Banco Santander, Ferrovial, Enagas, Mapfre y Naturgy son las empresas del IBEX más transparentes en ciberseguridad

La ciberseguridad ya es uno de los objetivos prioritarios dentro de la gestión de riesgos de las empresas del IBEX 35, y así lo reflejan estas compañías en sus memorias de información no financiera correspondientes a 2021, en las que se recoge una mayor sensibilización y preocupación por estos riesgos que en el ejercicio precedente.

Además, la mayoría menciona expresamente el incremento de las partidas de gasto en medidas de ciberprotección, incluida la contratación de seguros de ciberriesgo.

Así se pone de manifiesto en el ‘II Informe de transparencia en la información sobre ciberseguridad en las empresas del IBEX 35’, elaborado por Watch&Act Protection Services.

Este documento no analiza las medidas técnicas de ciberseguridad adoptadas por las compañías ni su efectividad, sino que se centra en cómo informan sobre ellas a sus grupos de interés (accionistas, clientes, empleados, proveedores, etc.).

Tomando como referencia la norma internacional ISO 27001 de requisitos de sistemas de gestión de la seguridad de la información, y a partir de 10 criterios y una escala de puntuación agregada, el documento recoge el II Ranking del IBEX 35 en transparencia en la información sobre cómo se protegen de los datos sensibles de sus grupos de interés, y cómo se garantiza la integridad, confidencialidad y accesibilidad de la información.

“Las grandes empresas son cada vez más conscientes de los peligros cibernéticos. Un reciente informe de Hiscox recoge que el coste económico de los ataques informáticos para las empresas españolas se ha duplicado en el último año, superando de media los 105.000 euros. De ahí que se haya registrado un incremento del 60% en la inversión media en ciberseguridad“, explica Javier Huergo, responsable de Watch&Act Protection Services y coautor del informe.

“Estamos viendo, además, cómo cada vez más los comités de dirección se implican de forma directa en el establecimiento de estrategias en materia de ciberseguridad. Pero todo esto hay que contarlo, y no todas las organizaciones se toman igual de en serio su compromiso con la transparencia en este sentido”, añade.

En la primera columna se encuentran las compañías que proporcionan una información amplia, clara y transparente en materia de ciberseguridad. En esta edición lideran el ranking Banco Santander, Ferrovial, Enagas, Mapfre y Naturgy. Completan el top 10 Sacyr, Telefónica, AENA, Fluidra e Iberdrola.

En la segunda columna se sitúan aquellas que han mejorado sustancialmente pero se echa en falta mayor información sobre la estrategia, medidas, certificaciones y auditorías llevadas a cabo a lo largo del año. Aquí tenemos a Amadeus, Caixabank, Repsol, BBVA, Red Eléctrica, Inditex, Bankinter, Endesa, Indra, Acciona, Acciona Energía, Banco Sabadell, IAG y Meliá.

Por último, en la tercera columna repiten en su gran mayoría las mismas empresas que en la anterior edición, que tienen todavía un amplio margen de mejora a la hora de informar de todo lo que están haciendo para evitar los riesgos y efectos negativos de un ciberataque. Los ‘farorillos rojos’ son Grifols, ACS, Merlin Properties, Solaria, Pharmamar, Cellnex, Siemens Gamesa, Colonial, Rovi, Acerinox y ArcelorMital.

Finanzas y seguros, las más transparentes

Por sectores económicos, según la media de las puntuaciones obtenidas por las respectivas empresas, el mayor grado de transparencia se encuentra en los servicios financieros y seguros, que ascienden este año a la primera posición desde la tercera registrada en la edición anterior.

Les siguen los servicios de consumo, que repiten en segunda posición, y el sector energético, que asciende del quinto al tercer puesto. Las telecomunicaciones, sin embargo, pasan de liderar el ranking en 2020 a la cuarta posición en 2021. La construcción asciende una posición hasta el quinto puesto, y repite en posición de cola el sector inmobiliario.

Los criterios que han obtenido una mayor valoración agregada por las 35 empresas del IBEX, es decir, aquellos de los que más ampliamente se informa en los informes de información no financiera, son, en este orden: el liderazgo de la alta dirección respecto al sistema de gestión de la ciberseguridad; la concienciación y formación en esta materia a los empleados; la gestión de los riesgos de ciberseguridad por parte de la comisión de riesgos, que reporta a la alta dirección; el cumplimiento de las obligaciones legales relativas a la seguridad de la información; y el establecimiento de una política de ciberseguridad con procedimientos y protocolos de actuación accesible a través de la web corporativa.

“Es muy destacable cómo la alta dirección se ha implicado en gran medida en la gestión directa de los riesgos de la ciberseguridad, formando parte de distintos comités para abordar y liderar una estrategia eficaz para evitarlos. Y también cómo ha trasladado la innegable necesidad de proporcionar formación en materia de ciberseguridad a todo el personal de la empresa, empezando por ellos mismos”, sostiene Javier Silva, ingeniero de procesos, senior advisor de Watch&Act y coautor del informe.