LIVE SESSION WITH DR. ERIC COLE

Summary

En este video, el orador ofrece valiosos consejos sobre la carrera en ciberseguridad, especialmente al considerar roles como arquitecto de seguridad o CISO. Destaca la importancia de elegir la trayectoria adecuada según las habilidades y aspiraciones, y enfatiza la necesidad de un enfoque estratégico y de comunicación en los roles ejecutivos. Además, se discuten temas clave como la gestión de equipos, la prevención de IT sombra, la segmentación de redes, y la importancia de métricas como el tiempo de permanencia y el movimiento lateral para evaluar la seguridad. También ofrece recomendaciones sobre cómo evitar el agotamiento en equipos de seguridad mediante una buena gestión del tiempo.

Takeaways

• 😀 Es importante decidir entre ser un arquitecto de ciberseguridad o un CISO según tus intereses y objetivos a largo plazo. Ambos roles son diferentes en enfoque: técnico y táctico frente a estratégico y de liderazgo ejecutivo.
• 😀 Los arquitectos de ciberseguridad se concentran en resolver problemas técnicos, mientras que los CISO gestionan la estrategia empresarial y trabajan a nivel ejecutivo con otros líderes para abordar problemas de seguridad.
• 😀 Al contratar un CISO, es fundamental que pueda pensar estratégicamente, comunicar la seguridad como un habilitador del negocio y liderar equipos técnicos de ciberseguridad.
• 😀 Al contratar a un ingeniero de seguridad, busque alguien que pueda comunicarse bien, identificar y resolver problemas de seguridad, y que tenga disposición para aprender nuevas tecnologías.
• 😀 Si estás empezando en ciberseguridad, concéntrate en adquirir una base sólida de conocimiento técnico en los primeros 12 a 18 meses, y luego avanza gradualmente a roles con más responsabilidad y liderazgo.
• 😀 Un CISO en una organización debe centrarse en aprender sobre el negocio, construir relaciones con ejecutivos clave y no hacer cambios apresurados durante los primeros tres meses.
• 😀 La gestión de Shadow IT debe ser una prioridad. Si bien algunos lo consideran inevitable, es importante minimizarlo y aplicar controles para evitar riesgos de seguridad innecesarios.
• 😀 La segmentación de la red debe aplicarse bajo el principio de privilegio mínimo, asegurando que los recursos solo sean accesibles cuando sea necesario y limitando la propagación de problemas de seguridad.
• 😀 En empresas grandes, el CISO podría colaborar con otros ejecutivos como el Director de Cumplimiento o de Privacidad en actividades de GRC, delegando algunos aspectos de la gestión de riesgos y cumplimiento.
• 😀 El uso de métricas de seguridad efectivas es crucial. Las métricas recomendadas incluyen el tiempo de permanencia de los atacantes en la red (dwell time) y el movimiento lateral, para medir el impacto real de los incidentes de seguridad.
• 😀 Para evitar el agotamiento en los equipos de ciberseguridad, es esencial gestionar bien el tiempo y establecer plazos claros. El estrés y la fatiga suelen ser causados por la falta de gestión de tiempo y recursos.

Q & A

¿Cómo se puede determinar si un desarrollador realmente necesita acceso administrativo a sus sistemas o a la nube?

La clave es diferenciar entre lo que el desarrollador 'quiere' y lo que realmente 'necesita'. Se debe discutir específicamente qué acciones necesita realizar, y en muchos casos, se puede proporcionar un acceso limitado a las funciones necesarias sin otorgar acceso total de administrador.

¿Cuáles son los riesgos de otorgar acceso administrativo completo a un desarrollador?

El riesgo principal es que si un desarrollador tiene acceso completo de administrador y también puede acceder a internet, podrían cometer un error que podría comprometer gravemente la seguridad del sistema. Se recomienda separar estos accesos: si un desarrollador necesita privilegios elevados, no debe tener acceso a la web ni a correos electrónicos.

¿Por qué los servicios gratuitos a menudo requieren acceso a los datos del usuario?

Cuando una aplicación es gratuita, a menudo se utiliza el acceso a los datos del usuario como una forma de compensación, ya que la empresa no recibe un pago directo. Este intercambio de datos por acceso a la app se hace explícito cuando el usuario acepta los términos del servicio. En contraste, las aplicaciones de pago generalmente no requieren ese acceso a cambio de dinero.

¿Qué significa 'shift left' en el contexto de la seguridad y cómo se puede implementar en una organización?

'Shift left' implica trasladar las medidas de seguridad más temprano en el ciclo de desarrollo, adoptando un enfoque proactivo en lugar de reactivo. Para implementarlo, es crucial sensibilizar a la organización sobre los riesgos de no adoptar medidas preventivas, mostrar ejemplos de daños causados por la falta de seguridad proactiva y presentar soluciones que beneficien la productividad y rentabilidad a largo plazo.

¿Cómo puede un líder de ciberseguridad lidiar con las creencias limitantes que lo retienen de postularse a un cargo como CISO?

El primer paso es identificar la creencia limitante, como la falta de experiencia. Luego, se puede trabajar para demostrar que esas creencias no son válidas, destacando las habilidades y atributos que ya se tienen. Si aún falta experiencia, se puede planificar un camino de crecimiento personal, abordando esas brechas de manera gradual.

¿Es recomendable crear un negocio propio en el campo de la ciberseguridad sin experiencia previa?

Aunque es muy valioso ser emprendedor, es aconsejable tener experiencia previa en el campo antes de crear un negocio. Se puede empezar a construir un negocio paralelo mientras se sigue trabajando, y al alcanzar un objetivo financiero claro, se puede dar el salto a tiempo completo.

¿Cuáles son los beneficios de consolidar las herramientas de seguridad dentro de una organización?

La consolidación de herramientas de seguridad ayuda a reducir la redundancia y la complejidad. Al identificar y eliminar productos duplicados, se mejora la eficiencia operativa, se ahorran recursos y se asegura que las herramientas sean efectivas sin sobrecargar a la organización con múltiples soluciones que no se integran bien.

¿Qué pasos se deben seguir para consolidar las herramientas de seguridad en una organización?

El primer paso es realizar un inventario de las herramientas existentes y analizar donde haya solapamiento. Después, se debe evaluar cuál es la mejor herramienta en cada área y eliminar las redundantes. Solo se deben agregar nuevas herramientas si hay una brecha real en la tecnología actual.

¿Cómo se puede vender la idea de cambiar a un enfoque proactivo de seguridad a los ejecutivos de una empresa?

Para convencer a los ejecutivos, es necesario resaltar el costo de la inacción y cómo un enfoque reactivo puede generar mayores pérdidas, como en el caso de ataques o brechas. Luego, se debe mostrar cómo un enfoque proactivo no solo minimiza los riesgos, sino que también mejora la eficiencia, reduce costos y aumenta la rentabilidad.

¿Cuál es la diferencia entre los productos de seguridad gratuitos y de pago en cuanto a la protección de los datos del usuario?

En las aplicaciones gratuitas, los usuarios autorizan el acceso a sus datos como parte del intercambio por el uso gratuito del servicio. En las aplicaciones de pago, la empresa recibe dinero directamente, lo que reduce la necesidad de acceder a los datos del usuario para generar ingresos, por lo que no se solicitan permisos adicionales.