La proliferación de indicadores ESG:
cómo se evalúa la seguridad de la información
Este artículo explica, en relación con los indicadores ESG que proliferan a medida que crece la inversión ESG en todo el mundo, las diferencias entre indicadores en cuanto a objeto y métodos de evaluación, así como los elementos que podrían generalizarse en un futuro próximo. En esta ocasión nos centramos en la «seguridad de la información», que corresponde a la «G» (gobernanza) del ESG.
El avance de la inversión ESG y la complejidad de sus indicadores
Crece en todo el mundo el interés por la inversión ESG, como la financiación verde (green finance) y la financiación de transición (transition finance). La inversión ESG es aquella que «tiene en cuenta no solo la información financiera tradicional, sino también factores ambientales (Environment), sociales (Social) y de gobernanza (Governance)».
Solo entre los más representativos, los indicadores ESG que consultan las principales instituciones de inversión del mundo al elegir las empresas en las que invierten suman decenas, dentro y fuera de Japón, y cada indicador establece decenas de criterios de evaluación o más. Además, el objeto y los métodos de evaluación de los datos ESG difieren según cada agencia de evaluación ESG, y estos criterios de evaluación se actualizan cada año.
Este artículo explica los indicadores ESG relativos a la «seguridad de la información», uno de los principales indicadores de la «G» del ESG. Algunas agencias de evaluación la tratan como parte de la «S» del ESG, desde la perspectiva de la privacidad y la seguridad de la información relativas a clientes y productos, pero este artículo toma como objeto la seguridad de la información en un sentido más amplio y la trata como un tema de la «G».
A medida que aumenta la importancia de la información, uno de los recursos de gestión de una empresa, también se da más relevancia a las iniciativas relativas a su seguridad. En el MSCI ESG Indexes, el indicador que ofrece MSCI, una de las principales agencias de evaluación ESG, «Privacy & Data Security (privacidad y seguridad de los datos)» figura como una de las 35 cuestiones clave del conjunto del ESG (*1). Asimismo, en los ESG Risk Ratings, el indicador que ofrece Sustainalytics, también una de las principales agencias de evaluación, se cita la ciberseguridad como ejemplo de «Manageable Risk Factors (riesgos gestionables)» (*2).
Diferencias en los criterios de evaluación ESG entre las principales agencias de evaluación
En los indicadores ESG que ofrecen las principales agencias de evaluación consultadas en el contexto de la inversión ESG, es frecuente que los criterios de evaluación difieran, incluso para un mismo tema, por las diferencias en el objeto y los métodos de evaluación. A continuación se explican las diferencias en los criterios de evaluación relacionados con la «seguridad de la información» entre las principales agencias de evaluación.
Política de seguridad de la información
La política de seguridad de la información es la política y las pautas de actuación de las medidas de seguridad de la información que aplica una empresa. En general incluye desde las normas de toda la organización, como los reglamentos internos, hasta la idea básica de qué activos de información se protegen, frente a qué amenazas y cómo, la estructura para garantizar la seguridad de la información, las normas operativas, la política básica y los estándares de las medidas (*3).
En primer lugar, la «SAM Corporate Sustainability Assessment (CSA, evaluación de sostenibilidad corporativa)» (en adelante, indicador SAM), que ofrece la división de investigación ESG de RobecoSAM, adquirida en 2020 por S&P Global (*4), trata la política de seguridad de la información en el apartado «IT Security/Cybersecurity Measures (medidas de seguridad informática/ciberseguridad)». En concreto, con el fin de que los empleados sean conscientes de la importancia de la seguridad de la información, evalúa que todos los empleados puedan acceder a la política de seguridad de la información de la empresa (*5).
Por su parte, GRESB (Global Real Estate Sustainability Benchmark) (*6), un indicador ESG creado en 2009 en torno a los principales fondos de pensiones europeos para valorar la consideración de la sostenibilidad en las inmobiliarias y las gestoras de inversión, trata la seguridad de la información en el apartado «ESG Policies», que evalúa si la empresa dispone de políticas en el ámbito ESG. En concreto, como políticas relacionadas con la gobernanza, evalúa que se divulguen las políticas sobre «Cybersecurity (ciberseguridad)» y «Data protection and privacy (protección de datos y privacidad)» (*7).
