BEING A CISO

Summary

En este video, se aborda la compleja labor de un CISO (Chief Information Security Officer), enfocándose en el equilibrio entre seguridad y funcionalidad en una organización. Se destaca la ley de seguridad que establece que cada vez que se añade funcionalidad, se aumenta el riesgo y se reduce la seguridad. Además, se enfatiza la importancia de una comunicación honesta y abierta con los ejecutivos, así como la necesidad de priorizar recursos y tareas en función de los riesgos más altos. El mensaje central es que un CISO debe ser un habilitador del negocio, no solo un protector de datos.

Takeaways

• 😀 La seguridad y la funcionalidad son inversas: cuando aumentas uno, disminuyes el otro. Alcanzar el 100% de seguridad resulta en cero funcionalidad.
• 😀 El 100% de seguridad no es alcanzable sin paralizar la organización, ya que la seguridad y el riesgo siempre están interrelacionados.
• 😀 La ley de la seguridad: agregar funcionalidad siempre disminuye la seguridad y aumenta el riesgo, sin importar si se cree en esta ley o no.
• 😀 Un CISO debe reconocer y manejar los riesgos continuamente, priorizándolos de acuerdo con los recursos disponibles y las necesidades del negocio.
• 😀 La comunicación honesta y abierta es clave para un CISO. No ser un héroe, sino reconocer las limitaciones y establecer expectativas claras.
• 😀 La gestión de recursos es crucial. Si el equipo de seguridad está saturado, es importante negociar qué tareas no se pueden realizar, en lugar de comprometerse sin capacidad para hacerlo.
• 😀 Los CISOs deben decir 'no' o negociar de manera efectiva cuando los recursos o el tiempo son limitados, en lugar de aceptar responsabilidades que no pueden cumplir.
• 😀 Los ejecutivos deben ser conscientes de que el equipo de seguridad no puede realizar todas las tareas de alta prioridad simultáneamente, y deben proporcionar los recursos necesarios o ajustar las prioridades.
• 😀 Evitar la sobrecarga de trabajo es esencial para mantener la moral y el desempeño del equipo de seguridad. La falta de recursos puede generar estrés y desconfianza dentro de la organización.
• 😀 Un CISO de clase mundial es capaz de articular y comunicar con datos claros por qué ciertas tareas no pueden ser realizadas debido a limitaciones de tiempo y recursos, promoviendo una cultura de transparencia.

Q & A

¿Cuál es el papel principal de un CISO en una organización?

El papel principal de un CISO es proteger la información y los activos críticos de la empresa, mientras facilita el crecimiento del negocio de manera segura, equilibrando las necesidades de seguridad con los objetivos comerciales.

¿Por qué se menciona que un CISO no debe ser un 'héroe'?

Un CISO no debe ser un 'héroe' porque su función no es asumir todo el trabajo sin cuestionarlo. Es importante que comuniquen de manera abierta cuando están sobrecargados y establezcan límites claros sobre lo que pueden hacer dentro de los recursos disponibles.

¿Qué significa la 'Ley de la Seguridad' mencionada por Eric Cole?

La 'Ley de la Seguridad' establece que siempre que se agrega funcionalidad a un sistema o proceso, se aumenta el riesgo y se reduce la seguridad. Es decir, la seguridad y la funcionalidad están inversamente relacionadas.

¿Cómo debe un CISO manejar la relación entre seguridad y funcionalidad?

Un CISO debe encontrar un equilibrio entre la seguridad y la funcionalidad, entendiendo que no se puede lograr una seguridad del 100% sin comprometer la funcionalidad. El objetivo es maximizar la seguridad sin paralizar la operación del negocio.

¿Por qué es crucial la comunicación abierta y honesta para un CISO?

La comunicación abierta y honesta es crucial porque permite que el CISO explique claramente las limitaciones de recursos y los riesgos asociados a nuevas solicitudes o proyectos. Esto ayuda a establecer expectativas realistas y evita la sobrecarga de trabajo.

¿Qué deben hacer los CISOs cuando no pueden cumplir con todas las tareas asignadas?

Cuando un CISO no puede cumplir con todas las tareas, debe comunicarlo a los ejecutivos, proporcionando datos claros sobre las prioridades y recursos disponibles, y buscar soluciones, como la reasignación de tareas o la obtención de más recursos.

¿Qué tipo de decisiones deben tomar los CISOs respecto al riesgo en sus organizaciones?

Los CISOs deben ayudar a la organización a tomar decisiones informadas sobre los riesgos, evaluando el valor de las nuevas funcionalidades y sopesando los riesgos asociados. Deben garantizar que los ejecutivos entiendan las consecuencias de agregar nuevas funcionalidades sin evaluar adecuadamente los riesgos.

¿Cómo debe un CISO establecer un 'postura de riesgo' para la organización?

Un CISO debe colaborar con los ejecutivos para definir la postura de riesgo de la organización, lo que implica acordar qué riesgos son aceptables y cuáles no lo son. Esta postura debe guiar las decisiones relacionadas con la seguridad y las inversiones en ciberseguridad.

¿Qué estrategias puede utilizar un CISO para priorizar los riesgos?

Un CISO debe estar continuamente monitoreando y analizando la organización, priorizando los riesgos según su gravedad y impacto en los objetivos comerciales. Esto incluye identificar los activos y procesos críticos y asignar recursos de seguridad en consecuencia.

¿Cuál es la diferencia entre seguridad y funcionalidad según el CISO Eric Cole?

Según Eric Cole, la seguridad y la funcionalidad están en una relación inversa. A medida que se aumenta la funcionalidad en un sistema o proceso, se disminuye la seguridad, y viceversa. Esto significa que no se puede tener ambas al 100% sin comprometer uno de los dos.