{"id":6969,"date":"2021-09-21T15:08:15","date_gmt":"2021-09-21T15:08:15","guid":{"rendered":"https:\/\/miranda-partners.com\/?p=6969"},"modified":"2021-09-21T15:26:01","modified_gmt":"2021-09-21T15:26:01","slug":"el-rol-de-ri-en-seguridad-cibernetica-e-informacion-falsa","status":"publish","type":"post","link":"https:\/\/miranda-partners.com\/es\/irs-role-in-cyber-security-and-disinformation\/","title":{"rendered":"El rol de RI en seguridad cibern\u00e9tica e informaci\u00f3n falsa"},"content":{"rendered":"

Los ataques cibern\u00e9ticos y las campa\u00f1as de informaci\u00f3n falsa se est\u00e1n volviendo cada vez m\u00e1s comunes y destructivos. Los inversionistas y reguladores (incluyendo la SEC) han ca\u00eddo en cuenta de esto, por lo que ahora demandan mayor transparencia por parte de las compa\u00f1\u00edas p\u00fablicas. Los\u00a0CEO<\/em>s tambi\u00e9n est\u00e1n preocupados, seg\u00fan una encuesta de\u00a0IR Magazine<\/a>, el 69% en Norteam\u00e9rica dijo que la seguridad cibern\u00e9tica es la mayor amenaza para las organizaciones (un aumento de 19 puntos porcentuales en comparaci\u00f3n con el a\u00f1o pasado), y la preocupaci\u00f3n con respecto a informaci\u00f3n falsa aument\u00f3 de 16% a 28%. En el blog de esta semana discutiremos algunos ejemplos recientes de campa\u00f1as de informaci\u00f3n falsa, ataques de seguridad cibern\u00e9tica y el rol de RI en prevenci\u00f3n y\u00a0disclosure.<\/em><\/p>

\u00a0<\/p>

Multas de la SEC por ataques cibern\u00e9ticos – Pearson PLC y First American Financial Corp.<\/strong><\/p>

Durante este verano hubo dos ejemplos de grandes compensaciones y multas relacionadas a incumplimientos y su divulgaci\u00f3n deficiente. Esto es indicativo de que la SEC est\u00e1 tomando con mayor seriedad el fallo en divulgaci\u00f3n de problemas de seguridad cibern\u00e9tica, pues podr\u00edan tener impacto material en la compa\u00f1\u00eda.<\/p>

First American Financial (una compa\u00f1\u00eda de servicios de bienes ra\u00edces) pag\u00f3 una multa de $500 mil d\u00f3lares por falta de\u00a0disclosure<\/em>\u00a0despu\u00e9s de que un fallo en el sistema expuso 800 millones de im\u00e1genes, incluyendo n\u00fameros de seguridad social e informaci\u00f3n financiera confidencial. Esta fue la primera vez que la SEC se involucr\u00f3 directamente en los asuntos internos de seguridad cibern\u00e9tica de una compa\u00f1\u00eda.<\/p>

Pearson PLC (una compa\u00f1\u00eda editorial brit\u00e1nica) acord\u00f3 pagar $1 mill\u00f3n de d\u00f3lares a la SEC como compensaci\u00f3n por enga\u00f1ar a los inversionistas despu\u00e9s de que un incidente de seguridad cibern\u00e9tica en el 2018 resultara en el robo de millones de expedientes de estudiantes. Pearson recalc\u00f3 tener \u201cestrictas medidas de protecci\u00f3n\u201d establecidas, pero la SEC se\u00f1al\u00f3 el error que cometieron al actuar seis meses despu\u00e9s de haberse notificado el fallo. En 2019 informaron en su reporte anual que la violaci\u00f3n de informaci\u00f3n pudo haber incluido fechas de nacimiento y correos electr\u00f3nicos, aunque en ese momento sab\u00edan que los expedientes hab\u00edan sido robados.<\/p>

