Contenido
- Las pérdidas son asombrosas
- La cuestión del rendimiento de la equidad a largo plazo
- Reacciones a un incidente de ciberseguridad
- Sin errores, sin estrés: su guía paso a paso para crear software que cambie su vida sin destruir su vida
Fuente: iStock
Para llevar:
Aquí examinamos las repercusiones duraderas de los ataques cibernéticos, específicamente el daño a corto y largo plazo causado a los precios de las acciones y cómo la alta gerencia y los miembros de la junta ahora están directamente involucrados en las medidas preventivas y reaccionarias en el tratamiento de los ataques cibernéticos.
La seguridad cibernética es un tema generalizado para TI, pero los ataques cibernéticos hoy en día también están afectando a una gran cantidad de personas fuera de TI. Las violaciones de datos pueden afectar la vida de las personas cuya información personal es robada durante años después de que se haya olvidado el incidente. En otros casos, se puede robar información patentada que elimina las ventajas competitivas para las unidades comerciales internas y las divisiones de productos. Los ataques de ransomware y DDoS pueden interrumpir las operaciones comerciales y los servicios para clientes y proveedores durante días y semanas. Además, la escala de algunos ataques cibernéticos hoy en día está afectando las ganancias y las ganancias, mientras que empaña severamente la imagen corporativa de los afectados. (2017 se sintió como un año excepcional para el cibercrimen, pero conozca qué están haciendo las empresas para contrarrestarlo en Cybercrime 2018: The Enterprise Strikes Back).
Como resultado, estos incidentes son, al menos a corto plazo, la depreciación de los precios de las acciones, lo que afecta a los accionistas y, como resultado, está sonando las alarmas en las salas de juntas corporativas. Según la Encuesta de Prácticas de la Junta de Deloitte / Sociedad para el Gobierno Corporativo de 2016, la ciberseguridad se clasificó como el riesgo número uno en el que se centran las juntas hoy en día. Como evidencia adicional, de acuerdo con el Manual de Directores de NACD sobre Supervisión del Riesgo Cibernético, menos del 40 por ciento de los directores corporativos informaron que los riesgos de ciberseguridad se cubrían habitualmente en las reuniones de la junta en 2014. En 2017, esa cifra fue del 90 por ciento.
Las pérdidas son asombrosas
Las preocupaciones de ciberseguridad dentro de las salas de juntas corporativas están bien fundamentadas en base a algunas de las amenazas en 2017 experimentadas por las grandes corporaciones.
- Nuance Communications es un importante proveedor de herramientas de voz y lenguaje con sede en Burlington, Massachusetts, que produce un conjunto de servicios de dictado y transcripción que atiende a más de 500,000 médicos y 10,000 instalaciones de atención médica. Estos servicios permiten a los médicos dictar notas desde el teléfono. El 27 de junio, el ataque global de Petya golpeó a la compañía, interrumpiendo sus operaciones centrales durante tres a cinco semanas, lo que la obligó a ofrecer alternativas de servicio de dictado a los clientes afectados por la interrupción. Le llevó cinco semanas completas restaurar completamente todos sus servicios en la nube. Debido a que casi la mitad de los ingresos de la compañía provienen de estos productos, la compañía anunció a fines de julio que el ataque afectaría negativamente las ganancias trimestrales. Las acciones cayeron un cuatro por ciento inmediatamente después del anuncio, y la negociación se detuvo esa mañana.
- A fines de septiembre, fuimos testigos de una de las mayores violaciones de datos en la historia en la que los datos personales de 145.5 millones de estadounidenses fueron robados en la ahora notoria violación de Equifax. Para agravar la terrible experiencia, los altos ejecutivos tardaron en publicitar el incidente y los pasos iniciales para abordar el problema estaban mal concebidos. Equifax se convirtió en la peor parte de los chistes y las intensas críticas durante las semanas posteriores al ataque. Sus acciones cayeron un 30 por ciento en una semana, y finalmente tocaron fondo luego de caer un 15 por ciento adicional. Las pérdidas de capital durante ese período ascendieron a más de $ 4 mil millones de dólares. Solo los costos de limpieza fueron de $ 87.5 millones y Equifax reportó una caída del 27 por ciento en su ingreso neto del tercer trimestre. (La violación de Equifax fue causada por una vulnerabilidad de un tercero. Obtenga más información en Cualitativo frente a Cuantitativo: Tiempo de cambiar ¿Cómo evaluamos la gravedad de las vulnerabilidades de terceros?)
