(2021) CISO strategic plan and Best practices

Summary

Eric Cole, CISO experto, profundiza en el papel crucial de un CISO en la gestión de riesgos de seguridad cibernética, destacando la importancia de equilibrar la seguridad y la funcionalidad. Explica que la seguridad al 100% es posible, pero destruye la funcionalidad, y la clave está en entrenar a los ejecutivos para que evalúen tanto los beneficios como los riesgos antes de tomar decisiones. También aborda el concepto de 'transferencia de riesgos', donde si una decisión de alto riesgo es tomada por otros ejecutivos, la responsabilidad recae sobre ellos. En definitiva, la seguridad es una cuestión de gestionar riesgos y tomar decisiones informadas.

Takeaways

• 😀 La seguridad al 100% no existe: Se puede lograr 100% de seguridad eliminando completamente la funcionalidad, lo cual demuestra la relación inversa entre seguridad y funcionalidad.
• 😀 El trabajo de un CISO es enseñar a los ejecutivos a hacer una segunda pregunta: ¿Cuáles son los beneficios y riesgos asociados con una decisión?
• 😀 El CISO debe ayudar a los ejecutivos a entender que añadir funcionalidad generalmente reduce la seguridad, y viceversa.
• 😀 Es fundamental que los ejecutivos comprendan los riesgos involucrados en cada decisión y evalúen si los beneficios justifican dichos riesgos.
• 😀 El CISO debe consultar y educar, pero la decisión final sobre los riesgos y beneficios la toma el ejecutivo responsable del área.
• 😀 Los riesgos deben ser medidos en relación con un umbral de tolerancia establecido por la organización para garantizar que las decisiones se alineen con la política de seguridad.
• 😀 Si un ejecutivo decide asumir un riesgo alto, el CISO debe transferir la responsabilidad de ese riesgo al área correspondiente.
• 😀 El CISO presenta los riesgos transferidos durante las reuniones ejecutivas trimestrales, lo que aumenta la conciencia y la responsabilidad sobre las decisiones tomadas.
• 😀 La gestión de riesgos no implica decir ‘no’, sino ofrecer recomendaciones y ayudar a los ejecutivos a reducir los riesgos por debajo del umbral aceptable.
• 😀 La transferencia de riesgos es una herramienta clave para asegurar que los ejecutivos asuman la responsabilidad si optan por ignorar las recomendaciones del CISO.
• 😀 El CISO es un consultor estratégico, proporcionando asesoría sobre seguridad y gestionando riesgos, pero la autoridad de la decisión final recae en los ejecutivos del negocio.

Q & A

¿Qué significa la Ley de Seguridad mencionada en el script?

La Ley de Seguridad establece que cada vez que se agrega funcionalidad a un sistema, se disminuye su seguridad. Es una relación inversa entre seguridad y funcionalidad, donde asegurar un sistema completamente implica hacerlo inutilizable.

¿Por qué se afirma que la seguridad al 100% no existe?

La seguridad al 100% es un concepto inalcanzable porque, si uno lograra hacer un sistema completamente seguro (por ejemplo, destruyéndolo físicamente), perdería toda su funcionalidad. Por lo tanto, siempre existe un trade-off entre seguridad y funcionalidad.

¿Cuál es la responsabilidad de un CISO en relación a los ejecutivos de una organización?

El CISO debe entrenar a los ejecutivos para que no solo se pregunten '¿Cuál es el beneficio de esto?', sino también '¿Cuál es el riesgo o la exposición?', con el fin de garantizar que las decisiones de negocio sean evaluadas considerando tanto el valor como los riesgos asociados.

¿Qué proceso se recomienda para manejar los riesgos dentro de una organización?

El CISO debe ayudar a los ejecutivos a identificar los riesgos y sugerir formas de mitigarlos. Si los ejecutivos deciden no implementar las recomendaciones, el CISO puede transferir la responsabilidad del riesgo a los tomadores de decisiones, asegurando que todos estén al tanto de las implicaciones.

¿Qué significa 'transferir el riesgo' según el CISO?

Transferir el riesgo significa que, si los ejecutivos deciden aceptar un riesgo alto a pesar de las recomendaciones del CISO, este último documentará y comunicará esa decisión al equipo ejecutivo. Así, si ocurre un incidente, los responsables del riesgo serán los que tomaron la decisión.

¿Cómo puede un CISO comunicar los riesgos a los ejecutivos de manera efectiva?

El CISO debe presentar claramente los riesgos identificados y las consecuencias de no mitigarlos. Además, debe establecer un umbral de riesgo aceptable y trabajar con los ejecutivos para decidir si se debe proceder o tomar medidas adicionales para reducir el riesgo.

¿Por qué es importante que los ejecutivos aprendan a hacer preguntas sobre los riesgos?

Es crucial que los ejecutivos no solo busquen beneficios y valor, sino que también evalúen los riesgos asociados con sus decisiones. Esto garantiza que las acciones empresariales no pongan en peligro la seguridad y que el CISO pueda hacer recomendaciones informadas basadas en un análisis de riesgos.

¿Cuál es el desafío principal que enfrentan los CISOs según el script?

El principal desafío para los CISOs es lograr que los ejecutivos comprendan que la seguridad no se trata solo de prohibir cosas, sino de tomar decisiones informadas sobre el valor frente al riesgo. A veces, los ejecutivos no están dispuestos a asumir las recomendaciones de seguridad debido a restricciones de presupuesto o la percepción de que los beneficios superan a los riesgos.

¿Cómo se define el papel del CISO en una organización?

El CISO es un consultor y asesor clave que ayuda a los ejecutivos a comprender los riesgos de sus decisiones y a tomar medidas para mitigarlos. No se trata de un simple 'guardabarrera', sino de una persona que equilibra la seguridad con los objetivos empresariales, proporcionando soluciones prácticas para gestionar los riesgos.

¿Qué es lo que debe hacer un CISO cuando un ejecutivo decide no seguir sus recomendaciones de seguridad?

El CISO debe documentar la decisión del ejecutivo, comunicar el riesgo que se está asumiendo y transferir la responsabilidad de ese riesgo a la parte ejecutiva. Esto garantiza que todos estén informados de los riesgos involucrados y que la responsabilidad recaiga sobre quien toma las decisiones.