La PHL digital más segura se fortalece con la confianza
Puntos clave
- •El director ejecutivo del CICC pidió a las organizaciones filipinas pasar de una ciberseguridad centrada en la prevención a planes de ciberresiliencia que mantengan la continuidad operativa cuando los ataques logren penetrar las defensas.
- •Los expertos advirtieron que las estrategias de seguridad sofisticadas suelen fallar porque los empleados de primera línea encargados de implementarlas no comprenden el propósito subyacente de las medidas.
- •Los responsables de seguridad de la información subrayaron que la rendición de cuentas última por los incidentes cibernéticos recae en los directores ejecutivos y la alta dirección, quienes pueden delegar responsabilidades pero no la accountability.
- •Los ponentes destacaron que la IA funciona a la vez como herramienta defensiva para analizar amenazas y como arma ofensiva para los ciberdelincuentes, por lo que las organizaciones deben establecer una base adecuada para la seguridad impulsada por IA.
- •El discurso de cierre sostuvo que la confianza vale más que los datos en la economía digital, ya que las transacciones, la gobernanza y la innovación dependen de la confianza pública en la protección de la información.
Por Bjorn Biel M. Beltran, editor asistente de Special Features and Content
La ciberseguridad se ha convertido en una lucha defensiva permanente en la que comprender al adversario importa tanto como conocer las propias capacidades. La pregunta que enfrentan hoy las organizaciones es cómo defenderse de adversarios armados con tecnología en constante evolución y potenciada por inteligencia artificial (IA).
Esa premisa fue el eje de la BusinessWorld Cybersecurity Summit, celebrada bajo el tema "Toward Stronger Digital Defenses", un llamado urgente a reevaluar las protecciones de Filipinas frente a las amenazas cibernéticas emergentes.
Lucien C. Dy Tioco, vicepresidente ejecutivo de BusinessWorld, abrió el evento destacando la necesidad de un frente unido contra los ciberataques impulsados por IA y la protección de la economía digital de rápido crecimiento del país.
"The Philippines is home to millions of businesses, with micro, small, and medium enterprises making up 99% of all businesses in the country", dijo Mr. Dy Tioco en sus palabras de bienvenida. "These enterprises are continuing their digital transformation, making cybersecurity a technical safeguard that enables economic growth, innovation, and public confidence."
"Every investment in cybersecurity is an investment in trust. Every collaboration strengthens our collective resilience. Every conversation we sustain in this respect brings us one step closer to a digital economy that is secure, innovative, and inclusive", añadió.
Atty. Renato "Aboy" A. Paraiso, director ejecutivo del Cybercrime Investigation and Coordinating Center (CICC), pronunció el discurso inaugural y pidió pasar de la prevención pura a una ciberresiliencia integral. Explicó que, mientras la ciberseguridad tradicional busca detener ataques y mitigar riesgos, la resiliencia asegura que las organizaciones mantengan la continuidad operativa y limiten el daño cuando —no si— los ataques logren atravesar sus defensas.
"While cybersecurity is designed to prevent attacks, cyber resilience, on the other hand, ensures that when an attack gets through, as some inevitably will, organizations can continue operating, minimize the damage, recover quickly, and emerge stronger from the experience", dijo.
"Every business should have a practical cyber-resilience plan so that it can respond effectively when an attack happens", añadió.
El CICC opera bajo la Office of the President y fue creado por la Cybercrime Prevention Act of 2012 (Republic Act No. 10175) para coordinar la respuesta nacional al ciberdelito entre las agencias de orden público, inteligencia y regulación.
Poner la ciberresiliencia en acción
El primer panel de la cumbre examinó avances en marcos regulatorios, políticas de seguridad nacional y ejecución operativa en todo el mundo.
Gilbert T. Trinchera, socio de consultoría tecnológica de R.G. Manabat & Co. (KPMG in the Philippines), sostuvo que las organizaciones deben ir más allá de marcar requisitos de cumplimiento y enfocarse en la gestión del riesgo y en la convergencia regulatoria entre jurisdicciones.
"Regulatory convergence should be our goal, and we should align it to our ultimate vision, which is to maintain trust. This is the current universal currency that everybody understands, regardless of industry or jurisdiction", dijo.
En Filipinas, las obligaciones de protección de datos se basan en la Data Privacy Act of 2012 (Republic Act No. 10173), que estableció la National Privacy Commission, mientras que la Cybercrime Prevention Act aborda delitos como el acceso ilegal, la interferencia de datos y el robo de identidad.
Atty. Jay-R C. Ipac, socio gerente de Divina Law, subrayó que las estrategias de seguridad de alto nivel suelen fracasar cuando los empleados de primera línea no comprenden su propósito.