Las asombrosas pérdidas de los ataques cibernéticos no aparecieron repentinamente en 2017. En 2011, los costos del delito cibernético para las empresas en los EE. UU. Totalizaron $ 9 mil millones. Para 2015, estos costos habían aumentado en espiral a más de $ 400 mil millones, y aumentaron aún más a $ 600 mil millones en 2016. Se proyecta que los ataques cibernéticos costarán a las empresas cerca de $ 2 billones en 2019. Las cantidades asociadas con los ataques cibernéticos son impactantes y el público está comenzando a darse cuenta. Además, los inversores están cada vez más informados sobre la interrupción y los enormes costos involucrados en un ciberataque en la actualidad.
La cuestión del rendimiento de la equidad a largo plazo
Si bien hay pocas dudas de que los mercados de valores pueden afectar a una empresa que cotiza en bolsa en los días posteriores a una violación de datos, existe evidencia mixta sobre si los incidentes de ciberseguridad tienen un efecto negativo a largo plazo. Un estudio publicado por la consultora de TI CGI y Oxford Economics mostró que las infracciones de ciberseguridad erosionan los precios de las acciones de la compañía aproximadamente un 1,8 por ciento de forma permanente. El estudio involucró a 65 compañías que experimentaron una violación que involucra cientos de miles de registros o más desde 2013. El costo total para los accionistas de las 65 compañías en el estudio ascendió a más de $ 52 mil millones. La conclusión del informe fue que los inversores de una empresa típica de FTSE 100 están definitivamente peor después de una violación por un período prolongado.
Otro estudio realizado por Compairtech el año pasado produjo hallazgos similares. En el estudio participaron 24 empresas que cotizan en bolsa, como Target y Yahoo, que fueron víctimas de una violación de datos que involucra al menos 1 millón de registros. Los resultados del estudio mostraron lo siguiente:
- Las acciones en promedio sufrieron una disminución inmediata en el precio de las acciones luego de un incumplimiento del 0.43 por ciento, casi igual a su volatilidad diaria promedio.
- A largo plazo, los precios de las acciones continúan aumentando en promedio, pero a un ritmo mucho más lento. Hubo un aumento del 45,6 por ciento en el precio de las acciones durante los tres años anteriores al incumplimiento, y solo un crecimiento del 14,8 por ciento en los tres años posteriores. La volatilidad diaria fue casi la misma para ambos períodos.
- Las empresas incumplidas tienden a tener un rendimiento inferior al NASDAQ. Se recuperan al nivel de rendimiento del índice después de 38 días en promedio, pero después de tres años, el NASDAQ finalmente los supera en un margen de más del 40 por ciento.
Sin embargo, un estudio reciente realizado por la Universidad de Georgetown muestra poca correlación entre las brechas de seguridad y el rendimiento de la equidad a largo plazo. El estudio incluyó un conjunto de datos de 235 compañías con violaciones de datos registradas que datan de 2005. Las compañías representaban a todas las industrias, incluidas las de consumo discrecional, finanzas, atención médica y tecnología. El estudio no informó una disparidad significativa entre el rendimiento previo y posterior después de 90 días después de la violación. Los autores del estudio concluyeron que las pérdidas relacionadas con el impacto de las violaciones de datos en las acciones de la empresa parecen depender en gran medida de muchas variables que son exclusivas de la empresa. Otro estudio publicado en Harvard Business Review en 2015 concluyó que, si bien los precios de las acciones caen considerablemente en los días posteriores a un ataque como el de Home Depot, los precios de las acciones comienzan a recuperarse después de dos semanas en promedio y se comportan normalmente según las condiciones del mercado. El estudio hizo que los servicios financieros estatales, la atención médica y las compañías de telecomunicaciones globales experimentaran el daño más duradero.
Reacciones a un incidente de ciberseguridad
En política, existe el viejo adagio de que el encubrimiento es mucho peor que el crimen. Este también puede ser el caso de los ciberataques. Un caso en particular fue el proveedor de telefonía y banda ancha del Reino Unido, TalkTalk, que sufrió una violación de datos que involucró a 4 millones de sus clientes en 2015. Las acciones cayeron más del 10 por ciento en los primeros dos días. La gerencia fue muy criticada en los siguientes meses por su mal manejo de la situación, que contribuyó a la pérdida de más de 90,000 clientes. La acción no se recuperó a la manera de aquellos en los estudios de Georgetown y la Universidad de Harvard.
Sin errores, sin estrés: su guía paso a paso para crear software que cambie su vida sin destruir su vida
No puede mejorar sus habilidades de programación cuando a nadie le importa la calidad del software.
Esta es la razón por la cual el peso de la responsabilidad de mantener a una organización a salvo de las amenazas cibernéticas, así como la reacción a una, recae en el CEO, CIO / CTO / CSO y el equipo ejecutivo. La ciberseguridad ya no es un "problema de TI". Es un asunto que debe involucrar tanto a la alta gerencia como a la junta directiva a la que informan. Dos cosas parecen ciertas: los ataques solo aumentarán en los próximos años y los costos de esos ataques ciertamente aumentarán junto con ellos.