𝐂𝐨𝐦𝐨 𝐦𝐢𝐧𝐢𝐦𝐢𝐳𝐚𝐫 𝐫𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞𝐥 𝐂𝐈𝐒𝐎 𝐟𝐫𝐞𝐧𝐭𝐞 𝐚 𝐥𝐚 𝐒𝐄𝐂

20-3-2024
© BDO
CIBERSEGURIDAD APLICADA AL CONTROL
DE RIESGOS CORPORATIVOS
Prevención de riesgos y fallas de control interno frente a la
Securities and Exchange Commission (SEC)
© BDO
FABIÁN DESCALZO
Socio y DPO de BDO en Argentina del
Departamento de Ciberseguridad y Gobierno
Tecnológico. Posee más 30 años de experiencia
en esta área, especialista en compliance y
auditoría de TI en Argentina y Latinoamérica, y
asesoramiento para el cumplimiento de Leyes y
Normativas Nacionales e Internacionales en
compañías de primer nivel de diferentes áreas
de negocio.
Docente en la Universidad Argentina de la Empresa –
UADE, del Instituto Tecnológico Buenos Aires (ITBA),
en la Universidad Nacional de Río Negro y Docente
en Sistemas de Gestión IT, Seguridad de la
Información y Auditoría IT para TÜV Rheinland.
Autoridad del Comité de Seguridad Patrimonial,
Seguridad de la Información y Ciberseguridad en
AmCham Argentina, Miembro Titular del Comité
Directivo y Presidente de la Comisión de Educación
de ISACA Buenos Aires Chapter, Miembro de la
Asociación Latinoamericana de Privacidad, de la
Asociación Argentina de Ética y Compliance, y del
Comité Científico del IEEE (Institute of Electrical and
Electronics Engineers)
1
2

20-3-2024
© BDO
estrategia
corporativa
estrategia de
mercado
estrategia
tecnológica
estrategia de
cumplimiento
El 60% del crecimiento
económico está siendo
impulsado por
tecnologías digitales
(WEF)
Necesidad de
innovación
Impacto negativo:
Obsolescencia, bajo
nivel de madurez y
cultura, fuga de
datos,
incumplimiento
regulación y
contratos
El 80% estarán
automatizados en
2025 (GARTNER)
PROCESOS de
negocio
© BDO
¿Cuáles son las áreas de máxima prioridad de los CIO en el trabajo con la ciberseguridad?
"Pensando en las fortalezas y habilidades que debe poseer un CISO, ¿cuáles de las siguientes son las
más importantes?"
Fuente: IDC - The Changing Role of the CISO
n =61 (CISOs), n =62 (CIOs), n =847; Source: IDC’s CIO/CISO Thought Leadership Survey, November 2023
3
4

20-3-2024
© BDO
La seguridadno es inmune a
las realidadesde los
negocios.
Los principales desafíos
internos de las organizaciones
para completar las iniciativas
de control digital
Gestión de riesgos
de seguridad
31%
Ralentización por
burocracia de TI
25%
Restricciones
presupuestarias
30%
Falta de habilidades
digitales en toda la
organización
23%
Fuente: IDC en +1000 compañías
Integridad –disponibilidad – cadena de suministro
El 65% han sufrido un ataque de ransomware
© BDO
U.S. SECURITIES AND
EXCHANGE COMMISSION
La misión de la Comisión de Bolsa y Valores de Estados
Unidos es proteger a los inversores; mantener mercados
justos, ordenados y eficientes; y facilitar la formación de
capital.
Adoptó reglas que requieren que las
entidades registradas revelen los
incidentes materiales de ciberseguridad
que experimenten y que revelen
anualmente información material sobre su
gestión, estrategia y gobernanza de
riesgos de ciberseguridad. La Comisión
también adoptó normas que exigen que
los emisores privados extranjeros hagan
divulgaciones comparables.
Washington D.C., July 26, 2023
“La gestión de los riesgos cibernéticos y
de la información es fundamental para el
funcionamiento de los mercados
financieros”
"Ya sea que una empresa pierda una
fábrica en un incendio, o millones de
archivos en un incidente de
ciberseguridad, puede ser importante
para los inversores“
Gary Gensler, Presidente de la SEC
Fuente: https://www.sec.gov/news/press-release/2023-227
Transparenciay la responsabilidaden materia de ciberseguridad
5
6