"The usual failure in implementing sophisticated cybersecurity measures", añadió, "is that the people who will be implementing it on the ground do not really understand what they’re doing in the first place. We have to make them understand why we are doing this."
Liderazgo durante incidentes de seguridad
El segundo panel trasladó el enfoque al liderazgo durante incidentes de seguridad de alto impacto.
"Assume a breach is not a possibility, but an inevitability. Crisis command is a leadership discipline, not a technical one", dijo Dennis Matthew F. Opiso, chief information security officer (CISO) de JG Summit Holdings, Inc.
Engr. Luis A. Jacinto, presidente y miembro fundador del Information Security Officers Group, dejó claro que, aunque las tareas operativas pueden delegarse a equipos especializados, la rendición de cuentas final recae en la alta dirección.
"The ultimate responsibility and accountability goes to the CEO; he can delegate the responsibility, but not the accountability", dijo.
Mar Apuhin, CISO de GT Capital Holdings, Inc., advirtió a las empresas sobre los riesgos de la especulación pública prematura y de las directrices internas imprecisas durante una brecha activa.
"The biggest mistake [during an attack] is communicating before facts are verified", dijo. "It is also a mistake to provide vague guidance to internal teams, employees, and customers. The main message should be transparency grounded in verified facts and what the laws require."
Controles técnicos y humanos
El tercer panel examinó los controles técnicos y humanos necesarios para proteger a las organizaciones modernas.
Catherine Anne Paleracio, CISO de Tonik, destacó que los controles de seguridad deben funcionar como facilitadores del negocio y no como barreras operativas, y que dichos controles deben aprovechar la IA.
"For security professionals, AI is helpful to do the analysis of big data, even for analyzing behavior. But at the same time, cybercriminals are using the same technology. So, we need to put a proper baseline for the AI to function. It doesn’t know what to do right away. We have to teach it", dijo.
La defensa de una organización es tan fuerte como su eslabón más débil, y con frecuencia esos eslabones son sus propias personas. Mark Anthony P. Almodovar, director ejecutivo de Risk Services — Cybersecurity and Privacy en PwC Philippines, subrayó la importancia de hacer cumplir los protocolos adecuados de acceso.
"Access control is the most basic and most fundamental control in information security. Remember the people aspect. Most of the time, they are reluctant. Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that’s the time when they will start implementing it", dijo.
La ciberseguridad como facilitador del negocio
El cuarto panel de la cumbre, titulado "Cybersecurity as a Business Enabler: Leveraging Security for Growth", exploró cómo la seguridad impulsa la valoración empresarial y la confianza del mercado.
Alexis Bernardino, principal CXO advisor y head of CXO Advisory en PLDT Enterprise, explicó cómo la ciberseguridad ha evolucionado más allá de ser una medida de protección de ingresos para convertirse en un garante de la continuidad del negocio.
"Nowadays, it is no longer about digital transformation", dijo. "The issue is no longer cybersecurity. What we need to envision is digital resilience, that our organization will still function, be up and running even though we are under duress or under attack."
Alan Reyes, presidente y CEO de Hexcore Labs y gerente general de Lightstream8 Corp., instó a los líderes a enmarcar la seguridad en términos de gestión del riesgo comercial y no de compleja jerga técnica.
"Cybersecurity, at its core, is nothing more than risk management. Business people understand risk management but not firewalls, endpoint protections and things like that."
Confianza, preparación, colaboración
Al cerrar la cumbre, el presidente del Cybersecurity Council of the Philippines, Dr. Donald Lim, pronunció un discurso en el que pidió una nación digital más segura y sostuvo que la tecnología y las políticas por sí solas no pueden proteger al país sin líderes que prioricen la confianza, la preparación y la colaboración.
"Technology alone cannot make a nation secure. Even the best policies cannot make a nation secure", dijo.
Concluyó con una redefinición del valor en la era digital: "People say that data is the new oil. I would agree to disagree. In today’s economy, trust is more valuable than data. People only transact when they trust. Citizens only embrace digital government when they trust that their information is protected. Businesses only innovate when customers believe their privacy is respected. The real product we are protecting is not information; it is confidence. Because when trust disappears, everything else begins to slow down."
La BusinessWorld Cybersecurity Summit fue presentada por BusinessWorld Publishing Corp., junto con GCash y Maya, con el apoyo de los patrocinadores JuanHand, X10 Technologies y TCS; las organizaciones asociadas Asian Consulting Group, Asia Society of the Philippines, British Chamber of Commerce of the Philippines, French Chamber of Commerce and Industry in the Philippines, Management Association of the Philippines, Philippine Chamber of Commerce and Industry, Philippine Franchise Association y Philippine Retailers Association; el socio creativo ConSync Digital; y el socio de medios The Philippine STAR.