Formación en seguridad de la información
La formación en seguridad de la información es la que se imparte con el fin de prevenir incidentes de seguridad de la información, dar a conocer la política de seguridad de la propia empresa y mejorar el nivel de conocimientos de los empleados en materia de seguridad (*8).
En primer lugar, el indicador SAM trata la formación en seguridad de la información en el apartado «IT Security/Cybersecurity Measures (medidas de seguridad informática/ciberseguridad)». En concreto, con el fin de que los empleados sean conscientes de la importancia de la seguridad de la información, evalúa que se imparta una «Awareness training (formación de concienciación)» sobre seguridad de la información y ciberseguridad.
Por su parte, el «ISS ESG Corporate Rating» (en adelante, indicador ISS), que ofrece ISS ESG, una de las agencias de evaluación ESG más representativas, también evalúa la formación en seguridad de la información. ISS ESG es la división de inversión responsable de ISS (Institutional Shareholder Services), una empresa de asesoramiento en el ejercicio de derechos de voto, y realiza calificaciones de sostenibilidad (*9). El indicador ISS sostiene que los empleados deberían recibir formación en seguridad de la información al menos una vez al año, y evalúa que la empresa divulgue la realización de esa formación para los empleados y su frecuencia. En particular, otorga la máxima calificación cuando, además, se imparten formaciones reforzadas para empleados especializados en seguridad de la información o formaciones especiales para directivos (*10).
Gobernanza de la seguridad de la información
Según el Comité de Cuestiones Básicas de Seguridad de la Información del Consejo de Estructura Industrial del Ministerio de Economía, Comercio e Industria, la gobernanza de la seguridad de la información se define como la construcción y operación, con el fin de gestionar los riesgos relacionados con los activos de información, de un mecanismo para que la concienciación, las iniciativas y las actividades operativas en materia de seguridad de la información se apliquen a fondo en toda la organización (*11). Varias de las principales agencias de evaluación ESG establecen criterios de evaluación sobre la alta dirección de la empresa, incluidos los consejeros.
El indicador SAM trata la gobernanza de la seguridad de la información en el apartado «IT Security/Cybersecurity Governance (seguridad informática/gobernanza de la ciberseguridad)». En concreto, evalúa que existan consejeros y directivos ejecutivos que participen en la estrategia de ciberseguridad. En particular, en el caso de los consejeros, los criterios de evaluación incluyen también si tienen o no experiencia relacionada con la seguridad de la información.
Por su parte, el indicador ISS trata la gobernanza de la seguridad de la información en el apartado «Information Security Risk Oversight (supervisión de los riesgos de seguridad de la información)», a lo largo de los tres criterios siguientes, que incluyen la trayectoria de los consejeros.
① Proporción de consejeros externos
Partiendo de la idea de que el consejo de administración debe tener una función de supervisión de la gestión de la seguridad de la información en la empresa, ISS ESG evalúa la proporción de consejeros externos independientes que cumplen los criterios propios de ISS entre los consejeros que participan en la seguridad de la información.
② Temas tratados en el consejo de administración
Partiendo de la idea de que, desde la perspectiva de la supervisión, debe recibirse información periódica sobre seguridad de la información, ISS ESG evalúa la frecuencia con la que el consejo de administración aborda temas de seguridad de la información. Además, otorga la máxima calificación cuando esa frecuencia es de varias veces al año.
③ Trayectoria de los consejeros
ISS ESG evalúa el número de consejeros encargados de identificar, mitigar y gestionar los riesgos de seguridad de la información. En este criterio se incluyen los consejeros cuando la empresa divulga sus competencias y experiencia, o cuando su experiencia actual o pasada está relacionada con competencias en seguridad de la información.
Certificación de terceros
La certificación de terceros es aquella en la que un organismo externo, ajeno a la organización, realiza la auditoría y la aprobación, y por su imparcialidad y objetividad cabe esperar que aumente la confianza externa (*12).
Como certificaciones representativas se citan ISO27001 y la Marca de Privacidad (Privacy Mark). ISO27001 es la norma internacional relativa al SGSI (Information Security Management System, sistema de gestión de seguridad de la información) y abarca todos los activos de información (*13). Por su parte, la Marca de Privacidad es una certificación que se concede a las empresas que han establecido un sistema de protección de datos personales conforme a la norma «JIS Q 15001 Sistemas de gestión de la protección de la información personal – Requisitos» (*14), y abarca la información personal en general (*15).
