Informes ESG carecen de transparencia en ciberseguridad, advierten expertos

La brecha de ciberseguridad en los informes ESG corporativos

Mientras las empresas se apresuran a mostrar sus avances en ambiental, social y gobernanza (ESG), los profesionales de ciberseguridad alertan sobre la falta de divulgaciones sustanciales sobre riesgos digitales en estos informes. Los recientes informes ESG 2024 del fabricante tecnológico TCL y del líder en paneles solares JA Solar ejemplifican esta creciente preocupación.

Compromisos superficiales, profundidad ausente

El informe ESG 2024 de TCL Technology destaca logros en adopción de energías renovables (34% de reducción en intensidad de carbono) y prácticas laborales, mientras JA Solar enfatiza su adopción temprana de las directrices del International Sustainability Standards Board (ISSB). Sin embargo, ambos informes tratan la ciberseguridad como una casilla de verificación más que como prioridad estratégica.

'Mantenemos la certificación ISO 27001 y realizamos pruebas de penetración periódicas', afirma el documento de 128 páginas de TCL, sin especificar frecuencia de pruebas, tasas de remediación o cómo se integran los riesgos cibernéticos en la gestión de riesgos empresariales. Este tratamiento superficial contrasta con métricas ambientales detalladas como tasas de reciclaje de agua.

La paradoja ISSB en ciberseguridad

El informe de JA Solar se posiciona como pionero en implementación ISSB, pero la ciberseguridad solo aparece en el contexto de 'protección de datos de stakeholders', no como imperativo de sostenibilidad. Esto refleja un patrón más amplio: 78% de empresas del S&P 500 mencionan ciberseguridad en informes ESG, pero solo 12% divulgan tiempos de respuesta a incidentes (Índice de Transparencia ESG Deloitte 2024).

'El estándar IFRS S2 del ISSB incluye explícitamente ciberseguridad en gobernanza', señala la Dra. Elena Rodríguez del Cybersecurity Policy Institute. 'Al omitir métricas medibles mientras afirman alineación ISSB, las empresas malinterpretan el marco o reportan selectivamente.'

Crece la presión regulatoria

Los reguladores globales están actuando. Las nuevas reglas de la SEC estadounidense exigirán divulgar incidentes cibernéticos materiales en informes ESG, mientras la Directiva de Informes de Sostenibilidad Corporativa (CSRD) de la UE ahora requiere 'procesos para identificar, evaluar y gestionar riesgos de seguridad digital'.

Recomendaciones clave:

1. Adoptar el enfoque por niveles del Marco NIST para informes ESG
2. Divulgar supervisión de riesgos cibernéticos a nivel directivo y operativo
3. Cuantificar inversiones en seguridad para migraciones a la nube vinculadas a proyectos sostenibles

Hasta que los informes ESG traten la ciberseguridad con el mismo rigor que las emisiones de carbono, críticos argumentan que presentan una imagen incompleta de la resiliencia organizacional en la era digital.