«Estoy trabajando en ello.» «No tenemos espacio en el presupuesto de este año». «Algo más importante surgió». «Bueno, no hemos sido vulnerados antes …» «El riesgo de que esto ocurra es muy pequeño y es difícil de cuantificar …»
Éstas son algunas de las excusas más comunes que ofrecen las empresas para retrasar sus esfuerzos de seguridad y cumplimiento. Pero, dadas las graves repercusiones de una sola infracción (costos en espiral de limitación de daños, impacto de reputación de la marca, caída de los precios de las acciones y pérdida de empleos al más alto nivel), postergar estas iniciativas es una locura corporativa.
Para aquellos que nunca han experimentado una violación de datos públicos, es fácil descartarlo como algo que nunca te puede pasar. Sin embargo, las amenazas provienen de todos lados, y ya hemos visto casi 800 violaciones de datos en 2017 (un récord de medio año en los Estados Unidos). Ya no es una cuestión de si te van a perjudicar, sino cuándo.
Incluso si aún cree que el riesgo de que ocurra una infracción es muy pequeña, las consecuencias para su empresa, sus accionistas y sus clientes pueden ser tan importantes que invertir en la seguridad de los datos correctos no es una decisión ordinaria de rentabilidad. Aquí hay tres razones para no retrasar su seguridad y proteger los datos de usted y de sus clientes.
Resulta irónico que quienes intentan ahorrar dinero renunciando o reduciendo la seguridad pueden terminar incurriendo en costos mucho más allá del precio de una solución o programa de cumplimiento. De hecho, el costo promedio de una violación de datos es de $ 3.62 millones , mientras que el costo promedio de solo un registro expuesto es de $ 141. Estas cifras toman en cuenta las pérdidas financieras, honorarios legales, servicios de auditoría, reparaciones a clientes y más. Las demandas colectivas pueden ser incluso más devastadoras desde el punto de vista financiero, como se observó recientemente cuando la compañía de seguros de salud estadounidense, Anthem, acordó resolver una demanda por una violación de datos de 2015 por un récord de $ 115 millones. Nuevos costos pueden surgir en el futuro si una violación también hace que una organización enfrente cambios repentinos, no planificados y sin presupuesto en su programa de seguridad, lo que podría aliviarse mediante la planificación anticipada y la implementación pro-activa de soluciones de seguridad.
Las tarifas por incumplimiento también pueden sumarse rápidamente, incluso si no se viola. Por ejemplo, para las empresas que deben cumplir con el estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS), las consecuencias del incumplimiento pueden oscilar entre $ 5,000 y $ 500,000 por mes. Si se infringe una empresa, el banco puede multar entre $ 50 y $ 90 por cada Datos del titular de la tarjeta (CHD) comprometidos, independientemente de que la empresa cumpla o no con PCI DSS como tal. Por lo tanto, además de proteger los datos, también es vital para las empresas mantener un programa de cumplimiento de la vida y la respiración con evaluaciones periódicas.
Sin duda, una violación de datos puede dañar la reputación de su empresa hasta el punto en que sus clientes abandonen, los precios de las acciones caigan en picada, los electores pierdan su confianza y, lo peor de todo, cierren por completo. El objetivo (aunque todavía en el negocio) experimentó algunos de estos efectos de primera mano después de una violación de datos que involucraba 110 millones de información de tarjetas de crédito de clientes. Después de la violación, los precios de las acciones cayeron un 46 por ciento. Aún más reciente es la brecha de alto perfil de Equifax , que se cree que ha comprometido 143 millones de datos personales de los consumidores estadounidenses. Es casi imposible escanear los titulares o activar un canal de noticias sin ver el nombre de Equifax, por las razones equivocadas.
Piénselo: ¿Haría negocios con cualquier compañía que demostrara que no puede confiar en su información más confidencial?. De acuerdo con el Informe Anual de Ciberseguridad de Cisco de 2017, casi una cuarta parte de los 2.900 encuestados afirmaron que sus empresas perdieron ingresos potenciales por oportunidades comerciales después de una violación de datos. Casi el 40 por ciento de los encuestados dijo que las pérdidas fueron «sustanciales». El veintidós por ciento de los encuestados dijeron que sus negocios perdieron clientes actuales, y el 39 por ciento de ellos dijeron que perdieron el 20 por ciento o más de su base de clientes. La reputación de una empresa es demasiado importante como para arriesgar con el fin de ahorrar unos pocos dólares.
