En esta línea, el objetivo principal del nuevo estudio es hacer un análisis del tratamiento de la información sobre las estrategias de ciberseguridad y protección de datos que estas 35 grandes compañías comparten en sus memorias anuales de información no financiera (IBEX35). Se trata de una información de gran utilidad tanto para sus inversores como para el resto de los grupos de interés, empleados, clientes, proveedores, etc. Ya que puede tener gran impacto en la reputación de la organización y en los beneficios de sus accionistas.
Por otro lado, para la elaboración de la investigación dos expertos de Watch&Act, Javier Silva, ingeniero de procesos y senior advisor de la compañía, y Javier Huergo, responsable de W&A PS, han analizado las memorias anuales de 2020 de las 35 empresas del IBEX, de acuerdo con la norma ISO 27001 de requisitos de sistemas de gestión de la seguridad de la información, y a partir de 10 criterios y una escala de puntuación agregada han elaborado el primer Ranking del IBEX 35 en transparencia en información sobre ciberseguridad.
Los sectores inmobiliario, construcción e industria son los que han registrado un nivel más bajo de transparencia
En cuanto a los sectores a los que pertenecen el estudio revela que presentan mayor grado de transparencia aquellos cuya actividad implica un uso más intensivo de la tecnología y los que hacen un mayor uso de los canales digitales para relacionarse con sus clientes. No obstante, los sectores inmobiliario, construcción e industria son los que han registrado un nivel más bajo de transparencia. Además, el sector energético es en el que se registran niveles muy diversos entre las diferentes compañías.
Criterios de evaluación y recomendaciones
En paralelo, los criterios de evaluación que reflejan mayor transparencia hacia sus accionistas e inversores son los relacionados con los aspectos más básicos en la gestión de seguridad de la información, la existencia de una comisión de riesgos que gestiona la ciberseguridad y reporta a la alta dirección; el cumplimiento de normativa legal de seguridad de la información y la definición de unos procedimientos y protocolos que desarrollan la política de seguridad, accesible desde la web de la empresa.
Por lo contrario, los criterios que obtienen una peor valoración de transparencia son la existencia de un plan de continuidad del negocio ante un posible ataque informático, la disponibilidad de un departamento específico encargado de detectar, analizar, informar y corregir incidentes de seguridad, y la certificación de las medidas de seguridad adoptadas de acuerdo con estándares internacionales o la realización de auditorías externas.
Además, el resto de los criterios con una posición intermedia en cuanto a la transparencia de la información publicada, son la concienciación y capacitación de los empleados en materia de ciberseguridad, la planificación de objetivos y actuaciones en seguridad de la información, la implicación de la alta dirección en el sistema de gestión de seguridad de la información, y la existencia de un responsable de ciberseguridad que reporte directamente al consejo.
Microclaudia, la primera “vacuna” de ciberseguridad
Leer más
Las empresas situadas en el Top 5 son CaixaBank, Telefónica, Ferrovial, AENA y Amadeus
Los autores del informe consideran que las empresas situadas en el Top 5 que son CaixaBank, Telefónica, Ferrovial, AENA y Amadeus tienen que ser una referencia y ejemplo para imitar por parte de las compañías interesadas en mejorar su transparencia en ciberseguridad.
Por este motivo, existen una serie de consejos para obtener la transparencia plena empresarial en materia de ciberseguridad. Entre estos consejos se incluyen los recogidos en los propios criterios de evaluación, pero también sobresalen otros como: disponer de un Equipo de Respuesta ante Emergencias Informáticas que tenga certificación CERT y que colabore con otros CERT, definir un plan de gestión de crisis y protocolos de respuesta ante incidentes de ciberseguridad, incluido un plan de recuperación de desastres y un plan de servicio sin TIC, para restaurar la normalidad del negocio en el menor tiempo y con el menor impacto posible, crear programas de recompensas a empleados por descubrimiento de vulnerabilidades, o contar con una póliza de seguro de ciber riesgo que cubra las necesidades de la compañía cuando han fallado las barreras de seguridad.
Si (
No(
