La ciberseguridad ha pasado a ser uno de los objetivos prioritarios dentro de la gestión de riesgos de las empresas del IBEX 35, y así se refleja en sus memorias de información no financiera correspondientes a 2021, en las que se recoge una sensibilización y preocupación por los riesgos cibernéticos mayor que el año anterior. Asimismo, la mayoría hacen una mención expresa al incremento de las partidas de gasto en medidas de ciberprotección, incluida la contratación de seguros de ciberriesgo. Así se pone de manifiesto en el ‘II Informe de transparencia en la información sobre ciberseguridad en las empresas del IBEX 35’, elaborado por Watch&Act Protection Services, que se ha presentado en el marco de la celebración del Día Mundial de la Seguridad de la Información.

Este informe no analiza las medidas técnicas de ciberseguridad adoptadas por las compañías ni su efectividad, sino el modo en que informan sobre ellas a sus grupos de interés (accionistas, clientes, empleados, proveedores, etc.) y la relevancia que les otorgan en sus memorias de información no financiera, dada su importancia creciente tanto desde el punto de vista económico como reputacional, y su impacto en la cuenta de resultados.

“Las grandes empresas son cada vez más conscientes de los peligros cibernéticos. Un reciente informe de Hiscox recoge que el coste económico de los ataques informáticos para las empresas españolas se ha duplicado en el último año, superando de media los 105.000€. De ahí que se haya registrado un incremento del 60% en la inversión media en ciberseguridad. Estamos viendo, además, cómo cada vez más los comités de dirección se implican de forma directa en el establecimiento de estrategias en materia de ciberseguridad. Pero todo esto hay que contarlo, y no todas las organizaciones se toman igual de en serio su compromiso con la transparencia en este sentido”, explica Javier Huergo, responsable de Watch&Act Protection Services y coautor del informe.

Tomando como referencia la norma internacional ISO 27001 de requisitos de sistemas de gestión de la seguridad de la información, y a partir de 10 criterios y una escala de puntuación agregada, este documento recoge el II Ranking del IBEX 35 en transparencia en la información sobre cómo se protegen de los datos sensibles de sus grupos de interés, y cómo se garantiza la integridad, confidencialidad y accesibilidad de la información. Se trata del único ranking de estas características existente en España.

En la primera columna se encuentran las compañías que proporcionan una información amplia, clara y transparente en materia de ciberseguridad. En la segunda se sitúan aquellas que han mejorado sustancialmente pero se echa en falta mayor información sobre la estrategia, medidas, certificaciones y auditorías llevadas a cabo a lo largo del año. Por último, en la tercera columna repiten en su gran mayoría las mismas empresas que en la anterior edición, que tienen todavía un amplio margen de mejora a la hora de informar de todo lo que están haciendo para evitar los riesgos y efectos negativos de un ciberataque.

Por sectores económicos, según la media de las puntuaciones obtenidas por las respectivas empresas, el mayor grado de transparencia se encuentra en los servicios financieros y seguros, que ascienden este año a la primera posición desde la tercera registrada en la edición anterior. Les siguen los servicios de consumo, que repiten en segunda posición, y el sector energético, que asciende del quinto al tercer puesto. Las telecomunicaciones, sin embargo, pasan de liderar el ranking en 2020 a la cuarta posición en 2021. La construcción asciende una posición hasta el quinto puesto, y repite en posición de cola el sector inmobiliario.

Los criterios que han obtenido una mayor valoración agregada por las 35 empresas del IBEX, es decir, aquellos de los que más ampliamente se informa en los informes de información no financiera, son, en este orden: el liderazgo de la alta dirección respecto al sistema de gestión de la ciberseguridad; la concienciación y formación en esta materia a los empleados; la gestión de los riesgos de ciberseguridad por parte de la comisión de riesgos, que reporta a la alta dirección; el cumplimiento de las obligaciones legales relativas a la seguridad de la información; y el establecimiento de una política de ciberseguridad con procedimientos y protocolos de actuación accesible a través de la web corporativa.

“Es muy destacable cómo la alta dirección se ha implicado en gran medida en la gestión directa de los riesgos de la ciberseguridad, formando parte de distintos comités para abordar y liderar una estrategia eficaz para evitarlos. Y también cómo ha trasladado la innegable necesidad de proporcionar formación en materia de ciberseguridad a todo el personal de la empresa, empezando por ellos mismos”, sostiene Javier Silva, ingeniero de procesos, senior advisor de Watch&Act y coautor del informe.