Focus On Risk

Summary

Este video destaca la importancia de tener un enfoque adecuado para la ciberseguridad, donde la responsabilidad de la seguridad recae en aquellos con autoridad. Se explica cómo muchas organizaciones caen en la trampa de buscar una seguridad perfecta, lo cual es un modelo roto. La clave es equilibrar el riesgo y la responsabilidad, permitiendo que las unidades de negocio tomen decisiones dentro de una postura de riesgo definida. La capacitación de los ejecutivos para evaluar el valor, el riesgo y la exposición es fundamental, y se compara con la estrategia de inversión de Warren Buffett, enfocada en minimizar riesgos y maximizar beneficios.

Takeaways

• 😀 La ciberseguridad debe estar alineada con la postura de riesgo de la organización, no se puede tener una seguridad 100% perfecta.
• 😀 Los líderes de negocio deben tener autoridad y responsabilidad sobre las decisiones relacionadas con los riesgos, y no solo delegar la responsabilidad a los CISO.
• 😀 Los CISO deben educar a los ejecutivos y otras partes interesadas sobre la realidad de los riesgos cibernéticos y la necesidad de tomar decisiones informadas.
• 😀 Cada vez que se agrega una nueva funcionalidad, se aumenta el riesgo, por lo que los líderes de negocio deben estar conscientes de los riesgos que asumen.
• 😀 Si una unidad de negocio decide asumir un riesgo fuera de la postura aceptable, se debe comunicar a los ejecutivos y hacer un seguimiento claro de esos riesgos.
• 😀 Tomar riesgos calculados es necesario en los negocios, pero siempre deben ser riesgos informados y visibles para todos los involucrados.
• 😀 La estrategia de ciberseguridad debe simplificarse, dejando de lado los modelos complejos e ineficaces para enfocarse en lo esencial: evaluar valor, riesgo y beneficios.
• 😀 Los tres pilares fundamentales para evaluar cualquier decisión son: 1) Valor o beneficio, 2) Riesgo o exposición, 3) Si el valor justifica el riesgo.
• 😀 La estrategia de seguridad cibernética no debe ser un proceso de culpabilización, sino una evaluación conjunta y coherente de los riesgos asumidos por la empresa.
• 😀 La filosofía de inversión de Warren Buffett, basada en minimizar riesgos y maximizar beneficios, se aplica también a la ciberseguridad: no se debe invertir en riesgos que no valgan la pena.

Q & A

¿Por qué los modelos tradicionales de ciberseguridad no funcionan bien en muchas organizaciones?

Los modelos tradicionales fallan porque asignan toda la responsabilidad de seguridad al CISO, mientras que los líderes empresariales tienen la autoridad para tomar decisiones arriesgadas sin tener en cuenta la postura de riesgo de la empresa. Esto crea un desajuste entre la autoridad, la responsabilidad y el manejo del riesgo.

¿Qué enfoque sugiere el ponente para mejorar la ciberseguridad en las organizaciones?

El ponente sugiere que aquellos que tienen autoridad también deben tener responsabilidad. Esto significa que los líderes empresariales deben ser entrenados para tomar decisiones informadas sobre los riesgos y aceptar responsabilidad por ellas, en lugar de que solo el CISO asuma toda la carga.

¿Cómo se debe manejar el riesgo cuando un negocio decide tomar una decisión arriesgada fuera de la postura de riesgo aceptable?

Cuando una unidad de negocio decide asumir un riesgo fuera de la postura aceptable, el CISO debe notificar a los ejecutivos y poner el riesgo en un boletín de riesgos. Esto se presenta en las reuniones ejecutivas mensuales para asegurar que todos los involucrados sean conscientes de la decisión tomada.

¿Cuáles son las tres preguntas clave que los ejecutivos deben hacerse antes de tomar decisiones de ciberseguridad?

Las tres preguntas clave son: 1) ¿Cuál es el valor o beneficio de esta acción? 2) ¿Cuál es el riesgo o la exposición que conlleva? 3) ¿Vale la pena el riesgo en relación al beneficio?

¿Por qué es importante no aceptar ciegamente los riesgos en una organización?

Es crucial no aceptar los riesgos a ciegas porque eso puede llevar a problemas graves en el futuro. La clave está en tener conocimiento y comprensión de los riesgos antes de tomar decisiones, lo cual permite gestionarlos de manera efectiva.

¿En qué se basa la estrategia del ponente para la ciberseguridad?

La estrategia del ponente se basa en minimizar los riesgos y maximizar los beneficios, un enfoque que comparte con el inversor Warren Buffett. Al igual que Buffett evalúa el valor y riesgo de una inversión, en ciberseguridad se debe hacer lo mismo al tomar decisiones.

¿Qué relación tiene la estrategia de seguridad cibernética con la estrategia de inversión de Warren Buffett?

Ambas estrategias se centran en evaluar el valor o beneficio y los riesgos, y en minimizar esos riesgos mientras se maximizan los beneficios. Buffett evita inversiones de alto riesgo como las criptomonedas, lo mismo que se debe hacer en ciberseguridad al evaluar acciones que puedan poner en peligro la seguridad.

¿Por qué la ciberseguridad no debería ser excesivamente compleja?

La ciberseguridad no debe ser complicada porque un modelo simple y claro es más efectivo. La clave está en enseñar a los ejecutivos a tomar decisiones de manera informada y no hacer que el proceso sea innecesariamente difícil de entender.

¿Qué se debe enseñar a los ejecutivos para que gestionen el riesgo de manera más efectiva?

Los ejecutivos deben ser entrenados para reconocer que 100% de seguridad no existe, comprender que cada acción agrega o reduce riesgo, y aprender a tomar decisiones basadas en el valor y riesgo asociados a esas acciones.

¿Qué significa la postura de riesgo para una organización?

La postura de riesgo de una organización define el nivel de riesgo que está dispuesta a aceptar en función de las decisiones empresariales. Si una acción está dentro de esta postura, es aceptable; si está fuera de ella, debe ser analizada y, si se decide aceptarla, se informa a los ejecutivos.