmediatamente cuando ocurra un incidente.
Las organizaciones que buscan ir más allá del cumplimiento recurren cada vez más a servicios integrados de ciberresiliencia que proporcionan monitoreo continuo, inteligencia de amenazas, soporte de respuesta a incidentes y reportes de gobernanza a través de un único marco de trabajo. Secure360 de Liquid Intelligent Technologies ofrece a las organizaciones una mayor visibilidad en sus entornos digitales al tiempo que fortalece su capacidad para detectar, responder y recuperarse de las ciberamenazas, garantizando que la gestión del riesgo cibernético sea proactiva en lugar de reactiva.
¿Hemos ensayado realmente lo que sucede cuando ocurre un incidente?
Ninguna organización puede garantizar que nunca se enfrentará a un ciberincidente. Lo que importa es la eficacia con la que responda. Con demasiada frecuencia, las brechas salen a la luz a través de periodistas, clientes o redes sociales antes de llegar a la dirección de la organización. Para entonces, el incidente técnico ya se ha convertido en una crisis reputacional. En Zimbabue, lo que está en juego es especialmente importante. Las infraestructuras digitales críticas, como Zimswitch, las plataformas de dinero móvil, el RTGS y los sistemas de pago en ZWG, sustentan la actividad económica diaria, lo que significa que un ciberataque importante podría tener consecuencias que vayan mucho más allá de una sola organización.
La diferencia entre un incidente manejable y una crisis a gran escala suele determinarse en las primeras horas. Las organizaciones deben ensayar regularmente escenarios de ciberincidentes, mantener rutas de escalamiento claras y asegurarse de que todos los involucrados entiendan su papel durante las primeras 24 horas críticas.
¿Sabemos realmente dónde se encuentra nuestra exposición a terceros?
Una de las fuentes de ciberriesgo más pasadas por alto se encuentra fuera de las propias paredes de una organización. Los proveedores, contratistas y prestadores de servicios suelen tener acceso a sistemas, datos o redes. Sin embargo, estas relaciones se evalúan frecuentemente basándose principalmente en consideraciones comerciales u operativas, y el ciberriesgo se trata como una preocupación secundaria.
Si un tercero está conectado a los sistemas de una organización, su postura de seguridad pasa a formar parte del perfil de riesgo de la organización. Por lo tanto, las juntas directivas deben asegurarse de que las relaciones de alto riesgo se identifiquen, se evalúen periódicamente y se gobiernen mediante controles de acceso adecuados y una supervisión continua.
¿Estamos construyendo una cultura en la que la gente llega temprano?
La tecnología solo llega hasta cierto punto. Un solo error humano puede socavar incluso los controles de seguridad más sólidos: un correo electrónico de phishing en el que se hace clic, una contraseña reutilizada, un ordenador portátil dejado sin vigilancia. Al mismo tiempo, los ataques de ingeniería social se han vuelto muy sofisticados, con delincuentes que se hacen pasar por ejecutivos, líderes financieros, auditores y socios de confianza. Fomentar una cultura de responsabilidad digital significa garantizar que los empleados sepan qué reportar, cómo reportarlo y que se sientan seguros al hacerlo sin miedo a ser culpados.
Si bien la cultura se construye día a día por el liderazgo y los empleados, las juntas directivas tienen la responsabilidad de garantizar que la rendición de cuentas, la concienciación y las prácticas de ciberseguridad estén integradas en toda la organización.
¿Estamos invirtiendo en las alianzas que apoyan la resiliencia?
Ninguna organización puede abordar la ciberseguridad de forma aislada. Zimbabue opera dentro de un panorama de amenazas regional donde los ataques, las vulnerabilidades y las redes criminales no respetan los límites organizacionales ni nacionales.
El fortalecimiento de la resiliencia depende de la colaboración con proveedores de tecnología de confianza, organismos de la industria, reguladores y redes de inteligencia sobre amenazas. Las organizaciones que participan en el ecosistema de ciberseguridad en general suelen estar mejor posicionadas para identificar amenazas emergentes y responder de manera más eficaz cuando ocurren incidentes.
Las juntas directivas deben garantizar que las relaciones externas de ciberseguridad se gestionen activamente, se comparen con estándares reconocidos y se utilicen para respaldar el intercambio de información y la mejora continua.
La resiliencia en ciberseguridad es un desafío de gobernanza que requiere una supervisión activa, una toma de decisiones informada y una visión del riesgo a largo plazo. A medida que la economía digital de Zimbabue continúa expandiéndose, la ciberresiliencia se convertirá cada vez más en una medida de la resiliencia organizacional. Las organizaciones que prosperen serán aquellas cuyos consejos de administración hagan las preguntas correctas mucho antes de que una crisis les obligue a encontrar las respuestas.