20-3-2024
© BDO
U.S. SECURITIES AND
EXCHANGE COMMISSION
Programas de la SEC
DIRECCIÓN DE LA AGENCIA Y
APOYO ADMINISTRATIVO
Oficina de Tecnología de la
Información
Mantiene la responsabilidad
de las operaciones de
infraestructura e ingeniería
de la Comisión; soporte al
usuario; gestión de
programas; planificación de
capital; la ciberseguridad; y
arquitectura empresarial.
Arquitectura Empresarial
Objetivos
de Negocio
Control
Interno
Riesgos
corporativos
Cumplimiento
Objetivos de Tecnología y
Ciberseguridad
Estrategia sobre riesgos
tecnológicos
Gestión de
Riesgos de
Ciberseguridad
Gestión de
Incidentes
tecnológicos
Continuidad y
resiliencia
Capacitación y
concientización
© BDO
FASE 1
Hito 2
Revisión del proceso
de Gestión de Riesgos
Revisión de objetivos
de Tecnología y
Ciberseguridad
Hito 1
Hito 3
Revisión y
actualización de la
gestión de incidentes
Hito 4
Revisión y
actualización de
respuesta
ciberseguridad
Hito 5
Revisión de
continuidad y
resiliencia
Fin Fase 1
Programa de
Protección del
Negocio
Riesgos
corporativos
Riesgos
Ciberseguridad
Incidentes
tecnológicos
 Revisión del mapa corporativo
de riesgos
 Integrar riesgos de ciber
 Definición del framework
 Revisión y actualización de
documentación del proceso y
controles (Art. 106)
 Revisión de afectación y niveles
de impacto material (Art. 106)
 Detección y controles
 Análisis y Registración
 Reportes (Form 8-K y 6-K)
 Actualización comités
 Informes anuales (Form 10-K
y 20-F)
 Mitre Attack
 NIST 800-53 r5
 Planes de respuesta a
incidentes
 Playbooks
 Evaluación y
documentación de
controles mitigatorios
Continuidad y
resiliencia
 Revisión de
performance de la
continuidad vs
objetivos del negocio y
cumplimiento
 Alineamiento del BCM
y la gestión de riesgos
e incidentes
 Revisión y
actualización de la
documentación del
proceso e integración
de planes de respuesta
de ciberseguridad
 Diseño de la auditoría
interna a los procesos
de gestión
involucrados
 Definición de
capacidades para el
control y asignación de
responsabilidades
 Diseño del programa
anual de
concientización
 Capacitación en el
control y auditoría del
proceso
AUDITORÍA
INTERNA
Cumplimiento
8-k: Formulario de informe de incidentes materiales
de ciberseguridad a presentar dentro de los cuatro
días hábiles posteriores, una vez determinado que
el incidente de ciberseguridad es material.
6-K: Para emisores privados extranjeros
Regulación S-K, Art. 106: Se requiere describir
procesos para evaluar, identificar y gestionar los
riesgos materiales de las amenazas de
ciberseguridad, incluso como resultado de
incidentes de ciberseguridad anteriores, y la
supervisión de la junta directiva.
10-k: Nuevos informe anual sobre la gestión y estrategia de riesgos
de ciberseguridad, incluidos los procesos de la empresa para
gestionar estas amenazas, indicando si los riesgos de las amenazas
de ciberseguridad han afectado materialmente a la empresa.
También sobre la gobernanza de ciberseguridad de la compañía,
considerando la supervisión por parte de la junta y la gerencia de la
empresa .
20-F: Para emisores privados extranjeros
Abordaje BDO
7
8

