Dado que la resiliencia es un requisito cada vez mayor en la normativa, ¿cómo puede cada organización hacer su parte?

Por Kate O'Flaherty

Las empresas de todo el Reino Unido se enfrentan a un problema preocupante: los ciberataques están teniendo un impacto medible en el PIB. Informes del Centro de Monitoreo Cibernético (CMC) y la Oficina Nacional de Estadísticas (ONS) del Reino Unido sugieren que el ataque a Jaguar Land Rover (JLR)... crecimiento del PIB afectadoLa economía se expandió apenas un 0.1% en el trimestre de julio a septiembre, mientras que la producción de automóviles se redujo a un mínimo de 73 años.

Los incidentes cibernéticos importantes cuestan a la economía del Reino Unido £14.7 mil millones al año (aproximadamente el 0.5 % del PIB), y los ataques relacionados con la propiedad intelectual por sí solos podrían costar hasta £8.5 mil millones, según Segun una investigacion del Departamento de Ciencia, Innovación y Tecnología y Alma Economics.

Si se producen grandes incidentes aislados como el Ataque en el JLR Si bien puede afectar considerablemente el PIB, es probable que el efecto acumulativo de miles de ataques menores sea aún mayor. Este panorama preocupante replantea la ciberseguridad como un riesgo económico sistémico, más allá de las empresas y las TI.

As resiliencia y se la estamos enseñando a nuestro hijos e hijas. Si bien cada vez hay más regulaciones que lo exigen, ¿cómo puede cada organización hacer su parte para minimizar el impacto de los ciberataques en la economía del Reino Unido?

El impacto del costo

Las cifras de la ONS son nuevas, pero el impacto en los costos siempre ha estado presente. Cada vez que se paga un rescate por datos o se defrauda a una empresa, el impacto es aproximadamente cinco veces mayor en términos de oportunidades perdidas y costos de recuperación, según explica Harry Mason, director de servicios al cliente del proveedor de servicios de TI gestionados Mason Infotech. IO.

Cita la filtración de datos de JLR como ejemplo. «El ataque detuvo la producción durante varias semanas, lo que generó un enorme retraso que había que resolver una vez que volvieran a funcionar. Esto también se vio agravado por el daño a la reputación causado por la cobertura mediática y la pérdida de confianza de los consumidores».

Si bien para las pymes el coste asociado a los cibereventos puede ser menor, “no es menos perjudicial” y, en última instancia, puede provocar la quiebra del negocio, advierte.

Hoy en día, el ransomware moderno, el compromiso del correo electrónico empresarial, los ataques de configuración incorrecta de la nube y las campañas de robo de datos resultan en "tiempos de recuperación más largos y costos de remediación más altos", dice Dominic Carroll, director de cartera de e2e Assure. IOLos atacantes también destruyen cada vez más las copias de seguridad o las dejan inactivas hasta que transcurren los plazos de retención de registros, lo que impide que las organizaciones reconstruyan fácilmente lo sucedido o se recuperen sin problemas, lo que prolonga aún más la interrupción del negocio.

Los sonados ataques contra el Reino Unido este año han revelado la importancia de estas organizaciones para la economía, afirma Carroll. «Simplemente no podemos permitirnos perder ese nivel de productividad ni depender de rescates gubernamentales», advierte.

Una de las mayores repercusiones en la economía en general está relacionada con la inversión. En un mercado ya de por sí reacio al riesgo, atraer inversores será aún más difícil si existe la amenaza de verse frenado por un ciberataque u otra interrupción del sistema informático, afirma Mason. «Para las empresas individuales, esto significa que deben centrarse al 100 % en garantizar una estrategia de seguridad para atraer clientes e inversores, y retener a los existentes».

Marcos de ciberresiliencia y cumplimiento

En este desafiante entorno económico, los marcos de resiliencia cibernética y cumplimiento como ISO 27001,, Redes y sistemas de información 2 (2 NIS) y Cyber ​​Essentials son más importantes que nunca para todas las empresas.

