Ciberseguridad: el papel de liderazgo único de la tesorería corporativa en la resiliencia cibernética
Los tesoreros corporativos desempeñan un papel de liderazgo importante y único en el desarrollo de la resiliencia cibernética, ya que son el centro de referencia en materia de gestión de riesgos y solidez del balance, además de ser los custodios de los datos confidenciales relacionados con los pagos.
Teniendo en cuenta las tendencias de preparación y respuesta ante incidentes de los últimos años, ¿qué puede hacer el tesorero de forma diferente?
Gestión ascendente
Lo primero que puede hacer un tesorero es presionar para garantizar que la ciberseguridad forme parte de la agenda del Comité de Auditoría y Riesgos tanto como la liquidez, el crédito o el riesgo de mercado. Dado que es imposible prevenir totalmente un incidente de seguridad, la ciberseguridad no puede ser una medida puntual, sino que es mejor mantenerla como un tema permanente.
Incorporar esta gobernanza estratégica continua no solo marcará la pauta de que la ciberresiliencia es importante, sino que también garantizará un entendimiento común de a qué se refiere: la ciberseguridad es la forma en que reducimos el riesgo de un ciberataque y nos aseguramos de que nuestra organización esté protegida.
En segundo lugar, hay que comprender dónde y cómo se ha gestionado el riesgo cibernético hasta la fecha. Una advertencia: esto bien podría revelar un mosaico. Por ejemplo, podría haber una mezcla de unidades de negocio individuales que lo gestionen para cada una de sus operaciones, la oficina del consejero general como parte de la adopción del RGPD y el director de seguridad de la información (CISO) de la organización desde una perspectiva de sistemas.
Solo comprendiendo este panorama de responsabilidades y rendición de cuentas podrá el tesorero integrar la resiliencia.
Gestión desde dentro
El departamento de tesorería y la división financiera en general deben tener los conocimientos suficientes para participar de forma constructiva en la resiliencia cibernética y la respuesta ante incidentes.
Esto se puede lograr mediante una sesión de trabajo en equipo con pizarra. Abrir el debate para facilitar una autoevaluación de los procesos que son responsabilidad del equipo de tesorería, así como de aquellos adyacentes a él, revelará de forma rápida, fácil y económica el estado actual de comprensión y preparación.
Los pilares de la ciberseguridad —Defender, Anticipar y Actuar— pueden aplicarse como marco para facilitar esto:
Defender
Es importante gestionar de forma proactiva la pila tecnológica de tesorería, además de los procesos establecidos por TI y la oficina del CISO, como el filtrado de correo electrónico. Por ejemplo, ¿están todos los sistemas o plataformas que son propiedad de tesorería parcheados, actualizados y cuentan con un enfoque sistemático para la incorporación y salida de empleados? Si es así, ¿cuándo fue la última vez que lo probamos o verificamos que se aplica el principio del privilegio mínimo?
Anticipar
La clave para estar preparado ante un ciberincidente es dominar los fundamentos y alinearse con los procesos de riesgo operativo de tesorería existentes. Medidas como garantizar que su plan de respuesta cuente con una copia de seguridad en una ubicación lógicamente o geográficamente separada (una copia de seguridad en la misma ubicación será casi con toda seguridad el objetivo de un ataque), incluyendo los requisitos específicos de tesorería, es la mejor forma de mejorar la resiliencia.
Como mínimo, esto debería incluir datos de contacto internos (por ejemplo, del CISO y de los socios de servicios compartidos) y externos (bancos de gestión de tesorería y prestamistas), así como los criterios para clasificar los pagos y conciliar las transacciones más importantes en un escenario de contingencia.
Involucrar
Las personas son y siempre serán la mejor forma de ciberdefensa. Aunque es probable que existan programas de formación en toda la organización sobre cómo identificar correos electrónicos sospechosos de phishing, por ejemplo, estos no reflejarán el matiz de que la cultura de cada equipo será diferente.
Es importante comprobar si el departamento de tesorería tiene un entorno que atribuye culpas o extrae lecciones. Por ejemplo, si alguien descubriera una forma de eludir una función de «creador/verificador», ¿se sentiría cómodo señalándoselo a su superior?
Gestión transversal
Para defender, anticipar y actuar de forma adecuada a nivel de toda la empresa, todas las partes de la organización deben actuar al unísono. Los pasos anteriores ayudarán a los tesoreros a comprender dónde se encontrarán las colaboraciones clave.
Esto puede implicar conversaciones con el departamento de compras si los contratos no incluyen una evaluación de la resiliencia de los proveedores, prácticas históricas de RR. HH. relacionadas con procesos de nómina revisados o un diálogo de aprendizaje interfuncional tras un conato de incidente.
Este liderazgo es una herramienta fundamental para demostrar el valor estratégico continuo de la tesorería corporativa para la organización y su papel central en la gestión de riesgos empresariales.
Santander Corporate & Investment Banking mejora la seguridad tanto de nuestros clientes como de la sociedad en el mundo digital. Como entidad financiera, estamos trabajando activamente en la adopción de la Ley de Resiliencia Operativa Digital (DORA) y la Directiva revisada sobre redes y sistemas de información (NIS2) para reforzar nuestras capas de seguridad existentes:
- Proteger: incluye herramientas cuya función principal es prevenir ciberataques (cortafuegos, antivirus, filtros de correo electrónico y controles de acceso físicos, de hardware y de software);
- Detectar: supervisión ininterrumpida (24 horas al día, 7 días a la semana, 365 días al año) para identificar actividades anómalas o maliciosas, incluyendo el aprendizaje automático;
- Responder: la fase de investigación, que puede incluir la desactivación de sistemas o la investigación forense para evitar una mayor propagación de la infección, riesgos o la repetición del incidente.
En lo que respecta a mejorar la resiliencia de nuestros clientes, como líderes paneuropeos y estadounidenses en gestión de efectivo, un componente vital es proporcionar un único punto de acceso para el procesamiento de transacciones a través de Santander Cash Nexus. Se trata de una importante fuente de reducción del riesgo operativo, al disminuir el número de posibles puntos débiles.
También nos proponemos el reto de encontrar nuevas formas de impulsar la conectividad con la tecnología de nuestros clientes.