What it REALLY means to be a Chief Information Security Officer | What is a CISO?

Summary

En este video, el experto en ciberseguridad describe cómo los CISOs pueden abordar el reto de justificar presupuestos ante ejecutivos. A través de ejemplos, se destaca la importancia de priorizar riesgos, alinear las solicitudes de presupuesto con la reducción efectiva de amenazas y evitar la sobrecarga de alertas. Se enfatiza que las soluciones deben ser prácticas y centradas en el negocio, evitando promesas de seguridad total e irrealistas. Además, se advierte sobre los peligros de aceptar presupuestos inflados que no pueden ser ejecutados eficientemente, y cómo los CISOs pueden mejorar su enfoque para lograr el éxito y la confianza de los ejecutivos.

Takeaways

• 😀 La gestión de alertas es crítica: Si se generan 10,000 alertas diarias pero solo se pueden manejar 200, el riesgo de no detectar amenazas aumenta rápidamente. Asegúrate de no sobrecargar a tu equipo.
• 😀 No caigas en la trampa de comprar tecnología sin planificar adecuadamente: Adquirir soluciones sin un análisis de riesgos puede empeorar la situación, aumentando las alertas sin mejorar la capacidad de respuesta.
• 😀 El dinero no lo es todo: Si se te asigna una gran suma de dinero, asegúrate de que la puedes utilizar de manera efectiva y no se convierta en una carga difícil de gestionar.
• 😀 Presenta tus necesidades en términos de riesgo y retorno de inversión (ROI): Asegúrate de que tus propuestas de presupuesto estén alineadas con los riesgos reales que estás mitigando, no con soluciones tecnológicas sin justificar.
• 😀 No prometas seguridad al 100%: Es crucial comunicar que la seguridad es un proceso continuo y que no existe una solución definitiva, lo que ayuda a manejar las expectativas de los ejecutivos.
• 😀 Las peticiones de presupuesto deben ser realistas: Solicita lo que realmente puedes manejar, priorizando los riesgos más importantes. Asegúrate de que lo que pides es alcanzable y justificado.
• 😀 El error de pedir demasiado dinero puede generar frustración: Si no puedes entregar lo prometido, los ejecutivos perderán confianza. Solo pide lo necesario y demuéstrales que puedes entregar lo solicitado.
• 😀 El enfoque debe estar en la reducción de riesgos, no en la compra de tecnología: No te enfoques solo en soluciones tecnológicas sin analizar si realmente resuelven los riesgos que enfrentan.
• 😀 Los riesgos deben priorizarse por su probabilidad y el impacto que tendrían: Presenta los riesgos más graves, que tienen alta probabilidad de ocurrir y cuyo impacto podría ser devastador para la empresa.
• 😀 No te dejes llevar por la emoción: Aunque parezca atractivo tener un presupuesto enorme, asegúrate de que el plan sea realista y que puedas manejar la implementación adecuadamente sin desbordar recursos.

Q & A

¿Por qué es un error comprar más tecnología sin antes abordar el problema de la sobrecarga de alertas?

Comprar más tecnología sin abordar primero la sobrecarga de alertas solo empeora la situación. Si tienes 10,000 alertas y solo puedes gestionar 200, agregar más tecnología aumenta la cantidad de alertas, lo que significa que no podrás abordar la mayoría, lo que lleva a un círculo vicioso de alertas no atendidas.

¿Cuál es la importancia de vincular las soluciones de seguridad a un riesgo específico?

Es crucial vincular las soluciones de seguridad a un riesgo claro porque solo así se puede justificar la inversión. Si una solución no está relacionada con la reducción de un riesgo específico, probablemente no será efectiva o relevante para la organización.

¿Qué debería hacer un CISO antes de pedir un presupuesto para una solución de seguridad?

Antes de pedir un presupuesto, un CISO debe analizar el riesgo que se quiere mitigar, evaluar su probabilidad de ocurrencia y el costo que tendría para la empresa si se materializa. Solo después de este análisis debe solicitar el presupuesto, asegurándose de que esté alineado con los mayores riesgos para la organización.

¿Por qué es importante priorizar las iniciativas de seguridad en lugar de pedir recursos para todo?

Priorizar es clave porque los recursos son limitados. Si un CISO solicita recursos para todas las posibles iniciativas de seguridad sin priorizar, es probable que no pueda ejecutar ninguna de ellas de manera efectiva. Al enfocarse en los riesgos más importantes, se mejora la efectividad y la eficiencia del presupuesto.

¿Cuál es el riesgo de pedir un presupuesto sin poder ejecutarlo correctamente?

El riesgo es que si el presupuesto se aprueba pero no se puede ejecutar correctamente debido a la falta de recursos o personal, la credibilidad del CISO y de la seguridad en la empresa se ve seriamente afectada. Esto puede dificultar las solicitudes futuras de presupuesto y reducir la confianza en la gestión de seguridad.

¿Cómo debe un CISO presentar sus propuestas de seguridad a los ejecutivos para obtener la aprobación del presupuesto?

El CISO debe presentar propuestas claras y basadas en riesgos, enfocándose en las soluciones que tienen un retorno de inversión evidente y que abordan los riesgos más graves. Usar datos históricos y comparativos para respaldar las decisiones ayuda a generar confianza en la propuesta.

¿Por qué un CISO no debe aceptar un presupuesto mucho mayor al solicitado, aunque los ejecutivos lo ofrezcan?

Aceptar un presupuesto mucho mayor sin poder ejecutarlo adecuadamente puede resultar en un desastre. Es preferible aceptar lo que se puede manejar y luego reevaluar y solicitar recursos adicionales si es necesario, en lugar de comprometerse a entregar más de lo que se puede lograr con los recursos disponibles.

¿Qué lección se aprende de la historia sobre el presupuesto de $50 millones ofrecido a un CISO?

La lección es que, aunque un presupuesto grande pueda parecer atractivo, no se debe aceptar sin considerar si se tiene la capacidad de ejecutarlo. En el caso presentado, el CISO habría fracasado al intentar manejar un presupuesto demasiado grande sin los recursos adecuados, lo que probablemente habría causado un desastre operativo.

¿Qué significa que un CISO debe 'pensar como un hombre de negocios'?

Pensar como un hombre de negocios significa que el CISO debe tomar decisiones basadas en lo que es más rentable para la empresa. Esto implica centrarse en los riesgos más críticos y en soluciones que ofrezcan un gran retorno de inversión, en lugar de solo implementar tecnología o herramientas por el simple hecho de hacerlo.

¿Qué tipo de riesgos debe priorizar un CISO cuando solicita presupuesto?

Un CISO debe priorizar los riesgos con alta probabilidad de ocurrir y que, si suceden, tendrían un alto costo para la empresa. Estos riesgos deben tener un retorno claro de inversión y ser soluciones viables con los recursos disponibles.