Banco Santander encabeza la segunda edición del ranking de transparencia en ciberseguridad de las empresas del IBEX 35, realizado por Watch&Act Protection Service a partir de la información sobre ciberseguridad que las 35 compañías ofrecen en sus informes de información no financiera de 2021.
Esta clasificación, la única de estas características existente en España, forma parte del "II Informe de transparencia en la información sobre ciberseguridad en las empresas del IBEX 35", que se ha presentado por segundo año consecutivo en el marco del Día Mundial de la Seguridad de la Información, que se celebra este miércoles 30 de noviembre.
Tal y como aclaran desde Watch&Act Protection Service, este informe no analiza las medidas técnicas de ciberseguridad adoptadas por las compañías ni su efectividad, sino el modo en el que informan sobre ellas a sus grupos de interés (accionistas, clientes, empleados, proveedores, etc.) y la relevancia que les otorgan en sus memorias de información no financiera, dada su creciente importancia tanto desde el punto de vista económico como reputacional, así como su impacto en la cuenta de resultados.
"Las grandes empresas son cada vez más conscientes de los peligros cibernéticos. Un reciente informe de Hiscox recoge que el coste económico de los ataques informáticos para las empresas españolas se ha duplicado en el último año, superando de media los 105.000€. De ahí que se haya registrado un incremento del 60% en la inversión media en ciberseguridad. Estamos viendo, además, cómo cada vez más los comités de dirección se implican de forma directa en el establecimiento de estrategias en materia de ciberseguridad. Pero todo esto hay que contarlo, y no todas las organizaciones se toman igual de en serio su compromiso con la transparencia en este sentido", explica Javier Huergo, responsable de Watch&Act Protection Services y coautor del informe junto a Javier Silva.
Para evaluar la información publicada por las empresas, los autores del informe han utilizado la norma internacional ISO 27001 de requisitos de sistemas de gestión de la seguridad de la información y han definido 10 criterios cuya puntuación global puede alcanzar los 100 puntos. Partiendo de estas referencias, han clasificado a las 35 compañías del IBEX en función de cómo protegen los datos sensibles de sus grupos de interés, y cómo garantizan la integridad, confidencialidad y accesibilidad de la información.
Tres niveles de transparencia en ciberseguridad
El ranking lo lidera, como hemos señalado, el Banco Santander, que ha escalado de la sexta posición que ocupaba el año pasado a la primera. Tras el banco dirigido por Ana Botín se encuentran Ferrovial y Enagás, compañías que también han remontado posiciones respecto al ranking del año pasado. Ferrovial ha pasado de la tercera a la segunda posición mientras que Enagás ha protagonizado una de las mayores escaladas, subiendo desde la 15ª posición hasta la tercera.
Detrás de ellas se encuentran Mapfre, Naturgy, Sacyr, Telefónica, AENA, Fluidra e Iberdrola, que completan el top 10 y figuran en la primera columna del ranking, donde están las compañías que proporcionan una información amplia, clara y transparente en materia de ciberseguridad.
En la segunda columna, que abarca desde la posición 11ª a la 24ª, se sitúan aquellas que han mejorado sustancialmente, con excepciones como el caso de CaixaBank (líder de la clasificación del año pasado que ahora ha caído hasta la 12ª plaza), pero en las que se echa en falta una mayor información sobre la estrategia, medidas, certificaciones y auditorias llevadas a cabo a lo largo del año.
Por último, en la tercera columna repiten en su gran mayoría las mismas empresas que en la anterior edición, que todavía tienen un amplio margen de mejora a la hora de informar de todo lo que están haciendo para evitar los riesgos y efectos negativos de un ciberataque. ArcelorMittal es la colista de la tabla y le preceden Acerinox y Rovi.
Por sectores económicos, según la media de las puntuaciones obtenidas por las respectivas empresas, el mayor grado de transparencia se encuentra en los servicios financieros y seguros, que ascienden este año a la primera posición desde la tercera registrada en la edición anterior. Les siguen los servicios de consumo, que repiten en segunda posición, y el sector energético, que asciende del quinto al tercer puesto. Las telecomunicaciones, sin embargo, pasan de liderar el ranking en 2020 a la cuarta posición en 2021, mientras que la construcción asciende una posición hasta el quinto puesto, y repite en posición de cola el sector inmobiliario.
Por otra parte, los criterios que han obtenido una mayor valoración agregada entre las 35 empresas del IBEX, es decir, aquellos de los que más ampliamente se informa en los informes de información no financiera, son, en este orden: el liderazgo de la alta dirección respecto al sistema de gestión de la ciberseguridad; la concienciación y formación en esta materia a los empleados; la gestión de los riesgos de ciberseguridad por parte de la comisión de riesgos, que reporta a la alta dirección; el cumplimiento de las obligaciones legales relativas a la seguridad de la información; y el establecimiento de una política de ciberseguridad con procedimientos y protocolos de actuación accesible a través de la web corporativa.
"Es muy destacable cómo la alta dirección se ha implicado en gran medida en la gestión directa de los riesgos de la ciberseguridad, formando parte de distintos comités para abordar y liderar una estrategia eficaz para evitarlos. Y también cómo ha trasladado la innegable necesidad de proporcionar formación en materia de ciberseguridad a todo el personal de la empresa, empezando por ellos mismos", sostiene Javier Silva, ingeniero de procesos, senior advisor de Watch&Act y coautor del informe.