From Trainer to Coach: Shifting Mindsets in Cybersecurity

Summary

En este episodio de 'Life of a CISO', el Dr. Eric Cole discute la transición de un enfoque técnico a un rol de liderazgo estratégico para los CISOs. Explica que, aunque la capacitación técnica es esencial, hoy en día los profesionales de ciberseguridad deben aprender a comunicar el valor del riesgo de ciberseguridad en términos de negocios. Los CISOs exitosos deben escuchar a los ejecutivos, presentar opciones claras y comprender los riesgos, no solo las tecnologías. El enfoque debe ser sobre la gestión de riesgos y cómo ayudar a las empresas a reducirlos, todo mientras se habla el idioma de los negocios para obtener el apoyo ejecutivo.

Takeaways

• 😀 El rol de CISO ha cambiado de ser un técnico en ciberseguridad a un líder estratégico que debe comunicar riesgos y soluciones en términos de negocio.
• 😀 Hoy en día, la ciberseguridad es un problema de negocio, no solo un problema técnico. Los CISOs deben aprender a hablar el idioma del negocio para ser efectivos.
• 😀 Los CISOs deben ser grandes oyentes. Es importante hacer preguntas clarificadoras y comprender las perspectivas de los ejecutivos antes de hablar.
• 😀 Los CISOs más exitosos presentan opciones a los ejecutivos en lugar de imponer soluciones, permitiendo que estos elijan entre mitigar riesgos o aceptarlos.
• 😀 Los CISOs deben comprender y aceptar el entorno actual de la empresa antes de realizar cambios significativos, para evitar imponer soluciones innecesarias.
• 😀 La ciberseguridad no se trata de ser 100% seguro, sino de gestionar los riesgos y aceptar aquellos que son inevitables o controlables.
• 😀 Un CISO debe ser un socio de confianza para los ejecutivos, mostrando cómo la ciberseguridad impacta en los objetivos comerciales y las prioridades de la empresa.
• 😀 Escuchar es más importante que hablar en las reuniones con ejecutivos. El CISO debe ser el que menos hable, pero cuando lo haga, que sus palabras tengan un gran impacto.
• 😀 Los CISOs deben estar listos para presentar ambos lados de una situación, explicando el riesgo y el costo de no mitigarlo, para que los ejecutivos tomen decisiones informadas.
• 😀 Un CISO exitoso debe ser capaz de manejar el conflicto entre la perspectiva técnica y la empresarial, adaptándose a las necesidades cambiantes del entorno corporativo.

Q & A

¿Cuál es la principal diferencia entre ser un instructor y ser un coach según Dr. Eric Cole?

La principal diferencia es que un instructor se enfoca en enseñar conocimientos técnicos específicos y luego se va, mientras que un coach se preocupa por el éxito general de la persona, ayudando a superar obstáculos y cambiando comportamientos para alcanzar el éxito.

¿Por qué Dr. Eric Cole decidió hacer el cambio de ser instructor a ser coach en lugar de seguir ofreciendo más formación técnica?

El cambio se debió a que, aunque había una gran demanda de conocimiento técnico en ciberseguridad en el pasado, hoy en día la industria ya tiene suficiente material educativo disponible. Lo que falta ahora es la habilidad de aplicar ese conocimiento para lograr el éxito, especialmente en la comunicación con los ejecutivos.

¿Qué problema enfrentan actualmente los profesionales de ciberseguridad que tienen conocimientos técnicos pero no logran el éxito en sus organizaciones?

El problema es que, aunque tienen el conocimiento técnico, no logran que los ejecutivos los escuchen, no obtienen los recursos o presupuestos necesarios, y no son incluidos en las reuniones, lo que impide su éxito dentro de la organización.

Según Dr. Cole, ¿qué se necesita hoy en día en la industria de ciberseguridad en lugar de más capacitación técnica?

Hoy en día, lo que se necesita es coaching, no más capacitación técnica. Los profesionales ya tienen el conocimiento técnico, pero necesitan ayuda para comunicarse eficazmente con los ejecutivos y lograr el apoyo necesario para implementar soluciones de ciberseguridad.

¿Cómo deben los CISOs comunicarse con los ejecutivos para obtener el apoyo que necesitan?

Los CISOs deben presentar los problemas de ciberseguridad en términos de riesgos empresariales, no en jerga técnica. Deben mostrar el costo potencial de un incidente y las opciones para mitigarlo, dejando que los ejecutivos elijan qué opción prefieren, sin imponer una única solución.

¿Por qué es importante que un CISO se convierta en un excelente oyente en lugar de hablar demasiado durante las reuniones ejecutivas?

Es crucial que un CISO escuche atentamente, haga preguntas clarificadoras y hable solo cuando tenga algo significativo que aportar. Los ejecutivos deben sentir que lo que el CISO dice tiene un valor real y está alineado con las prioridades empresariales, lo que se logra mediante la escucha activa.

¿Qué diferencia hay entre hablar de ciberseguridad en términos técnicos y hablar de ella en términos de negocios?

Hablar en términos técnicos se refiere a detalles como análisis de comportamientos, firewalls o protocolos, mientras que hablar en términos de negocios significa presentar los riesgos, los costos potenciales de un incidente y las posibles soluciones en términos financieros, lo que es comprensible para los ejecutivos.

¿Qué significa para un CISO ser un 'CISO de clase mundial' según Dr. Cole?

Ser un 'CISO de clase mundial' significa poder presentar los riesgos de ciberseguridad en términos que los ejecutivos puedan entender y tomar decisiones basadas en esos riesgos. También implica la capacidad de escuchar activamente, comprender el contexto empresarial y ofrecer soluciones que alineen la ciberseguridad con los objetivos comerciales.

¿Por qué es importante que los CISOs reconozcan que la ciberseguridad es un problema empresarial y no solo técnico?

Es fundamental porque la ciberseguridad impacta directamente en el negocio, y los ejecutivos toman decisiones basadas en cómo los riesgos afectan a la empresa. No se trata solo de proteger datos, sino de gestionar riesgos que pueden tener implicaciones financieras y operativas significativas.

¿Qué debe hacer un CISO durante sus primeros 90 días en un nuevo puesto según Dr. Cole?

Durante los primeros 90 días, un CISO no debe hacer cambios drásticos. Es crucial que entienda el entorno actual, respete las decisiones previas y evalúe los riesgos existentes antes de proponer cualquier cambio. Solo si se le trae para resolver un problema urgente, como una brecha de seguridad, podría intervenir de inmediato.