Los casos de First American y Pearson muestran que la SEC (y por lo tanto, otros reguladores alrededor del mundo) est\u00e1n tomando con mayor seriedad los asuntos de seguridad cibern\u00e9tica. En marzo de este a\u00f1o el Presidente Biden incluso declar\u00f3 la seguridad cibern\u00e9tica como una de las prioridades m\u00e1s relevantes para la seguridad nacional. Por lo mismo, los equipos de RI deben asegurar flujos de informaci\u00f3n adecuados para que los ejecutivos est\u00e9n enterados de los incumplimientos de seguridad y el\u00a0disclosure<\/em>\u00a0que pudieran requerir, aparte de confirmar que los ejecutivos entiendan las posibles consecuencias de pr\u00e1cticas de divulgaci\u00f3n deficientes. Adicionalmente, los\u00a0IRO<\/em>s deben estar preparados para contestar detalladamente las preguntas de los inversionistas y analistas acerca de las medidas de seguridad de la compa\u00f1\u00eda, aparte de que las compa\u00f1\u00edas e inversionistas deben estar al tanto del peligro de la informaci\u00f3n falsa.<\/p>

\u00a0<\/p>

Informaci\u00f3n Falsa – Walmart y Litecoin<\/strong><\/p>

El pasado lunes se public\u00f3 un comunicado falso asegurando que Walmart aceptar\u00eda Litecoin como m\u00e9todo de pago, causando que el precio de Litecoin subiera alrededor de 30%, de $175 a $230 d\u00f3lares. Esto fue un ejemplo cl\u00e1sico de estafa, los involucrados en el fraude probablemente ten\u00edan Litecoin, publicaron el comunicado y vendieron por completo cuando el precio se aproximaba al m\u00e1ximo, antes de que el mercado se diera cuenta.<\/p>

Lo m\u00e1s impresionante, y la lecci\u00f3n para los\u00a0IRO<\/em>s y las compa\u00f1\u00edas, es que la publicaci\u00f3n del falso comunicado pas\u00f3 desapercibido por varias organizaciones importantes que debieron darse cuenta. A pesar de que conten\u00eda \u201cdeclaraciones\u201d del\u00a0CEO\u00a0<\/em>de Walmart, Dough McMillion y el creador de Litecoin, Charlie Lee, hab\u00eda varias pistas que levantaban sospecha; el contacto de correo electr\u00f3nico no era de un sitio autorizado por Walmart \u201cwalmart-corp.com<\/a>\u201d, el contacto de prensa no aplica en la divisi\u00f3n de\u00a0media<\/em>\u00a0de Walmart, normalmente utilizan Business Wire en lugar de GlobeNewswire, y Litecoin no es una de las criptomonedas m\u00e1s populares, por lo que ser\u00eda una elecci\u00f3n extra\u00f1a para Walmart.<\/p>

Sin embargo, fue publicado en GlobeNewswire, as\u00ed como en plataformas como Bloomberg y Reuters, y tuvo\u00a0tweets<\/em>\u00a0de Litecoin Foundation. Walmart finalmente cay\u00f3 en cuenta cuando reporteros marcaron para confirmar la noticia y obtener mayor detalle. GlobalNewswire recalc\u00f3 que implementar\u00e1n \u201cpasos de autenticaci\u00f3n reforzados para evitar que se repita este incidente en el futuro\u201d. El caso seguramente dar\u00e1 paso a una investigaci\u00f3n de la SEC y potencialmente a regulaci\u00f3n adicional para criptomonedas.<\/p>

Otro ejemplo sucedi\u00f3 el a\u00f1o pasado, cuando Kansas City Southern fue sujeto de un reporte falso en un sitio web desconocido llamado \u201cEl Negocio\u201d, afirmando que Blackstone y GIP aumentaron sus ofertas para comprar la compa\u00f1\u00eda. La noticia fue tomada por Bloomberg, la acci\u00f3n subi\u00f3 de forma importante y luego baj\u00f3 cuando se desminti\u00f3 la historia.<\/p>

