How do you survive as a CISO?

Summary

En este episodio, Eric Cole ofrece valiosos consejos para los aspirantes a CISO y aquellos que ya ocupan el puesto, compartiendo su experiencia sobre cómo navegar los desafíos de la ciberseguridad. Destaca la importancia de comprender el equilibrio entre riesgos y beneficios, la necesidad de presentar opciones claras a los ejecutivos y cómo gestionar la seguridad en un entorno empresarial dinámico. Además, subraya la importancia de la formación continua y la toma de decisiones informadas, enfocándose en la preparación ante posibles brechas y en cómo generar impacto positivo a nivel organizacional.

Takeaways

• 😀 La seguridad no debe ser un obstáculo para el crecimiento empresarial, pero debe integrarse en las decisiones estratégicas.
• 😀 Los ejecutivos deben aprender a balancear el valor y los beneficios con los riesgos y las exposiciones en sus decisiones.
• 😀 Siempre es importante plantear tres preguntas clave en cada decisión: ¿Cuál es el valor y el beneficio? ¿Cuál es el riesgo y la exposición? ¿Vale la pena el riesgo?
• 😀 Los CISOs deben involucrarse en la toma de decisiones importantes, pero no ser vistos solo como guardianes de la seguridad.
• 😀 La seguridad no debe ser vista como una barrera a la innovación, sino como una parte fundamental de la misma.
• 😀 Un ejemplo de un fallo de seguridad importante, como el ataque a Colonial Pipeline, ilustra cómo la falta de una evaluación adecuada de riesgos puede llevar a grandes pérdidas.
• 😀 Los CISOs deben ser capaces de presentar los dos lados de un problema sin dejarse llevar por las emociones, mostrando datos y hechos claros a los ejecutivos.
• 😀 Presentar opciones claras con datos concretos (por ejemplo, el costo potencial de un ataque frente a la inversión para mitigarlo) es clave para influir en las decisiones ejecutivas.
• 😀 La clave para un CISO exitoso es poder presentar el impacto de un problema de seguridad en términos financieros y operativos comprensibles para los ejecutivos.
• 😀 Ser un CISO que pasa de sobrevivir a prosperar significa entender que la seguridad es un riesgo calculado, y que siempre se deben mostrar las posibles soluciones para mitigar ese riesgo.
• 😀 Para ser un CISO de clase mundial, es esencial comprender que los ejecutivos toman decisiones basadas en los riesgos y beneficios, no en las emociones o la urgencia personal de un profesional de seguridad.

Q & A

¿Cuál es el principal desafío que enfrentan los CISOs hoy en día?

El principal desafío para los CISOs es gestionar las expectativas poco realistas sobre la seguridad. Muchos ejecutivos esperan que un sistema sea 100% seguro, lo cual es irreal. Los CISOs deben educar a los ejecutivos sobre la inevitabilidad de los ataques y cómo mitigar los riesgos de la manera más eficiente.

¿Qué importancia tiene la conexión entre el CISO y los ejecutivos en una organización?

Es fundamental que los CISOs se involucren en las decisiones ejecutivas relacionadas con la ciberseguridad. Deben presentar las opciones de manera clara, enfocándose en los riesgos y beneficios, sin ser emocionales. La colaboración entre seguridad y ejecutivos es clave para tomar decisiones informadas y equilibradas.

¿Cómo pueden los CISOs pasar de sobrevivir a prosperar en su rol?

Para prosperar, los CISOs deben ser capaces de presentar tanto los beneficios como los riesgos asociados a las decisiones de seguridad. Deben adoptar un enfoque proactivo, ofreciendo opciones claras y entendibles a los ejecutivos, en lugar de solo pedir recursos sin justificación.

¿Qué estrategia debe seguir un CISO para involucrar a los ejecutivos en decisiones de seguridad?

Un CISO debe presentar los riesgos de manera cuantificable. Por ejemplo, al hablar de un posible ataque de ransomware, debe indicar la probabilidad del ataque y los costos asociados, comparándolos con los costos de una solución preventiva. Esto ayuda a los ejecutivos a tomar decisiones basadas en datos y no en emociones.

¿Cómo deberían los CISOs presentar las decisiones de inversión en seguridad?

Los CISOs deben presentar los costos de las soluciones de seguridad de manera comparativa. Deben mostrar el riesgo de no actuar frente al costo de una inversión en prevención, de modo que los ejecutivos puedan ver el valor de la protección frente a los posibles costos de un ataque.

¿Por qué es importante que los CISOs eviten ser emocionales al presentar sus propuestas?

Ser emocional puede hacer que los ejecutivos perciban la solicitud como algo personal y no como una necesidad objetiva. Un CISO debe centrarse en los datos y en la lógica para presentar su caso de manera profesional y persuasiva, lo cual aumenta las posibilidades de obtener el apoyo necesario.

¿Qué tipo de decisiones pueden llevar a una organización a enfrentar un ataque masivo, como el caso de Colonial Pipeline?

Decisiones como conectar sistemas críticos, como los que controlan una tubería de petróleo, a redes empresariales sin tener en cuenta los riesgos de seguridad pueden generar vulnerabilidades. En el caso de Colonial, los ejecutivos probablemente priorizaron la eficiencia y la productividad sin considerar adecuadamente los riesgos cibernéticos, lo que resultó en un ataque costoso.

¿Qué deben hacer los CISOs al presentar un plan de seguridad ante los ejecutivos?

Deben presentar un análisis claro que muestre los posibles costos de un ataque y las soluciones que minimizan esos riesgos. En lugar de pedir recursos sin más, deben presentar las probabilidades de un ataque y los costos asociados para que los ejecutivos puedan tomar una decisión informada.

¿Qué papel juegan las cifras en las decisiones de seguridad dentro de una empresa?

Las cifras son esenciales porque ayudan a los ejecutivos a visualizar los riesgos de manera tangible. Los CISOs deben ser capaces de cuantificar el impacto potencial de un ataque, así como los costos de las soluciones preventivas, para que los ejecutivos comprendan la relación entre riesgo y retorno de inversión.

¿Cuál es el beneficio de presentar opciones en lugar de una sola solución de seguridad a los ejecutivos?

Presentar opciones permite a los ejecutivos tomar decisiones basadas en el riesgo y los recursos disponibles. Ofrecer alternativas, como reducir la probabilidad de un ataque con una inversión menor, da a los ejecutivos la flexibilidad para decidir cuál es la mejor opción para la organización según su situación financiera y los riesgos que están dispuestos a asumir.