La federación recomienda la creación de un modelo de gobernanza del riesgo cibernético

Expertos europeos en gestión de riesgos instan a las organizaciones a crear grupos de tratamiento interno de los ciberriesgos para abordar los riesgos digitales en las empresas a medida que evolucionan las amenazas.

La recomendación para un modelo de gobernanza del riesgo cibernético aparece en el informe publicado recientemente por la Federación Europea de Asociaciones de Gerencia de Riesgos (Ferma) y la Confederación Europea de Institutos de Auditoría Interna (Eciia).

Ferma y Eciia presentaron su informe en un destacado acto en la sede del Parlamento Europeo, en Bruselas, con representantes de las instituciones de la UE, el Foro Económico Mundial y profesionales de riesgos y auditoría de empresas, entre otras personalidades.

El informe Hacia la unión del gobierno corporativo y la ciberseguridad tiene como objetivo primordial apoyar a las organizaciones europeas en el cumplimiento de sus obligaciones bajo el Reglamento General de Protección de Datos de la UE (GDPR) y la Directiva de Seguridad de la Información en las Redes (Nis).

Los recientes ataques cibernéticos, sin embargo, aumentaron la preocupación de los expertos, en lo que ven como una mayor falta de enfoque de la gerencia del riesgo respecto a la ciberseguridad.

El presidente de Ferma, Jo Willaert, afirma que “como demuestran los recientes ataques, el riesgo cibernético es una cuestión empresarial que afecta a los aspectos estratégicos de los directivos incluyendo la valoración, la reputación y la confianza. La gestión del ciberriesgo se ha convertido, por lo tanto, en una cuestión corporativa que debe reflejarse en el gobierno de la empresa”.

El dirigente añade que “nuestras dos profesiones están uniendo sus fuerzas en la gestión del riesgo cibernético mediante el intercambio de información sobre el sistema ERM y los controles cibernéticos propios, asegurando que los planes de mitigación sean auditables desde su concepción. Esto es crucial para evaluar su impacto y revisar correctamente la estrategia”.

El informe pide la creación de grupos que gobiernen los ciberriesgos, presididos por un gerente de riesgos, para operar en todas las funciones dentro de la empresa. El papel de los grupos es determinar el coste potencial de los riesgos cibernéticos en toda la organización, incluyendo escenarios de riesgo catastrófico y proponiendo medidas de mitigación al comité de riesgos y a los órganos de alta dirección.

Además de los gerentes de riesgos, el grupo se compondrá de representantes de todas las funciones clave a nivel empresarial involucrados en el riesgo digital. En particular las tecnologías de la información (IT), recursos humanos, comunicaciones, finanzas y responsables de protección de datos (DPO) y de la seguridad de la información (Ciso). La auditoría interna proporcionará la seguridad necesaria a la junta directiva de que los controles de riesgo cibernético están operando de manera efectiva.

Jo Willaert añade que “esta propuesta constituye una innovadora manera para que las organizaciones aborden la ciberseguridad. Permitirá demostrar a la Junta Directiva que los ciberriesgos se gestionan mediante un análisis racional y documentado de los riesgos a lo largo de toda la organización “.

El informe completo está disponible en la página web de Ferma en http://www.ferma.eu/blog/2017/05/joint-conference-eciiaferma- cyber-risk- governance-29 -june- bruselas