Lo que Moody's y Standard & Poor's son para las calificaciones crediticias de las empresas, empresas como FICO y Bitsight se están convirtiendo en las calificaciones de riesgo cibernético para las empresas. Las empresas han confiado en las calificaciones crediticias para determinar los niveles de riesgo de las inversiones y ahora las empresas confían en las calificadoras para tener un punto de referencia estándar del riesgo cibernético. Esta industria en crecimiento de las calificadoras incluye una serie de proveedores y sus clientes utilizan sus servicios de diversas maneras.

Usos de las puntuaciones de ciberseguridad

Las compañías de seguros suelen utilizar las puntuaciones de ciberseguridad para ayudar a asignar el nivel de riesgo para el seguro cibernético. Posible impacto: El coste del seguro cibernético será probablemente más alto para las pequeñas empresas con lagunas en su ciberseguridad que para las empresas que cuentan con medidas sólidas.

Las empresas utilizan las puntuaciones para calificar a sus terceros proveedores durante el proceso de selección. Impacto potencial: Los proveedores pueden perder las ofertas no por el coste o los compromisos de servicio, sino por la escasa ciberseguridad.

Las empresas utilizan las puntuaciones para supervisar el nivel de riesgo de seguridad de sus proveedores externos y el impacto potencial para ellos. Impacto potencial: Las grandes empresas pueden exigir a sus proveedores medidas de ciberseguridad más estrictas y rescindir los acuerdos con los proveedores de baja puntuación.

Las empresas utilizan las puntuaciones para controlar el nivel de ciberseguridad de sus competidores. Impacto potencial: Las empresas pueden encontrar formas de aprovechar una ventaja competitiva de su fuerte ciberseguridad frente a las medidas más débiles de sus competidores.

Las empresas utilizan su propia puntuación para comunicar su nivel de riesgo al consejo de administración. Impacto potencial: Esto puede proporcionar apoyo a la gestión de la ciberseguridad para obtener el apoyo que necesitan debido a una mayor conciencia de la junta.

Los datos

Los datos que componen la puntuación de ciberseguridad se recogen de diversas fuentes de información de acceso público, entre ellas

• Foros de hackers y datos disponibles en la Dark Web
• Uso de la autenticación multifactorial por parte de una empresa
• Vulnerabilidades conocidas de la red de una empresa
• Puertos abiertos a la red de una empresa
• Prácticas de parcheo

Las calificadoras de riesgo también analizan los datos que pueden entrar o salir de una red para determinar el volumen de malware, spam o virus que pueden estar asociados a la red de una empresa. Las calificadoras combinan los datos recogidos y analizados con sus modelos predictivos patentados. En algunos servicios, los datos se supervisan continuamente y una calificación puede cambiar rápidamente para reflejar cualquier fluctuación. Por ejemplo, si los datos robados aparecen repentinamente a la venta en la Dark Web, la calificación de la empresa afectada puede disminuir rápidamente.

Lo que puede hacer usted

Si su empresa utiliza proveedores externos, usted debería pensar en investigar los servicios de las empresas de scoring. Si usted es un proveedor de una gran empresa, usted debería considerar la posibilidad de hablar con su cliente sobre cómo están utilizando las puntuaciones de ciberseguridad para sus proveedores, como usted. La ciberseguridad ya no es un asunto privado dentro de su propia empresa. Los futuros acuerdos comerciales y contratos pueden ganarse o perderse por la eficacia de la ciberseguridad, no sólo por el precio o los niveles de servicio.

La organización de intercambio de información sobre ciberamenazas de la industria del automóvil, Auto-ISAC, ha anunciado recientemente sus mejores prácticas para las medidas de ciberseguridad en los automóviles. Las mejores prácticas están destinadas a todos los fabricantes y proveedores de la industria del automóvil, independientemente de su tamaño. La organización afirma que ha incorporado flexibilidad para su aplicación por parte de diversas empresas.

Auto-ISAC es miembro del Consejo Nacional de Centros de Análisis e Intercambio de Información (ISAC). Los ISAC se crearon para varios sectores de infraestructuras críticas tras una directiva presidencial de 1998. La directiva pedía a los principales sectores de infraestructuras críticas que establecieran organizaciones que compartieran información sobre amenazas y vulnerabilidades dentro de su industria específica. Auto-ISAC es propiedad de los fabricantes y proveedores de automóviles y está gestionado por ellos.

Las mejores prácticas del Auto-ISAC se clasifican por funciones:

• Gobernanza
• Evaluación y gestión de riesgos
• Seguridad por diseño
• Detección y protección de amenazas
• Respuesta a incidentes
• Sensibilización y formación
• Colaboración y compromiso con terceros adecuados

Una lección aprendida de la categoría de evaluación y gestión de riesgos es el reconocimiento de que la ciberseguridad debe formar parte de la cadena de suministro. Las mejores prácticas recomiendan incluir la cadena de suministro en las evaluaciones de riesgos, así como desarrollar un proceso para confirmar el cumplimiento por parte de los proveedores críticos para verificar los requisitos de seguridad, las directrices y la formación. Un fabricante no puede garantizar la seguridad final sin incluir a todos los proveedores clave.

Otra lección que se puede aprender de la industria del automóvil es su reconocimiento de que la ciberseguridad en la industria es una cuestión de seguridad, no una ventaja competitiva. Las mejores prácticas llaman específicamente a la necesidad de compartir información con terceras partes como Auto-ISAC, compañeros, investigadores y agencias gubernamentales. La colaboración es importante entre las partes interesadas para defenderse de los ciberataques.

Billington Cybersecurity, una empresa de medios de comunicación que produce diversos eventos sobre ciberseguridad, organizó la semana pasada una conferencia para la industria del automóvil. The Cyber Wire cubrió la conferencia en detalle y señaló que los grandes fabricantes se están tomando en serio la colaboración y el intercambio.

A la conferencia asistieron el Departamento de Transporte, fabricantes de automóviles y proveedores. Los participantes parecen estar muy interesados en cómo otras industrias críticas, como la aeroespacial y la de defensa, están gestionando la ciberseguridad. Otra lección aprendida para las pequeñas empresas es que , cada vez más, las industrias se dan cuenta de que los ciberataques deben ser discutidos entre los actores de la industria y compartir las mejores prácticas.

Las pequeñas empresas tienen la oportunidad, en muchos de sus sectores, de participar en las conversaciones sobre ciberseguridad y en las iniciativas de ciberseguridad del sector. Las pequeñas empresas tienen tanto que perder en los ciberataques como las grandes empresas. Las voces de las pequeñas empresas deben expresarse para garantizar que sus necesidades estén representadas.