La documentación del consejo reúne información financiera, operaciones corporativas, adquisiciones, remuneraciones, litigios y decisiones estratégicas. Por eso, una cuenta comprometida o un documento enviado al destinatario equivocado puede afectar a toda la empresa.
La ciberseguridad del consejo no es solo una tarea del departamento de sistemas. El presidente, el secretario, la dirección y los consejeros deben saber qué información manejan, quién puede acceder a ella y cómo se responde ante un incidente.
El riesgo tampoco termina cuando se instala una plataforma. La seguridad depende de las personas, los permisos, los dispositivos, los proveedores, las políticas y la capacidad de recuperar la actividad.
Por qué el consejo es un objetivo de alto valor
Los materiales del consejo suelen concentrar información que todavía no se ha publicado. Pueden incluir resultados financieros, operaciones de fusiones y adquisiciones, cambios en la dirección, litigios, planes de inversión y datos sobre empleados o clientes.
Un atacante no necesita acceder a todos los sistemas de la empresa. Una sola cuenta de un consejero, del secretario o de un asistente puede bastar para obtener información sensible.
Vías habituales de exposición
El consejo puede quedar expuesto por varias vías:
- Correos con documentos adjuntos.
- Enlaces reenviados fuera de la organización.
- Cuentas sin autenticación multifactor.
- Dispositivos personales sin protección suficiente.
- Aplicaciones de almacenamiento no autorizadas.
- Reuniones virtuales mal configuradas.
- Proveedores con permisos más amplios de lo necesario.
- Herramientas públicas de inteligencia artificial.
El Cyber Security Priorities for Boards 2025-26 recomienda que los consejos traten la ciberseguridad como un riesgo empresarial y revisen su impacto en la continuidad, la reputación y las obligaciones de la organización.
Papel del consejo
El consejo no debe decidir cada ajuste técnico. Sí debe comprobar que la empresa conoce sus activos críticos, ha asignado responsabilidades y puede explicar qué ocurrirá si un servicio deja de estar disponible.
Asigne responsabilidades antes del incidente
La respuesta se vuelve lenta cuando nadie sabe quién debe decidir. El consejo debe aprobar un marco claro antes de que ocurra una brecha.
Defina quién hace qué
El reparto puede incluir:
- Consejo: supervisa el riesgo, recibe información y revisa las decisiones relevantes.
- Presidente: organiza el debate y confirma que la ciberseguridad tiene espacio en la agenda.
- Secretario: protege la documentación del consejo y coordina el registro de reuniones y decisiones.
- Dirección: asigna recursos y ejecuta el plan de seguridad.
- CISO o responsable de seguridad: identifica amenazas, controles y riesgos pendientes.
- Departamento jurídico y DPO: valoran contratos, obligaciones, privacidad y notificaciones.
- Comunicación: prepara los mensajes para empleados, clientes, inversores y autoridades cuando sea necesario.
Las funciones deben aparecer en el plan de respuesta y revisarse cuando cambia la organización.
Informe al consejo con información útil
Un informe técnico lleno de alertas no ayuda a decidir. El consejo necesita conocer:
- Qué activos o servicios son críticos.
- Qué amenazas tienen mayor impacto.
- Qué controles están activos.
- Qué riesgos siguen abiertos.
- Qué presupuesto y decisiones hacen falta.
- Cuánto tiempo se tardaría en recuperar la actividad.
La información debe conectar el incidente con el negocio. Por ejemplo, horas de indisponibilidad, contratos afectados, operaciones retrasadas y obligaciones de comunicación.
Proteja identidades, dispositivos y documentación
La primera línea de defensa suele ser la cuenta de usuario. Las medidas deben cubrir el acceso de consejeros, secretarios, empleados, asesores y asistentes ocasionales.
Controle las identidades
Cada persona debe usar una cuenta individual. Las cuentas compartidas dificultan saber quién accedió o modificó un documento y complican la retirada de permisos.
Aplique estas reglas:
- Autenticación multifactor para todos los usuarios, especialmente administradores.
- Revisión periódica de permisos.
- Retirada inmediata de accesos que ya no sean necesarios.
- Separación entre cuentas de administración y cuentas de trabajo diario.
- Prohibición de compartir contraseñas.
- Gestión de accesos temporales con fecha de caducidad.
El principio de mínimo privilegio debe aplicarse también a proveedores y asesores externos.
Proteja los documentos del consejo
El correo electrónico y las carpetas personales no ofrecen suficiente control cuando la documentación cambia con frecuencia o incluye información reservada.
Un entorno específico debe permitir:
- Permisos por usuario y por documento.
- Control de versiones.
- Cifrado de las comunicaciones y del almacenamiento.
- Marcas de agua.
- Control de descarga, impresión y reenvío.
- Registro de accesos y modificaciones.
- Búsqueda del histórico de reuniones y documentos.
Revise los dispositivos y las reuniones remotas
Los consejeros deben mantener actualizados sus dispositivos y utilizar bloqueo automático de pantalla. La organización también debe definir qué ocurre si se pierde un teléfono, una tableta o un ordenador.
Para las reuniones remotas, revise la autenticación, los enlaces de acceso, la configuración de grabación y los permisos de los invitados. No todos los asistentes necesitan consultar la documentación completa del consejo.
Controle proveedores, nube e inteligencia artificial
La empresa puede perder control sobre la información cuando la comparte con un proveedor, un despacho, un asesor o una herramienta de IA.
Evalúe a cada proveedor
Antes de contratar o ampliar un servicio, compruebe:
- Qué datos tratará.
- Dónde se almacenan y procesan.