Para obtener la certificación ISO27001 es necesario cubrir el ciclo PDCA de la gestión de la seguridad de la información. El PDCA se compone de Plan (determinación del alcance de aplicación, elaboración de la política de seguridad de la información y de los procedimientos de aplicación de medidas, y evaluación de riesgos), Do (operación del sistema y formación sobre el alcance de aplicación), Check (supervisión y medición por organismos externos y auditoría interna) y Action (medidas correctivas y mejora continua) (*16).
El indicador SAM evalúa desde dos perspectivas: la certificación y la auditoría. Desde la perspectiva de la certificación, evalúa que se haya obtenido ISO27001, NIST (National Institute of Standards and Technology, Instituto Nacional de Estándares y Tecnología de Estados Unidos) o una certificación de terceros equivalente. NIST es un organismo de normas sobre ciberseguridad y, desde 2014, ofrece un marco denominado NIST CSF (Cyber Security Framework) (*17). Además, desde la perspectiva de la auditoría, evalúa que, además de la auditoría de seguridad de la información por un organismo externo, se realice un análisis de vulnerabilidades por terceros que incluya ciberataques simulados.
Por su parte, el indicador ISS evalúa que se disponga de una auditoría FedRAMP (Federal Risk and Authorization Management Program, programa federal de gestión de riesgos y autorizaciones) o SOC2, o de la certificación ISO27001, FISMA (Federal Information Security Management Act, ley federal de gestión de la seguridad de la información) o HITRUST (Health Information Trust Alliance) en los sectores relacionados. ISS otorga la máxima calificación cuando el alcance de estas auditorías y certificaciones abarca toda la empresa, y una calificación parcial cuando se limita a determinados segmentos o regiones. FedRAMP es una guía unificada de evaluación y certificación de seguridad de los servicios en la nube que adopta el gobierno de Estados Unidos (*18). Por su parte, SOC2 forma parte del marco SOCR (Service Organization Control Reporting, informes SOC) de informes de aseguramiento sobre el control interno y la ciberseguridad de las empresas subcontratadas, y ha sido establecido por el Instituto Estadounidense de Contadores Públicos Certificados (*19). FISMA establece requisitos importantes sobre seguridad de la información, como la obligación de que cada agencia del gobierno federal desarrolle, documente y aplique programas de refuerzo de la seguridad de la información (*20). Y HITRUST es una organización gestionada por representantes del sector sanitario que crea y mantiene el CSF (Common Security Framework), un marco de seguridad y cumplimiento (compliance) para organizaciones y proveedores sanitarios (*21).
Criterios de evaluación ESG avanzados que podrían extenderse en un futuro próximo
Entre los indicadores ESG relacionados con la seguridad de la información, algunos solo han sido introducidos por el momento por determinadas agencias de evaluación. Se trata de indicadores avanzados, y debe tenerse en cuenta la posibilidad de que se introduzcan en un futuro próximo.
Respuesta a incidentes
Un incidente de seguridad de la información es un accidente o ataque contra la seguridad de la información, que incluye, además de los ciberataques externos, como la infección por malware y el acceso no autorizado a ordenadores, la fuga de información por irregularidades de los empleados y los accidentes por desastres naturales o fallos de los equipos (*22).
El indicador SAM evalúa, en el apartado «Incident response (respuesta a incidentes)», que existan medidas ejecutables frente a los incidentes de seguridad de la información y que estas se sometan a pruebas. En concreto, evalúa tomando como base la frecuencia de las pruebas, y la realización de dos o más al año da lugar a la máxima calificación.
Brechas de seguridad de la información
El indicador ISS trata las brechas de seguridad de la información a lo largo de los cinco criterios siguientes.
① Importe de los daños por la brecha
Evalúa la gravedad del daño de la brecha de seguridad de la información según la magnitud del importe de los daños en relación con las ventas.
② Divulgación de información sobre la brecha
Respecto a las empresas que han sufrido una brecha de seguridad de la información en los últimos tres años, evalúa el nivel de divulgación de información sobre ese suceso.