Marcos como estos proporcionan pautas estructuradas y mejores prácticas para ayudar a las organizaciones a identificar, gestionar y reducir el impacto de los riesgos cibernéticos, afirma Emma Hastings-Bray, directora legal de Blacks Solicitors.

La adopción también puede demostrar el compromiso de una empresa con el cumplimiento normativo y la rendición de cuentas ante sus clientes, socios, juntas directivas y organismos reguladores. «Los marcos pueden ayudar a garantizar que la ciberresiliencia se integre en la junta directiva, además de proporcionar métricas mensurables para evaluar el rendimiento y cumplir con los requisitos de protección de datos del Reino Unido», añade Hastings-Bray.

Estas regulaciones son especialmente clave porque se centran en la cadena de suministro, un factor importante para apuntalar la seguridad nacional, dice Carroll.

Señala que la NIS2 ahora exige que las entidades incluidas en el ámbito de aplicación evalúen los riesgos de las cadenas de suministro críticas. Mientras tanto, en EE. UU. se ha introducido Certificación del modelo de madurez de ciberseguridad (CMMC 3.0), que exigirá seguridad en la cadena de suministro para todos los contratos del Departamento de Defensa a partir de octubre de 2026.

Más cerca de casa, el Proyecto de ley sobre ciberseguridad y resiliencia formaliza la seguridad de la cadena de suministro para las organizaciones incluidas en el alcance, afirma Carroll.

Planificación estructurada de la resiliencia

Como los ciberataques amenazan con reducir aún más el PIB, una planificación estructurada de la resiliencia ayudará a reducir el impacto acumulativo.

Entre los beneficios, la planificación estructurada de la resiliencia garantiza que las organizaciones puedan romper el ciclo de lastre económico causado por los ciberataques, afirma Carroll. «Cuando las empresas validan rutinariamente su cobertura de detección, realizan simulaciones de ataques e integran la contención rápida en sus operaciones, los incidentes dejan de ser interrupciones de una semana y se convierten en interrupciones breves. Ese cambio por sí solo elimina una gran cantidad de pérdida de producción de la economía».

Una planificación estructurada de la resiliencia puede ayudar a mitigar el impacto económico de los ciberataques al evitar que los incidentes se conviertan en interrupciones prolongadas, coincide Kerry Parkin, fundador de The Remarkables. «Cuando las organizaciones planifican tanto la respuesta técnica como la de comunicación, se recuperan más rápido».

Como parte de esto, una estrategia de comunicación clara “ayuda al liderazgo a actuar rápidamente, mantiene a la gente informada y evita la confusión que daña la confianza en las cadenas de suministro”, afirma.

El panorama de la resiliencia nacional

Dado que la ciberseguridad y el cumplimiento están en la agenda nacional, el esfuerzo de cada empresa importa en el panorama más amplio de la resiliencia.

Las empresas a menudo asumen que son demasiado pequeñas para ser importantes, pero “un eslabón débil puede exponer una red entera”, señala Parkin.

Con esto en mente, desarrollar una higiene cibernética básica, tener un plan de comunicaciones ensayado y ser honesto acerca de las vulnerabilidades fortalece a la organización, así como a la economía en general, afirma.

La normativa ya exige que las empresas reconozcan las amenazas que representan los ciberataques y estén preparadas. Por ejemplo, según la ley de protección de datos del Reino Unido, todas las organizaciones están obligadas a implementar medidas adecuadas para proteger los datos personales, afirma Hastings-Bray. «La resiliencia debería ser una prioridad para todas las empresas, desde la evaluación de las cadenas de suministro y la debida diligencia hasta la formación de expertos en seguridad interna y la formación periódica del personal».

Las desventajas económicas asociadas a los ciberataques son sin duda un factor motivador para las empresas. Sin embargo, como colectivo, aún queda mucho trabajo por hacer para garantizar que todos se tomen la seguridad en serio, afirma Mason. «Esto es especialmente importante para quienes ocupan puestos de liderazgo, ya que tienen la capacidad de implementar cambios y garantizar que la aceptación se filtre a todos los niveles de la empresa».