Se necesita un estándar global para reportar los ataques cibernéticos
27 Vistas,
Las amenazas cibernéticas constituyen un desafío aparentemente imposible. Debido a su naturaleza misma, asimétrica, de cambio rápido, y sin límites, son sumamente difíciles de predecir y de manejar. Nosotros nos enfocamos en el desafío principal del manejo de la seguridad cibernética: la carencia de datos. Muy pocos datos cibernéticos están disponibles a nivel general, lo cual dificulta la evaluación objetiva del posible impacto de las incidencias. Mediante nuestro trabajo, proponemos un método para identificar qué medir, cómo capturar los datos requeridos y cómo hacerlo útil.
Compartir información
La información es poder y, en el campo de la seguridad cibernética, es el poder de evitar otros sucesos similares. Si ocurre una filtración de información en una empresa, podemos confiar de manera razonable que la misma táctica maliciosa se utilizará en otra empresa en un futuro cercano. Si se tiene acceso a los datos de la primera filtración, otras empresas pueden prepararse. El conocimiento compartido también permite que los reguladores y los encargados de hacer cumplir la ley manejen incentivos de manera objetiva con el fin de guiar la gobernabilidad corporativa de la seguridad cibernética, la recopilación de datos y el intercambio de información.
El primer paso es averiguar qué debe medirse con exactitud. Para poder hacerlo, debemos acordar una taxonomía uniforme de eventos cibernéticos a fin de que podamos rastrear y entender las consecuencias de cualquier ataque. Con el fin de promover el intercambio de información relacionada con las filtraciones de información, es importante garantizar el anonimato de las empresas que informen sobre las incidencias.
El panorama de las amenazas cibernéticas está en constante evolución, así como los requisitos regulatorios. La preparación cibernética debe evaluarse y ajustarse periódicamente.
Cumplimiento y comunicación
Los reguladores de todo el mundo requieren que las empresas divulguen esas incidencias, pero nuestra investigación demuestra que con demasiada frecuencia estos reguladores comparten públicamente muy pocos de los datos que pueden ser de utilidad, si acaso los comparten. En nuestra investigación observamos que a pesar de que informar sobre los riesgos cibernéticos es solamente un ejercicio de cumplimiento, las empresas sí ofrecen más detalles tras sufrir una filtración divulgada públicamente.
Estamos igualmente preocupados de que no haya incentivos para que las empresas compartan datos sobre la vulnerabilidad y las infracciones cibernéticas. Para corregir esto, sugerimos que una sociedad pública-privada brinde a las empresas el apoyo operativo que necesitan para vigilar su seguridad y compartir información a través de un medio de confianza.
Harvard