Adem\u00e1s de amenazas de seguridad cibern\u00e9tica, las compa\u00f1\u00edas deben tener sistemas establecidos para detectar campa\u00f1as de informaci\u00f3n falsa y los\u00a0IRO<\/em>s deben estar preparados para responder las preguntas de los inversionistas.<\/p>

\u00a0<\/p>

El rol de RI<\/strong><\/p>

Los departamentos de RI tienen un rol vital de asegurar que las compa\u00f1\u00edas cuenten con pr\u00e1cticas de divulgaci\u00f3n adecuadas y precisas, en este caso con respecto a ataques cibern\u00e9ticos, adem\u00e1s de atender las preocupaciones de los inversionistas sobre las medidas de seguridad e informaci\u00f3n falsa. La transparencia y discusi\u00f3n resultante que tengan los equipos de RI con los inversionistas asegurar\u00e1 que las medidas de seguridad est\u00e9n al nivel de los est\u00e1ndares m\u00e1s actuales.\u00a0Harvard Business Review<\/a>\u00a0public\u00f3 una serie de recomendaciones para operar adecuadamente dentro de un ambiente con estrictas regulaciones:<\/p>

  1. Crear un comit\u00e9 de\u00a0disclosure<\/em>\u00a0con empleados de nivel\u00a0senior<\/em>:\u00a0<\/strong>realizar encuestas trimestralmente acerca de todas las \u00e1reas de la compa\u00f1\u00eda, incluyendo seguridad cibern\u00e9tica, para determinar los temas que deben ser divulgados a ejecutivos\u00a0senior<\/em>\u00a0y reguladores potenciales como la SEC.<\/li>
  2. Divulgar tan r\u00e1pido como sea posible:<\/strong>\u00a0en el caso de First American Financial, les tom\u00f3 seis meses actuar desde el momento en que el equipo de seguridad de informaci\u00f3n cay\u00f3 en cuenta sobre el fallo y la divulgaci\u00f3n p\u00fablica. Hay que asegurar que la compa\u00f1\u00eda cuente con un flujo de informaci\u00f3n que priorice los incidentes de seguridad, as\u00ed como aclarar que los ejecutivos tambi\u00e9n son responsables sobre la divulgaci\u00f3n de acuerdo a sus respectivos reguladores. En ocasiones, se deber\u00e1 informar antes de que se comprenda por completo el incidente, y la informaci\u00f3n se puede actualizar mientras progresa la situaci\u00f3n. First American hubiera tenido una menor penalizaci\u00f3n si hubieran informado sobre el incidente de inmediato.<\/li>
  3. Evaluar riesgos:<\/strong>\u00a0entender cu\u00e1les son los activos de la compa\u00f1\u00eda y su importancia en las operaciones del negocio, as\u00ed como su exposici\u00f3n al riesgo, para priorizar acciones.<\/li>
  4. Actualizaciones regulares a ejecutivos:<\/strong>\u00a0Dar actualizaciones regulares a ejecutivos de alto nivel, as\u00ed como escenarios del nivel de riesgo y nuevos desarrollos dentro de la seguridad cibern\u00e9tica.<\/li><\/ol>

    \u00a0<\/p>

    Adicional a estas recomendaciones, es clave poder negar una historia falsa r\u00e1pidamente a trav\u00e9s de plataformas como Bloomberg y Reuters, en caso de que las personas involucradas en el fraude o estafa est\u00e9n manipulando la informaci\u00f3n. Adem\u00e1s, antes de creer una historia o comunicado, especialmente aquellos que parezcan sospechosos, se debe checar dos veces antes de actuar con base en la informaci\u00f3n, independientemente de la fuente.<\/p>

    \u00a0<\/strong><\/p>

    C\u00f3mo puede ayudar Miranda IR<\/strong><\/p>

    Miranda IR<\/a>\u00a0estar\u00e1 feliz de asesorarlos con todos sus requerimientos de RI, incluyendo estrategia de divulgaci\u00f3n, redacci\u00f3n y difusi\u00f3n.<\/p>

    \u00a0<\/strong><\/p>

    Fuentes<\/strong><\/p>