- Qué subencargados intervienen.
- Cómo se controlan los accesos internos.
- Qué evidencias de seguridad puede aportar.
- Cómo comunica los incidentes.
- Cómo devuelve o elimina la información al terminar el contrato.
- Qué opciones existen para recuperar el servicio.
La residencia de datos, la localización y la soberanía jurídica no son conceptos equivalentes. El contrato y la configuración deben reflejar las necesidades reales de la organización
Establezca reglas para la inteligencia artificial
Los consejeros y los equipos de secretaría pueden sentir la tentación de utilizar herramientas públicas para resumir documentos o redactar actas. El riesgo aparece cuando se cargan datos confidenciales sin comprobar qué hace el proveedor con ellos.
La política interna debe definir:
- Qué herramientas están autorizadas.
- Qué información puede procesarse.
- Qué datos no pueden salir del entorno aprobado.
- Quién revisa los resultados.
- Cómo se registran los usos relevantes.
- Qué ocurre si la herramienta genera un resultado incorrecto.
La IA puede ayudar a resumir o preparar un borrador. No debe sustituir el criterio del secretario, la revisión jurídica ni la aprobación del consejo.
Compruebe las certificaciones con contexto
Una certificación aporta información sobre un sistema de controles. No demuestra por sí sola que una organización esté protegida frente a todos los ataques ni que el cliente cumpla automáticamente sus obligaciones.
Antes de utilizar una certificación en una evaluación de proveedor, confirme:
- Norma y versión aplicable.
- Entidad certificada.
- Alcance del certificado.
- Fechas de vigencia.
- Servicios y regiones incluidos.
- Relación con el contrato y la configuración elegida.
Prepare la respuesta y la recuperación
Una organización preparada puede contener un incidente y recuperar la actividad con menos improvisación.
Defina el procedimiento de respuesta
El plan debe incluir:
- Canal para comunicar el incidente.
- Responsable de coordinar la respuesta.
- Criterios para aislar cuentas, dispositivos o sistemas.
- Registro de hechos, decisiones y tiempos.
- Participación de seguridad, jurídico, privacidad y comunicación.
- Evaluación de posibles datos personales afectados.
- Criterios de notificación a autoridades y personas afectadas.
- Revisión posterior y medidas correctoras.
La Guía de la AEPD para la notificación de brechas de datos personales explica cómo valorar y documentar este tipo de incidentes. La notificación a la autoridad procede cuando se cumplen las condiciones previstas por el RGPD.
Pruebe la recuperación
Las copias de seguridad deben protegerse frente a accesos no autorizados y probarse con regularidad. Una copia que nunca se ha restaurado no demuestra que la organización pueda recuperar sus datos.
El consejo debe conocer:
- Qué servicios tienen prioridad.
- Cuánto tiempo puede estar la empresa sin cada servicio.
- Qué datos podrían perderse.
- Quién decide cuándo volver a operar.
- Cuándo se informa al consejo y a la dirección.
Realice ejercicios prácticos
Una simulación anual puede descubrir teléfonos desactualizados, permisos imposibles de revocar o dudas sobre la comunicación externa.
Pruebe al menos estos escenarios:
- Cuenta de un consejero comprometida.
- Filtración de un documento de una operación corporativa.
- Ataque de ransomware que interrumpe el acceso a los materiales.
- Pérdida de un dispositivo con documentación descargada.
Mida la ciberseguridad desde el consejo
El consejo necesita indicadores que permitan detectar tendencias y tomar decisiones. No basta con el número de alertas recibidas.
| INDICADOR | QUÉ PERMITE CONOCER |
| Porcentaje de usuarios con autenticación multifactor | Nivel de protección de las identidades |
| Cuentas con permisos elevados | Exposición por privilegios excesivos |
| Tiempo medio de retirada de accesos | Capacidad de respuesta ante cambios de personal |
| Tiempo de detección de incidentes | Capacidad de identificar una intrusión |
| Tiempo de recuperación | Resiliencia operativa |
| Porcentaje de proveedores evaluados | Control de la cadena de suministro |
| Resultado de simulaciones | Preparación real de la organización |
| Formación completada | Nivel de preparación de usuarios y consejeros |
El consejo debe revisar estos datos con una periodicidad definida y relacionarlos con los riesgos más importantes del negocio.
Cómo puede ayudar un Board Portal
Board Portal de DiliTrust permite preparar reuniones, distribuir documentación, gestionar permisos, compartir anotaciones, registrar asistencia, organizar votaciones y conservar el histórico en un entorno dedicado al consejo.
La plataforma incluye control de acceso por usuario y documento, marcas de agua y registro de actividad. También permite consultar materiales desde dispositivos móviles y sin conexión cuando esta opción está habilitada.
Las funciones de IA pueden generar un borrador de acta a partir de una grabación y una transcripción adjunta, las notas, el orden del día, las votaciones y los documentos de la reunión. Este flujo no realiza la transcripción en directo. El borrador requiere revisión y validación humana.
Según la documentación de seguridad de DiliTrust, la compañía mantiene certificaciones ISO/IEC 27001, ISO/IEC 27701 y SOC 2 Type 2, además de una certificación ENS en España. Antes de utilizar estas referencias, confirme el alcance, la vigencia, el servicio y la región aplicables.
Board Portal ayuda a reducir la dispersión de información y a documentar la actividad del consejo. No sustituye las políticas internas, el plan de respuesta, el libro de actas ni las obligaciones legales de la organización.
Vea cómo centralizar la documentación del consejo sin perder control sobre accesos, versiones y actividad. → Solicite una demostración de Board Portal
