What is the Problem You Are Trying to SOLVE?

Summary

El episodio destaca la importancia de la mentalidad de un CISO, quien debe ser proactivo y tener claridad en su rol estratégico, enfocándose en la reducción de riesgos para la organización. Se enfatiza la necesidad de alinear la postura de riesgo del equipo ejecutivo con la estrategia de ciberseguridad, además de evitar la sobrecarga tecnológica sin los recursos adecuados. Un CISO debe saber cuándo la tecnología debe ser complementada con recursos humanos para mitigar los riesgos de forma efectiva, sin perseguir objetivos inalcanzables como la eliminación total del riesgo.

Takeaways

• 😀 La mentalidad del CISO es crucial: el CISO debe tomar posesión del rol y actuar con confianza y liderazgo, demostrando su capacidad de tomar decisiones estratégicas.
• 😀 Los ingenieros de seguridad deben centrarse en la tecnología y mantenerse actualizados, mientras que los CISOs deben gestionar los riesgos a un nivel estratégico.
• 😀 Los CISOs no deben involucrarse en las soluciones tácticas o tecnológicas a menos que haya un riesgo inaceptable, en cuyo caso deben estar preparados para guiar al equipo de seguridad con soluciones probadas.
• 😀 Definir el ‘postura de riesgo’ de la organización es una de las primeras tareas clave para un CISO recién llegado. El equipo ejecutivo debe estar alineado sobre qué riesgos son aceptables y cuáles no.
• 😀 La seguridad perfecta no existe. Un CISO debe ser realista con respecto a los riesgos que la organización está dispuesta a aceptar, entendiendo que la seguridad 100% es inalcanzable.
• 😀 La claridad en la postura de riesgo ayuda a evitar la falacia de ‘tolerancia cero al riesgo’. Si los ejecutivos esperan que no haya riesgo de seguridad, el CISO debería considerar renunciar o buscar otro empleo.
• 😀 Un CISO debe identificar los riesgos inaceptables que no se están abordando adecuadamente y centrarse en mitigar esos problemas específicos para proteger a la organización.
• 😀 Antes de invertir en nuevas soluciones, los CISOs deben realizar un inventario exhaustivo de las herramientas y tecnologías existentes. Evitar la compra de soluciones duplicadas que no se han implementado correctamente es clave.
• 😀 Un problema común es la compra de tecnologías de seguridad costosas sin tener suficiente personal para configurarlas o implementarlas correctamente, lo que crea una discrepancia entre la inversión y la efectividad.
• 😀 Los CISOs deben asegurarse de que cada inversión, ya sea en tecnología o en personal, esté alineada con los riesgos que la organización está tratando de mitigar o resolver, para evitar gastar recursos innecesarios.

Q & A

¿Cuál es la principal diferencia entre un CISO y un ingeniero de seguridad?

El CISO tiene un enfoque estratégico basado en la gestión de riesgos, mientras que el ingeniero de seguridad es más táctico, centrándose en las soluciones tecnológicas específicas para mitigar riesgos.

¿Por qué el CISO no debe estar tan enfocado en la tecnología como los ingenieros de seguridad?

El CISO debe centrarse en los riesgos a nivel organizacional y estratégico, mientras que los ingenieros de seguridad están a cargo de la implementación y el seguimiento de las soluciones tecnológicas. El CISO debe delegar el conocimiento y la actualización tecnológica en su equipo.

¿Qué debe hacer un nuevo CISO al llegar a una organización?

El nuevo CISO debe obtener el acuerdo del equipo ejecutivo sobre la postura de riesgos de la organización, definiendo qué riesgos son aceptables y cuáles no lo son, para poder tomar decisiones informadas.

¿Es posible aceptar todos los riesgos en una organización desde la perspectiva de un CISO?

No, la seguridad perfecta no existe. Un CISO debe aceptar ciertos riesgos, pero lo importante es asegurarse de que esos riesgos estén alineados con la postura de la organización y gestionados adecuadamente.

¿Cómo debe un CISO identificar los riesgos inaceptables en su organización?

Un CISO debe hacer un inventario de los riesgos actuales y luego identificar aquellos que superan el umbral de riesgo aceptable, que pueden tener un impacto significativo en la organización si no se abordan.

¿Por qué es importante que un CISO conozca los productos y soluciones de seguridad ya comprados por la organización?

Es esencial para evitar la compra innecesaria de nuevas soluciones cuando ya existen herramientas que podrían solucionar el problema, ahorrando tiempo y recursos. Además, el CISO debe asegurarse de que las soluciones compradas estén siendo utilizadas correctamente.

¿Qué problema puede surgir al no configurar correctamente las herramientas de seguridad adquiridas?

Si las herramientas de seguridad no se configuran correctamente, se pierde el valor de la inversión y el riesgo sigue sin ser mitigado. Esto puede ser más costoso que simplemente utilizar y configurar correctamente las soluciones existentes.

¿Por qué un CISO debe ser cuidadoso al gastar el presupuesto de seguridad?

El CISO debe asegurarse de que cada gasto se justifique como una medida para reducir riesgos reales, de lo contrario, podría estar malgastando recursos y sin abordar adecuadamente los problemas de seguridad.

¿Qué significa que un CISO se enfoque en una solución basada en la gestión de riesgos?

El CISO debe priorizar las soluciones que aborden los riesgos más graves o inaceptables para la organización, en lugar de centrarse en adoptar nuevas tecnologías sin una evaluación clara de su impacto en la seguridad organizacional.

¿Qué sucede si la alta dirección de una organización tiene expectativas poco realistas sobre la seguridad cibernética?

Si la alta dirección espera una seguridad cibernética perfecta o sin riesgos, el CISO puede encontrarse en una situación insostenible, ya que esto es irreal. En ese caso, el CISO debe gestionar las expectativas de los ejecutivos y asegurarse de que comprendan los límites de la seguridad cibernética.