¿Cómo organizar tu programa de ciberseguridad?

Los directores de seguridad de la información (CISO) se enfrentan a un aluvión de riesgos cibernéticos que crece a un ritmo exponencial, no solo en volumen, sino también en complejidad y alcance. El personal de ciberseguridad no tiene capacidad para revisar (ni siquiera identificar) cada uno de ellos, pero perder el control y la visibilidad podría dar lugar a riesgos inaceptables.

Mientras tanto, los CEO y los ejecutivos de las empresas están asignando el trabajo tecnológico directamente a los departamentos corporativos, por lo que no para de aumentar el número de empleados que realizan tareas tecnológicas que implican personalizar, desarrollar o adquirir soluciones tecnológicas. Las decisiones sobre riesgos que se toman de forma distribuida en la empresa ya superan, en volumen y complejidad, a las que toman los equipos centrales de TI y ciberseguridad.

La tendencia de “centralizar para descentralizar” representa un nuevo enfoque con respecto a la gobernanza de la ciberseguridad. Actualmente, centralizar las decisiones refleja un enfoque más informado —y redimensionable— que hace hincapié en una política flexible y centralizada y, al mismo tiempo, respalda una toma de decisiones local. Las normas de control se crean a escala local, y la toma de decisiones local respalda una política de gobernanza central.

Para que esto funcione, deben formarse comités directivos o equipos de gobernanza, riesgo y cumplimiento que elaboren las políticas y los procesos que permitan a los responsables locales tomar las decisiones correctas. Si vas a hacer que se responsabilicen de sus actos, facilítales que hagan lo que tú harías.

Para lograr un criterio cibernético redimensionable, es fundamental aplicar una metodología ágil en lugar de una metodología en cascada (o tradicional). En la actualidad, la mayoría de las decisiones sobre riesgos cibernéticos y las implementaciones se toman de forma distribuida, en los equipos de producto o las unidades de negocio, por medio de procesos ágiles, no de procesos en cascada controlados de forma centralizada y por etapas. Realizar cambios superficiales no será suficiente; los programas de ciberseguridad deben cambiar radicalmente para apoyar los nuevos modelos operativos:

• Incorpora nuevos puestos en los equipos locales y dispersos (responsables de seguridad de la información de la empresa, responsables locales de seguridad de la información, paladines de la seguridad).

• Adapta las nuevas formas de trabajar a los nuevos procesos (DevSecOps, modelos basados en la nube como primera opción).

• Desarrolla procesos redimensionables que escalen de forma selectiva los conflictos, los riesgos residuales excesivos y las solicitudes excepcionales de asistencia práctica a la velocidad que necesite la empresa.

En lo que respecta a las políticas, menos es más. Los CISO están consolidando o reduciendo —no ampliando— las políticas para que sean más fáciles de usar. Al colaborar con los usuarios finales en las políticas, otorgas control y flexibilidad a los responsables de los riesgos y a los propietarios de los datos para aplicar las normas e implementar las soluciones que mejor se adapten a ellos. En resumen, debes definir el qué de forma centralizada y resolver el cómo de forma local.

La invitación a formar parte de la alta dirección significa poder iniciar más cambios y recibir menos órdenes. Sin embargo, para que esto ocurra, primero debes cambiar tu perspectiva y dejar de verte como responsable de la tecnología para identificarte como facilitador del negocio con capacidad de influir con éxito en la toma de decisiones sobre riesgos. Para demostrar credibilidad, abandona las reuniones tácticas y operativas en beneficio de unas interacciones ejecutivas más estratégicas.

Para que la alta dirección te conozca, haz lo siguiente:

• Líbrate de responsabilidades tácticas y operativas y potencia la interacción ejecutiva. Considera la posibilidad de delegar las funciones operativas administrativas (p. ej., la gestión de parches o la administración de usuarios) en los equipos de TI y la formación de los usuarios en materia de seguridad en el área de formación del departamento de RR. HH.

• Amplía tus horizontes entendiendo el riesgo y los indicadores empresariales. No podrás influir en las decisiones a menos que sepas cómo presentar mejor tus argumentos. Antes de reunirte con otros ejecutivos, infórmate sobre sus inversiones y los retos departamentales y financieros a los que se enfrentan. Conoce sus prioridades analizando el material elaborado por la empresa y los departamentos específicos (informes anuales, declaraciones de la misión). Identifica al menos un indicador que se alinee con los objetivos estratégicos del área de ciberseguridad con el fin de establecer una correlación entre el riesgo, el indicador y las medidas de ciberseguridad que se pueden adoptar para influir en los indicadores de los demás responsables de empresa.