③ Multas y acuerdos extrajudiciales derivados de la brecha
Evalúa la gravedad de las consecuencias derivadas de la brecha de seguridad de la información según la magnitud de las multas y los importes de acuerdos extrajudiciales en relación con las ventas.
④ Contratación de seguros contra brechas
Evalúa que la empresa haya contratado un seguro relativo a las brechas de seguridad de la información. Estas coberturas suelen cubrir la responsabilidad por daños y los costes de respuesta a los incidentes, entre otros (*23).
⑤ Periodo sin brechas
Evalúa, en meses, el periodo transcurrido desde la última brecha de seguridad de la información.
Otros criterios de evaluación ESG en fase de debate y estudio
A continuación se presentan temas cuyo debate avanza en el contexto de la seguridad de la información. Aunque actualmente no han sido introducidos por las agencias de evaluación ESG, podrían pasar a formar parte de los criterios de evaluación de la seguridad de la información en el futuro.
CISO (Chief Information Security Officer, director de seguridad de la información)
El CISO es el responsable que, dentro de una empresa u organización, se encarga de la gestión de la información y su operación y dirige la seguridad de la información (*24). En el apartado anterior, «Gobernanza de la seguridad de la información», se explicaron los criterios de evaluación sobre la alta dirección en materia de seguridad de la información, pero todavía no se ha mencionado la evaluación del propio CISO.
Por otra parte, según la «Encuesta sobre la situación real de los CISO y los CSIRT de las empresas» publicada por IPA, el 64,3 % de las empresas en Japón, el 78,8 % en Estados Unidos y el 85,0 % en Europa han nombrado un CISO, y esta cifra tiende a aumentar.
Antes se veían casos en los que el departamento de sistemas de información o el CIO (Chief Information Officer, director de información) lideraban las medidas de seguridad de la información, pero para aplicar medidas eficaces es cada vez más importante la figura del CISO, que conecta de forma transversal los departamentos, como el de desarrollo y los usuarios de los sistemas internos, y extiende las iniciativas a toda la empresa (*25).
Riesgos de seguridad en la cadena de suministro
A medida que avanza en muchos ámbitos la división del trabajo a escala mundial, el riesgo de la cadena de suministro es el nuevo riesgo que surge de la participación de numerosas empresas de regiones diversas en la producción, entre otras actividades (*26).
En las «10 principales amenazas a la seguridad de la información 2021» de IPA (Information-Technology Promotion Agency, Agencia de Promoción de las Tecnologías de la Información), figura en el cuarto puesto de las amenazas para las empresas el «aumento de los ataques que aprovechan los puntos débiles de la cadena de suministro» (*27).
Por otra parte, según la «Encuesta sobre la situación real de los CISO y la promoción de medidas de seguridad en las empresas», realizada también por IPA en 2020, las medidas de seguridad en la cadena de suministro se limitan en muchas empresas a «añadir requisitos de seguridad a las cláusulas contractuales», y son pocas las empresas que aplican medidas realmente eficaces, como la «gestión de los subcontratistas mediante listas de verificación» o las «medidas técnicas» (*28).
Mientras aumenta la comprensión de los riesgos de seguridad de la cadena de suministro, muchas empresas tienen medidas insuficientes, por lo que, dada su importancia, puede decirse que este aspecto podrían incorporarse a los indicadores ESG.
Para convertir de forma eficiente la información ESG en un aumento del valor corporativo
Como se ha visto en este artículo, es importante conocer las divergencias entre los indicadores ESG existentes y los indicadores ESG avanzados. Además, seguramente son muchas las empresas que desean, mediante la gestión ESG y la inversión, aumentar las oportunidades de elevar su valor corporativo o reducir los riesgos que lo dañan. Entonces, ¿cómo se pueden aprovechar esas oportunidades y reducir esos riesgos?
En primer lugar, es fundamental comprender correctamente esas oportunidades y riesgos. Sin embargo, para lograr una comprensión correcta, desde la perspectiva del beneficio a largo plazo, es necesario comparar y analizar numerosos datos ESG, no solo de la propia empresa, sino también de otras empresas y otros sectores.
