¿Qué es la GRC cibernética?

La GRC cibernética es una estrategia para que las organizaciones alineen la ciberseguridad con los objetivos empresariales, gestionen sus riesgos cibernéticos y se aseguren de que cumplen las normativas legales y del sector. A un nivel más granular, la GRC cibernética consiste en la gobernanza, el riesgo y el cumplimiento, todos los cuales desempeñan un papel en la protección de la empresa:

‍

Gobernanza

La gobernanza es el enfoque empresarial de la supervisión y gestión de la ciberseguridad. Es una estructura para establecer, comunicar y supervisar las expectativas de ciberseguridad -a través de políticas y marcos-, definiendo las funciones y responsabilidades de todos en la empresa, incluidos los miembros del consejo de administración y la alta dirección, en la protección de la empresa.

‍

Riesgo

La gestión de riesgos es el proceso de identificar los ciberriesgos, cuantificar su posible impacto financiero y elaborar la mejor estrategia para mitigar, transferir o aceptar el riesgo.

‍

Conformidad

Posiblemente el aspecto más sencillo de la GRC cibernética sea el cumplimiento. Garantiza que las empresas se adhieren a todos sus requisitos políticos, legales y normativos. Su éxito es binario: las empresas cumplen o no cumplen.

‍

El enfoque heredado de la GRC cibernética

Para la mayoría de las empresas, la GRC cibernética se ha centrado principalmente en el cumplimiento y su valor empresarial real o percibido es limitado. En gran medida, esto se ha traducido en una "comprobación de la conformidad" que ha dejado de lado la gestión eficaz de los riesgos cibernéticos. Las organizaciones han invertido mucho en el desarrollo de puntuaciones de madurez del marco centradas en el cumplimiento, completando auditorías o evaluaciones, y recopilando documentación "de excepción" para cubrir las áreas de la empresa en las que a sabiendas no son capaces de aplicar controles eficaces de gestión de riesgos. Todo ello se almacena con fines defensivos y reactivos en su plataforma GRC, lista para el día en que se enfrenten a una auditoría.

‍

Por qué este enfoque es insuficiente

En primer lugar, como hemos mencionado anteriormente, el éxito del cumplimiento dentro de la GRC cibernética es binario, defensivo y reactivo. Como consecuencia de ello, a menudo es visto por los líderes empresariales como un ejercicio de marcar casillas para completar lo más rápido y barato posible. Más allá del papeleo del cumplimiento, no hay expectativas de excelencia en la gestión del riesgo cibernético, y el único "éxito" es completar la documentación de cumplimiento.

Si bien este enfoque puede haber permitido a las organizaciones evitar el escrutinio en el pasado, la creciente presión de organizaciones como la SEC significa que esto ya no es cierto. En la lista de quejas tras las acusaciones de Solar Winds, la SEC destacó varios problemas de gobernanza y gestión de riesgos, junto con problemas de cumplimiento. Este incidente ha puesto de relieve los enfoques de la GRC cibernética: marcar casillas ya no protege a los CISO ni a sus empresas. El camino a seguir es aportar valor empresarial real a su programa de GRC cibernética.

Lo que esperan las empresas modernas es transformar sus esfuerzos de GRC cibernética heredados en valor empresarial tangible. Una serie de documentación y evaluaciones cualitativas no proporcionan la información que los CISO necesitan para gestionar y comunicar eficazmente una reducción satisfactoria de la exposición empresarial al riesgo cibernético. Como tales, los profesionales de la ciberseguridad son incapaces de comunicar eficazmente a los líderes empresariales el valor comercial de sus esfuerzos de GRC. El cambio de centrarse casi exclusivamente en el cumplimiento y esforzarse por alcanzar la excelencia en ciberseguridad por encima del mínimo empieza por los CISO. Si se centran más en la gobernanza y la gestión de riesgos de forma que ofrezcan resultados empresariales, podrán empezar a demostrar el valor de la ciberseguridad al equipo directivo y al consejo de administración en general.

‍

El futuro de la GRC cibernética

La clave para liberar el valor empresarial de la GRC cibernética está en poner en primer plano la gobernanza y la gestión de riesgos. Estas son las dos áreas en las que las empresas se separan de la mediocracia del riesgo cibernético.

‍

Gobernanza eficaz

La gobernanza eficaz de la ciberseguridad comienza con la alineación de toda la empresa. Para lograrlo, los profesionales de la ciberseguridad deben ser capaces de comunicarse eficazmente con la alta dirección y el consejo de administración en su idioma: el idioma de los negocios.

Entre las estrategias clave para lograrlo figuran las siguientes:

• Asignar un importe en dólares al riesgo y presentar los ciberriesgos junto con su exposición financiera potencial.
• Aprovechar un enfoque de información al consejo que proporcione un contexto adicional al riesgo cibernético más allá de lo que pueden ofrecer las puntuaciones de madurez y cumplimiento.
• Demostrar el valor empresarial de la ciberseguridad con informes de retorno de la inversión para que los líderes empresariales comprendan el impacto tangible de la gestión de los riesgos cibernéticos.

Sólo mediante la implementación de prácticas de gobernanza optimizadas pueden las empresas lograr una gestión de riesgos exitosa y un programa GRC cibernético optimizado.

‍

Gestión de riesgos elevada

Los procesos de gobernanza eficaces proporcionan una base excelente para una gestión elevada de los riesgos cibernéticos. Una vez que se establecen canales de comunicación eficaces entre los CISO y el equipo de alta dirección en general, las empresas pueden alinear sus estrategias de gestión de riesgos con los objetivos empresariales. Esta es, en última instancia, la forma de desbloquear el valor empresarial a través de la gestión del riesgo cibernético.

Entre las estrategias clave para lograrlo figuran las siguientes:

• Optimizar las estrategias de priorización de riesgos cibernéticos. Asegúrese de que los CISO se centran en mitigar o reducir los riesgos que representan la mayor amenaza para la empresa y que más se ajustan a los objetivos de la organización en general.
• Adoptar un ciclo de vida de gestión de riesgos basado en datos. El 55% de los ejecutivos no confía en que su gasto en ciberseguridad esté alineado con precisión con su riesgo cibernético más significativo. Las empresas gastan más que nunca en ciberseguridad, pero siguen enfrentándose a los mismos retos. Necesitan adoptar un enfoque basado en datos para asegurarse de que están invirtiendo en las áreas que realmente mueven la aguja.

‍

La perspectiva de X-Analytics

‍

El resurgimiento de la GRC cibernética presenta una oportunidad para que los CISO reflexionen sobre cómo han enfocado anteriormente sus programas de GRC y adopten un nuevo enfoque moderno.

Al incorporar X-Analytics a sus programas de GRC, pueden acelerar la capacidad de la empresa para alinear sus programas de GRC heredados con los resultados empresariales clave y conectar las actividades de mitigación para demostrar la reducción del riesgo empresarial. Y lo que es más importante, pueden evaluar comparativamente y comunicar cómo la gestión de riesgos cibernéticos está proporcionando éxito a la empresa.

X-Analytics desbloquea la capacidad de transformar los enfoques GRC heredados y desbloquear el éxito futuro de la gestión de riesgos cibernéticos que ofrece un valor real a la empresa.

‍