La paciencia tiene su recompensa. Al momento de redactar este texto, el Proyecto de Ley de Ciberseguridad y Resiliencia (CSRB, por sus siglas en inglés) estaba pendiente de su paso por el comité de la Cámara de los Lores, a principios de septiembre. Se espera que, tras numerosos retrasos, se convierta en ley este año. Promete ampliar el grupo de organizaciones incluidas en su ámbito de aplicación, reforzar los requisitos de respuesta ante incidentes e introducir nuevas expectativas básicas de seguridad, entre otras cosas.
Pero quizás lo más interesante sea lo que viene después. ¿Qué nos revela el proyecto de ley sobre la dirección que están tomando las expectativas regulatorias? ¿Y qué pueden hacer las organizaciones (incluidas aquellas que actualmente no están incluidas en su ámbito de aplicación) para anticiparse a lo que pueda surgir en el futuro?
el gran cambio
La principal señal de lo que está por venir en este proyecto de ley reside en su título. Se trata de reposicionar la ciberseguridad, pasando de ser una función aislada dentro del departamento de TI a una que se sitúe en el centro de la organización. Al mismo tiempo, prioriza la resiliencia como objetivo de los equipos de seguridad, en lugar de simplemente impedir el acceso de los ciberdelincuentes y cumplir con una lista arbitraria de controles técnicos.
En este contexto, la resiliencia implica aceptar que las brechas de seguridad ocurrirán. ¿Cómo no iban a ocurrir en un mundo donde la IA avanzada reduce drásticamente las vulnerabilidades y ayuda a los ciberdelincuentes a perfeccionar sus habilidades en múltiples disciplinas? La clave reside en garantizar que la organización pueda seguir operando mientras contiene la amenaza y se recupera lo más rápido posible.
Esto convierte la ciberseguridad en un tema de conversación más relevante en los consejos de administración, ya que aborda las preocupaciones que inquietan a los líderes empresariales: el riesgo operativo, la continuidad del negocio y los daños financieros y a la reputación.
“Los nuevos requisitos del proyecto de ley implicarán que los consejos de administración deban considerar la ciberseguridad y la resiliencia como una cuestión estratégica fundamental, y no solo como un desafío informático aislado”, explica James Morris, director de la organización sin ánimo de lucro CSBR, a IO (anteriormente ISMS.online).
Esto significa que las expectativas de los clientes aumentarán en lo que respecta a la seguridad y la resiliencia en el proceso de adquisición y en la entrega continua de productos y servicios. La ciberseguridad y la resiliencia deben ser prioritarias en las consideraciones de gobernanza y tener la máxima prioridad en las discusiones estratégicas del consejo de administración.
Este mensaje es coherente en todo el gobierno. Su Código de Buenas Prácticas de Gobernanza Cibernética afirma que el riesgo cibernético es un riesgo empresarial y que los directivos deben gestionarlo eficazmente. Los responsables de seguridad gestionarán los riesgos y controles cotidianos, pero el consejo de administración debe asumir la responsabilidad de la supervisión y la garantía de riesgos. El Compromiso de Resiliencia Cibernética también se dirige directamente a los líderes empresariales. Las organizaciones que se adhieren deben completar la formación en gobernanza, comprometerse a utilizar el servicio de Alerta Temprana del NCSC y exigir la implementación de Cyber Essentials en todas sus cadenas de suministro, además de publicar actualizaciones anuales.
En resumen, las expectativas que se tienen del gobierno son cada vez más claras, y la resiliencia ocupa un lugar central.
¿Qué podría venir después?
Teniendo esto en cuenta, también es útil comprender cómo podría evolucionar el régimen de la CSRB. Lo cierto es que su alcance sigue siendo mucho más limitado que el de la NIS2. Pero, fundamentalmente, otorga al secretario de Estado la facultad de actualizar el marco para incorporar nuevos sectores y subsectores al régimen, así como de modificar las responsabilidades y funciones de sus reguladores. La implicación es clara: si su sector no está cubierto hoy, no dé por sentado que seguirá exento mañana.
«Durante la tramitación, hubo cierta presión para ir más allá, y se señaló a los sectores minorista y manufacturero como omisiones evidentes», explica Dennis Martin, especialista en crisis y ciberresiliencia de Axians UK, a IO. «Esta vez no lo consiguieron, pero dados los ataques a minoristas de los últimos años, preveo que este debate volverá a surgir en septiembre».
