El pasado 15 de octubre, el IE Board Members Forum reunió a sus miembros para un ejercicio poco habitual: enfrentarse, desde la silla del consejero, a un ataque de ransomware en tiempo real. Organizados en varios consejos que deliberaron en paralelo sobre un mismo caso, los participantes tuvieron que decidir con información incompleta y bajo presión de tiempo sobre el rescate, el liderazgo de la crisis, la comunicación y las notificaciones, las pérdidas asumibles y la trazabilidad de cada decisión. El caso evolucionaba en tiempo real a medida que llegaba nueva información. Compartimos aquí las conclusiones para el conjunto del Foro.
El rescate no se paga ni se negocia, garantiza la recuperación ni el silencio y puede generar un problema mayor. Además, se concluyó que no se trataba de excepcionar la política aprobada sino de completarla para adaptarla a situaciones no contempladas.
Ante la ausencia del primer ejecutivo, responsable de la gestión de la crisis según la política, cada consejo designó sobre la marcha a quién lideraba la crisis de forma distinta. Esa disparidad es, en sí misma, la conclusión: la política fijaba un marco incompleto con lagunas que había que resolver sobre la marcha.
Sobre la comunicación, prevaleció la idea de que el silencio daña más la reputación que una comunicación prudente. Los consejos optaron por comunicar pronto, con cautela y con veracidad: primero los clientes clave, de forma personal, y las notificaciones legales; después los empleados; y por último los medios, siempre bajo un protocolo aprobado y con portavoces definidos. En paralelo, exigieron informes al Consejo cada pocas horas, fin de semana incluido.
Las pérdidas resultaron lo más difícil de decidir en caliente. Las mesas supieron identificar las categorías, inventario, pedidos no atendidos, sanciones, y la necesidad de preparar desde el primer momento la reclamación al seguro, pero coincidieron en que la materialidad debe fijarse antes y no durante la crisis. Y, evidentemente, todo queda en acta. Decidir bien y poder explicar después cómo se decidió son dos cosas
distintas dentro del deber de diligencia del consejero.
De todo ello quedan cinco ideas que trascienden el caso concreto: conviene definir con precisión quién decide y con qué límites; una política aprobada "en frío" debe probarse antes de necesitarla; existe una tensión permanente entre esperar a tener certezas y cumplir los plazos legales, contractuales y del propio atacante; la huella documental de cada decisión importa tanto como la decisión; y haber probado el plan es, además, un
mensaje de solidez hacia clientes, aseguradoras y auditores, que cada vez preguntan más por ello.
Para un Consejo, un simulacro es la evidencia de que supervisa el ciberriesgo con diligencia, en línea con lo que los marcos europeos (NIS2 y DORA) esperan del órgano de administración. Una herramienta de gobierno para poner a prueba la organización y seguir completando sus políticas de gestión de crisis a medida que el contexto de negocio y tecnológico evoluciona.
Loading...