Así como los ciberdelincuentes ven una oportunidad para irrumpir los sistemas, los CISO tienen la oportunidad de desempeñar un papel más importante a nivel ejecutivo. Debido a la llegada del covid han aumentado los ciberataques, especialmente los de tipo ransomware, esto se debe a que las empresas están apresuradas por la pandemia a transformar digitalmente las organizaciones olvidándose de un factor muy importante, el cual es la “CIBERSEGURIDAD”.
Pero te estarás preguntando…¿Qué son los CISO?
Chief Information Security Officer u Oficial Jefe de Seguridad de la Información, forman parte de los conocidos C-Level de grandes y medianas organizaciones. Estos se encargan de supervisar los aspectos estratégicos, operativos y presupuestarios de la gestión y protección de los datos. También gestionan equipos de analistas informáticos, especialistas en seguridad de la información y profesionales comparables para identificar, neutralizar y eliminar las amenazas.
Responsabilidades de un CISO
Las responsabilidades de un CISO pueden extenderse a los siguientes dominios funcionales de la organización:
- Operaciones de seguridad de un extremo a otro: Un CISO debe contribuir al diseño y aprobación de una estrategia de seguridad integral. La estrategia tendrá en cuenta el ciclo de vida de un extremo a otro de las operaciones de seguridad de la información, que incluyen:
-
- Evaluación del panorama de amenazas de TI
- Diseñar políticas y controles para reducir el riesgo
- Iniciativas líderes en auditoría y cumplimiento
- Cumplimiento: El CISO debe asegurarse de que su organización se adapte a las regulaciones de cumplimiento en evolución. Esto es especialmente crucial para las organizaciones globales que deben cumplir con una variedad de regulaciones diferentes, y el incumplimiento puede tener un costo significativo; un ejemplo es el GDPR.
- Gestión de recursos humanos: Las responsabilidades comienzan con el establecimiento de los criterios y el mecanismo adecuados para contratar empleados con conocimiento y conciencia de los riesgos de seguridad que enfrentan en su rutina de trabajo diaria. Estos incluyen, entre otros:
-
- Comprobaciones de verificación para candidatos a puestos
- Programa de educación y capacitación en seguridad
- Políticas para la gestión de identidades y accesos
- Incorporación de partes interesadas: El CISO es responsable de evaluar las oportunidades comerciales frente a los riesgos de seguridad que potencialmente pueden comprometer las recompensas financieras a largo plazo. El CISO define una compensación óptima entre las oportunidades y los riesgos asociados con los proyectos de seguridad de la información que protegerían el crecimiento a largo plazo de la organización.
- Documentación: Los equipos y sus gerentes usan la documentación de manera rutinaria para seguir las mejores prácticas de seguridad y las políticas organizacionales para responder a situaciones comerciales sensibles a la seguridad. Por lo tanto, el CISO debe asegurarse de que la documentación esté actualizada según la política organizativa actual.
- Recuperación ante desastres y continuidad empresarial: El CISO es responsable de la resiliencia frente a los ciberataques. Según un estudio de investigación reciente de IBM, el tiempo promedio para detectar una infracción varía entre 150 y 287 días, según la industria vertical. La ciberresiliencia no se trata solo de prevenir y defenderse de los ataques a la seguridad de la información, sino también de recuperarse rápidamente de las infracciones de seguridad.
Dato curioso…
La ciberresilencia es la capacidad de una empresa de adaptarse y continuar con sus funciones y su trabajo en situaciones de riesgo. Cómo actuar y cómo gestionar la situación de forma eficiente afectando el mínimo posible al desempeño general de la empresa.
¿Qué atributos necesita un CISO?
- Presencia ejecutiva: El CISO debe tener la presencia ejecutiva para representar efectivamente la posición de la organización con respecto a la seguridad de la información y la capacidad de influir en los ejecutivos. Deben ser capaces de identificar y evaluar las amenazas y luego traducir los riesgos en un lenguaje que los ejecutivos puedan entender.
- Conocimiento empresarial: El CISO necesita comprender las operaciones comerciales y los datos críticos que la organización está tratando de proteger. Necesita ver las operaciones comerciales desde una perspectiva de riesgo versus seguridad e implementar controles para minimizar los riesgos y las interrupciones comerciales.
- Conocimiento de seguridad: Un CISO debe ser capaz de comprender configuraciones e informes de seguridad complejos desde la perspectiva técnica, y luego ser capaz de traducir los detalles técnicos relevantes a un lenguaje que otros ejecutivos puedan entender.
¿Todas las organizaciones necesitan un CISO?
Sería bueno que toda empresa tenga un CISO, el papel que juega el CISO es muy fundamental para el funcionamiento de una organización, independientemente de la industria y el tamaño. Sin embargo, es posible que una pequeña / mediana empresa no pueda justificar un CISO dedicado. En esos casos, podría tener sentido que el CIO asuma las responsabilidades de un CISO y aproveche a los consultores externos para brindar orientación y experiencia.
¿Cuál es el futuro del CISO?
Una cosa es segura: es poco probable que el papel fundamental de la seguridad de los datos disminuya pronto. Casi todos los CISO (94%) creen que la forma en que las organizaciones gestionan y utilizan los datos de los clientes será tan importante como la calidad de los productos y servicios cuando se trata de atraer clientes en el futuro.
Mantener altos niveles de seguridad de los datos significa que los CISO pasarán mucho más tiempo interactuando con el resto del negocio. El consultor KPMG dice que el CISO del futuro será un rol que mirará hacia afuera, tomando decisiones que no solo se relacionan con los controles técnicos y los procesos de seguridad, sino que también consideren la ética, la independencia, la confianza del consumidor e incluso la resiliencia nacional y la seguridad económica.
¿Tienes algún consejo acerca de los CISO? Si es así, no dude en hacérnoslo saber a continuación en los comentarios.