Por otra parte, solo entre los indicadores ESG más representativos hay decenas, dentro y fuera de Japón, y cada indicador establece decenas de criterios de evaluación o más. Además, los criterios de estos indicadores se actualizan cada año. Por ello, para muchas empresas no resulta fácil seguir comprendiendo de forma sistemática y «amplia» las tendencias ESG nacionales e internacionales y los riesgos y oportunidades empresariales que de ellas se derivan para la propia empresa.
Además, el análisis «profundo», que consiste en relacionar las tendencias e indicadores ESG identificados con los datos de negocio de la propia empresa, examinarlos de forma cuantitativa y vincularlos con la estrategia empresarial, también requiere mucho procesamiento de datos y mucho esfuerzo. Incluso si se mira un solo elemento, la «G» de los índices ESG, existen diversos indicadores y métodos de cálculo, y el análisis está estructurado de forma compleja.
Para llevar a cabo de forma eficiente estos enfoques de análisis «amplio» y «profundo», resulta mucho más eficiente y eficaz que los realice un equipo de especialistas que concentre el know-how, en lugar de que cada empresa investigue y responda por su cuenta, ya que se reducen los pasos innecesarios y, además, se ejecutan más rápido los mismos pasos.
En este artículo hemos presentado un solo caso de tendencia ESG, pero cuoncrop ofrece servicios como el «Diagnóstico 360° de la gestión ESG/ODS y apoyo a la mejora», que, con un equipo de especialistas en análisis de datos de gestión ESG integrado principalmente por profesionales procedentes de firmas extranjeras de consultoría estratégica y con un know-how de análisis propio que incluye la IA, ayuda a comprender y mejorar el nivel de actividad ESG necesario y suficiente para que cada empresa sea «elegida».
Es un servicio que pueden utilizar no solo las empresas que ya cuentan con un equipo de análisis de gestión ESG y ya impulsan la gestión ESG, con el fin de hacer más eficiente su análisis, sino también las empresas de tamaño relativamente pequeño que actualmente no tienen un equipo de análisis de gestión ESG, pero sienten la necesidad de orientarse hacia la gestión ESG en el futuro. Si su empresa está interesada en un enfoque de análisis científico y eficiente para acelerar de forma eficaz la gestión ESG, no dude en ponerse en contacto con cuoncrop.
División de Investigación de Tendencias Globales ESG de cuoncrop
*1
*2
https://www.sustainalytics.com/esg-data
*3
https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/executive/04-2.html
*4
https://www.jpx.co.jp/corporate/sustainability/esgknowledgehub/esg-rating/04.html
*5
https://portal.csa.spglobal.com/survey/documents/SAM_CSA_Companion.pdf
*6
https://www.dbj.jp/sustainability/collaboration/initiative/gresb.html
*7
*8
https://smbiz.asahi.com/article/14360158
*9
https://www.bridgestone.co.jp/corporate/news/2021043001.html
*10
https://www.issgovernance.com/file/products/qualityscore-techdoc.pdf
*11
https://www.meti.go.jp/policy/netsecurity/downloadfiles/securty_gov_guidelines.pdf
*12
https://cybersecurity-jp.com/column/35915
*13
https://www.jqa.jp/service_list/management/service/iso27001/
*14
https://privacymark.jp/system/about/outline_and_purpose.html
*15
https://cybersecurity-jp.com/column/35915
*16
https://www.jqa.jp/service_list/management/service/iso27001/
*17
https://www.manageengine.jp/solutions/nist_publications/nist_csf/lp/
*18
https://www.newton-consulting.co.jp/itilnavi/guideline/fedramp.html
*19
https://www.newton-consulting.co.jp/itilnavi/column/cloud_security_guideline.html#contents2
*20
https://www.ipa.go.jp/security/publications/nist/fisma.html
*21
https://docs.microsoft.com/ja-jp/compliance/regulatory/offering-hitrust
*22
https://www.lrm.jp/security_magazine/about_is-incident/
*23
https://www.tokiomarine-nichido.co.jp/hojin/baiseki/cyber/
*24
https://www.lrm.jp/security_magazine/ciso/
*25
https://yamory.io/blog/ciso-in-the-organization/
*26
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r02/html/nd134410.html
*27
https://www.ipa.go.jp/security/vuln/10threats2021.html
*28