Las estipulaciones de la CSRB sobre la cadena de suministro también incluirán indirectamente a un nuevo grupo de organizaciones, al obligar a las grandes empresas con las que mantienen relaciones comerciales a gestionar el riesgo de terceros con mayor rigor. Asimismo, faculta al secretario de Estado para designar a cualquier proveedor cuyo fallo pudiera causar una interrupción significativa en una entidad regulada.
«Los reguladores se centran cada vez más en cómo se prestan los servicios críticos a través de cadenas de suministro interconectadas, lo que significa que la resiliencia ya no puede evaluarse únicamente dentro de los límites de una organización», explica Dave Hughes, socio de Eversheds Sutherland, a IO. «Una supervisión eficaz de los proveedores clave y de terceros, respaldada por un seguimiento continuo y expectativas contractuales claras, se está convirtiendo en un componente esencial para demostrar la ciberresiliencia».
También conviene tener en cuenta que la CSRB traerá consigo un nuevo conjunto de expectativas sobre lo que significa la ciberseguridad y la resiliencia como buenas prácticas desde una perspectiva de control técnico. El Marco de Evaluación Cibernética (CAF) del NCSC será un documento clave en este sentido, por lo que cualquier organización interesada en preparar su estrategia de ciberseguridad y cumplimiento normativo para el futuro debería tenerlo en cuenta.
Y un último cambio importante: la CSRB facultará a los reguladores para ejercer una supervisión regulatoria continua sobre las organizaciones sujetas a su jurisdicción, a diferencia del modelo actual basado en incidentes. Esto es teórico por el momento y dependerá de muchos factores, sobre todo de la financiación y la capacidad de los reguladores. Sin embargo, indica que el gobierno espera cada vez más que el cumplimiento normativo sea algo que deba gestionarse de forma continua.
Conectado y continuo
Los expertos coinciden. «El cumplimiento anual estático resulta obsoleto cuando los ciberdelincuentes no esperan a una auditoría. Si la CSRB se convierte en ley tal como está planteada actualmente, los proveedores de servicios en la nube, los centros de datos y los MSP podrán ser auditados antes de que se produzca un incidente, y no solo en los plazos previstos o después de un ataque», explica Martin, de Axians UK.
Además, el proyecto de ley exige una alerta temprana de 24 horas, seguida de un informe completo en 72 horas tanto para el regulador del sector como para el NCSC, y en algunos casos se requiere la notificación al cliente. Esto exige una monitorización continua. Sin una visibilidad constante de su red, no podrá notificar a las organizaciones pertinentes a tiempo.
Aben Pagar, director de consultoría de riesgos digitales en Konexo, coincide. «El monitoreo y la garantía continuos son cada vez más importantes a medida que los reguladores van más allá de las evaluaciones de cumplimiento puntuales», explica a IO. «Las organizaciones necesitan visibilidad constante de los riesgos, la eficacia de los controles y los resultados de resiliencia. Aquellas que puedan demostrar una supervisión, pruebas y mejora continuas probablemente estarán mejor posicionadas que las que se basan únicamente en ejercicios de cumplimiento periódicos».
Pagar añade que las organizaciones no solo deben alejar sus programas de cumplimiento de las instantáneas puntuales de la situación, sino que también deben reflexionar con mayor claridad sobre las superposiciones que existen entre funciones históricamente aisladas.
“Las organizaciones están reconociendo que la ciberresiliencia no existe de forma aislada. Cuestiones como la gobernanza de la IA, la privacidad, la protección de datos y el riesgo tecnológico están cada vez más interconectadas, lo que exige un enfoque más holístico de la gobernanza y la gestión de riesgos”, argumenta.
Según la encuesta gubernamental más reciente sobre brechas de ciberseguridad , un enfoque maduro como este, que utiliza el cumplimiento continuo como punto de partida para la resiliencia, aún está lejos de ser una realidad para muchas organizaciones. Sin embargo, no cabe duda de que esta es la dirección que están tomando los reguladores.
Morris, de la CSRB, describe la resiliencia como "una cuestión tanto técnica como cultural" para las empresas.
“A pesar de las exigencias de la nueva legislación, las organizaciones deben centrarse en integrar una mentalidad y una cultura de resiliencia en el núcleo de sus procesos empresariales”, concluye.
“Esto implica una planificación estratégica de la resiliencia a nivel del consejo de administración y, posteriormente, una implementación coherente en las operaciones de la empresa, con planes claros y responsabilidades definidas para las operaciones clave de resiliencia.”
Mejor empezar a planificar ahora.
Amplíe su conocimiento
Blog: Cómo el ransomware se convirtió en un problema de resiliencia empresarial
Seminario web: Cumplimiento de la cadena de suministro maestra