Ya sea que sea un CEO, un CSO, un CIO o incluso un ejecutivo de gobierno y cumplimiento, una violación de datos puede volver a atormentarlo a usted y a su trabajo. Un ejemplo: después del incumplimiento de objetivos, el CEO y CIO de la compañía renunciaron. Este es sólo uno de los muchos ejemplos de ejecutivos que renuncian o pierden sus trabajos después de incidentes importantes de seguridad cibernética: acabamos de ver el mismo éxodo ejecutivo en Equifax.
Si bien una violación de datos no siempre puede afectar a un CEO o aquellos en la parte superior de una organización, ciertamente puede obstaculizar la carrera actual y futura de quien decidió esperar para asegurar los datos de la compañía. Aquellos que afirmaron: «Estoy trabajando en ello», y no hicieron nada, ciertamente tendrán problemas para encontrar su próximo empleo si deben explicar cómo perdieron su puesto, porque su postergación puso en riesgo a su empresa .
Actúa ahora para proteger tus datos
Proteger a su empresa contra una violación de datos no es algo que pueda posponer hasta mañana. Las graves consecuencias (costos tremendos, reputación deteriorada, pérdida de empleos y carreras contaminadas) enfatizan la urgencia de la seguridad y el cumplimiento adecuados de los datos. Sin embargo, proteger sus datos no tiene que ser una tarea desalentadora. Aquí hay algunos consejos sobre cómo crear una cultura dentro de su organización donde la protección de datos y el cumplimiento se traten con la urgencia que merecen:
Costos de conversación al C-suite: La alta gerencia prestará atención cuando empiece a hablar de dinero. Destaque la importancia de proteger la reputación de la marca de su empresa a través de un programa de seguridad de datos pro-activo y sólido. Ayúdelos a comprender cómo la protección de la empresa frente a una violación de datos también protege de daños a la reputación , un golpe al precio de las acciones y la pérdida de la confianza del cliente; todo tendrá un impacto directo en el resultado final. Explique que las inversiones en seguridad de datos no son simplemente otro gasto de línea de pedido; en el panorama actual de seguridad cibernética, son críticamente importantes para la supervivencia de cualquier negocio.
Cumplimiento del estrés como una iniciativa en curso: el cumplimiento requiere un esfuerzo continuo; no es un ejercicio aislado y de verificación. Por ejemplo, podría recibir un Informe de Cumplimiento de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) un día, y luego ser vulnerable a una violación al siguiente, si un solo control de seguridad cambia. Por lo tanto, mantenga una mentalidad centrada en la mejora continua de la seguridad y el cumplimiento de los datos.
Elimine datos confidenciales de áreas innecesarias de su infraestructura comercial. Demasiadas organizaciones permiten que los datos confidenciales se procesen, retengan o pasen a través de áreas de su infraestructura comercial o red corporativa donde simplemente no es necesario. Por ejemplo, muchas grandes empresas tienen centros de contacto con clientes que aceptan pagos.
Los delincuentes cibernéticos consideran que los centros de contacto son una fruta fácil de entender porque saben que a menudo tienen datos de tarjetas de pago, direcciones, números de teléfono y otra IPI en sus registros de clientes e incluso en las grabaciones de llamadas. Sin embargo, no hay necesidad de que los centros de contacto retengan datos confidenciales como la información de la tarjeta de pago en su red. Existen tecnologías que les permiten recibir información de tarjetas de pago, enmascarar y encriptar los datos, mantenerlos segregados y enrutarlos de manera segura directamente al procesador de pagos, evitando por completo los sistemas de TI del centro de contacto.
Siempre que sea posible, mantenga la información confidencial fuera de la infraestructura de su empresa y áreas de su red donde no sea necesario. Después de todo, nadie puede piratear datos que no tienes. Investigue la implementación de tecnologías dentro de ciertas áreas de su negocio que mantienen los datos confidenciales segregados de su red y sistemas comerciales, como los sistemas de planificación de recursos empresariales (ERP) y gestión de relaciones con los clientes (CRM). Esto hará que su organización sea mucho menos vulnerable y menos atractiva para piratas informáticos, estafadores y otros ciberdelincuentes.
Entonces, ¿por qué esperar? Es hora de aumentar la seguridad y el cumplimiento desde la parte inferior de su lista de tareas pendientes. Actuar ahora mitigará el riesgo y posicionará a su empresa para protegerse mejor y evitar que se convierta en otra estadística o noticia.
Fuente: https://www.helpnetsecurity.com/2017/10/13/increase-security-compliance/