20-3-2024
© BDO
IA = Anticipar el Futuro
Hito 2
Aplicación de IA para
la Gestión de Riesgos
Revisión de objetivos
de Tecnología y
Ciberseguridad
Hito 1
Hito 3
Auditoría a la
gestión de
incidentes
Hito 4
Revisión y
actualización de
respuesta
ciberseguridad
Hito 5
Revisión de
continuidad y
resiliencia
Gestión
Continua
Programa de
Protección del
Negocio
Riesgos
corporativos
Riesgos
Ciberseguridad
Incidentes
tecnológicos
 Revisión del plan actual de
negocios y nuevas
necesidades de tecnología
 Verificación de nuevos riesgos
 Descubrimiento de nuevos
riesgos a través de la
combinación de riesgos
históricos y futuros
 Riesgos de la cadena de
suministro
 Mitre Attack
 NIST 800-53 r5
 Nuevos planes de
respuesta a incidentes
 Actualización de
Playbooks
 Actualización y nuevos
controles mitigatorios
Continuidad y
resiliencia
 Evaluación del BCM
sobre la base de
nuevos y futuros
riesgos
 Actualización del
programa de auditoría
interna a los procesos
de gestión
involucrados
 Revisión de
capacidades
necesarias sobre los
nuevos y futuros
riesgos
 Actualización del
programa anual de
concientización
 Capacitación en el
control y auditoría del
proceso actualizado
 Ajustes a la detección
y controles sobre la
base de nuevos y
futuros riesgos
detectados
FASE 2 PREDICTIVA
Nuevos y futuros riesgos
AUDITORÍA
INTERNA
Cumplimiento
Abordaje BDO
© BDO
La SEC demandaa SolarWindsy a su CISOporocultar vulnerabilidadesde ciberseguridad
https://cybersecuritynews.es/la-sec-demanda-a-solarwinds-y-a-su-ciso-por-ocultar-vulnerabilidades-de-ciberseguridad/
A finales de octubre, la SEC acusó a SolarWinds y a su CISO de fraude y fallas internas relacionadas
con el ataque masivo a la cadena de suministro que se descubrió a fines de 2020, que afectó a las
agencias del gobierno federal que utilizaron el software de gestión de TI Orion de SolarWinds.
Para el 2027, dos tercios de las 100 organizaciones globales
extenderán el seguro de directores y funcionarios (D&O) a
los líderes de ciberseguridad debido a la exposición legal
personal.
(Fuente: Gartner)
CIO/CISO
Control Interno Comites de
Auditoría y
Dirección
Accionistas
Form. 10-K/20-F
(Anual)
9
10

20-3-2024
© BDO
De acuerdo con la nueva
normativa, las empresas deben
evaluar y adaptar sus
diferentes controles y
procedimientos de divulgación,
gestión y estructuras de
gobiernoentornoa la
ciberseguridad
 Gobernanza sobre seguridad haciendo foco en las
políticas de ciberseguridad/IT, incluyendo planes
de respuesta frente a incidentes, de recuperación
de desastres y continuidad del negocio.
 Gobernanza de datos efectuando mapeos de
datos y activos.
 Probar con regularidad la efectividad y eficiencia
de los planes de respuesta de incidentes.
 Verificar procedimientos para asegurar la
realización de investigaciones internas.
 Definir las obligaciones del Directorio y del
comité de seguridad.
 Establecer el criterio de materialidad de los
incidentes de ciberseguridad a considerar en
apoyo a la toma de decisión de los accionistas y
futuros inversores.
© BDO
Fabián Descalzo
Socio
fdescalzo@bdoargentina.com
11
12

𝐂𝐨𝐦𝐨 𝐦𝐢𝐧𝐢𝐦𝐢𝐳𝐚𝐫 𝐫𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞𝐥 𝐂𝐈𝐒𝐎 𝐟𝐫𝐞𝐧𝐭𝐞 𝐚 𝐥𝐚 𝐒𝐄𝐂

Recomendados

Recomendados

Más contenido relacionado

Similar a 𝐂𝐨𝐦𝐨 𝐦𝐢𝐧𝐢𝐦𝐢𝐳𝐚𝐫 𝐫𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞𝐥 𝐂𝐈𝐒𝐎 𝐟𝐫𝐞𝐧𝐭𝐞 𝐚 𝐥𝐚 𝐒𝐄𝐂

Similar a 𝐂𝐨𝐦𝐨 𝐦𝐢𝐧𝐢𝐦𝐢𝐳𝐚𝐫 𝐫𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞𝐥 𝐂𝐈𝐒𝐎 𝐟𝐫𝐞𝐧𝐭𝐞 𝐚 𝐥𝐚 𝐒𝐄𝐂 (20)

Más de Fabián Descalzo

Más de Fabián Descalzo (20)

𝐂𝐨𝐦𝐨 𝐦𝐢𝐧𝐢𝐦𝐢𝐳𝐚𝐫 𝐫𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞𝐥 𝐂𝐈𝐒𝐎 𝐟𝐫𝐞𝐧𝐭𝐞 𝐚 𝐥𝐚 𝐒𝐄𝐂