El Foro Nacional de Ciberseguridad es un espacio integrado en el Sistema de Seguridad Nacional, compuesto por representantes de la sociedad civil, expertos independientes, el sector privado, instituciones académicas, asociaciones y entidades sin ánimo de lucro, entre otros; pues bien, el 14 de julio de 2023 aprobó el Código de Buen Gobierno de la Ciberseguridad, en cuya elaboración participó activamente la Comisión Nacional del Mercado de Valores (CNMV).
El documento refiere que «no es una definición de un nuevo estándar de controles ni un manual de implantación». Se trata, más bien, de un compendio de principios y recomendaciones generales que se aplicarán, en todo caso, con carácter voluntario.
Entre sus objetivos se encuentra:
- Integrar en un único documento los principios fundamentales para gobernar la ciberseguridad.
- Servir como herramienta de ayuda para el órgano de administración y el equipo directivo.
- Formar y concienciar a los órganos de gobierno y a los equipos directivos sobre su rol y responsabilidades en materia de ciberseguridad.
- Proporcionar una visión integrada de las responsabilidades de supervisión, dirección y reporte en ciberseguridad.
Los principios que imperan en la ciberseguridad, a juicio del foro proponente, son:
- Proporcionalidad
- Alineamiento estratégico y visión de futuro
- Responsabilidad y organización
- Ética y cumplimiento
- Modelo de gestión
- Dotación de recursos
- Gestión de incidentes y resiliencia
- Formación y concienciación
- Innovación y mejora continua
- Ciberinteligencia
- Informe periódico
- Continuidad
- Gestión del riesgo
El documento proporciona un total de 25 recomendaciones asociadas a dichos principios, estructuradas en torno a tres grandes bloques: estrategia y organización, gobierno y supervisión, y cultura y capacidades.
Conclusión
En un contexto donde los ciberataques siguen creciendo en sofisticación y frecuencia, muchas organizaciones aún subestiman el riesgo o lo consideran improbable, y esta mentalidad hay que cambiarla.
Las soluciones en ciberseguridad requieren inversión y mantenimiento de las medidas, y son muchos los directivos que prefieren asumir el riesgo. Piensan que sus organizaciones no son un objetivo para los ciberdelincuentes. ¡Qué equivocados están! Todos somos objetivos potenciales, y si se lo ponemos fácil, más pronto que tarde caeremos en sus redes.
