Making Executives Understand You

Summary

En este episodio del podcast *Life of a CISO*, el Dr. Eric Cole ofrece valiosos consejos para CISOs y aspirantes a CISOs sobre cómo desarrollar una carrera exitosa. Destaca la importancia de establecer metas claras, construir una marca personal a través de contenido y redes, y crear una cultura de ciberseguridad dentro de las organizaciones. Además, enfatiza que la ciberseguridad debe ser vista como una función empresarial, donde se toman decisiones basadas en la evaluación de riesgos y no en respuestas binarias. El cambio cultural y la educación de los ejecutivos son clave para prevenir brechas de seguridad.

Takeaways

• 😀 El CISO debe ser un líder empresarial, no solo un técnico, para tomar decisiones estratégicas sobre ciberseguridad.
• 😀 Las decisiones de ciberseguridad deben basarse en el valor y el riesgo, no en respuestas binarias de 'sí' o 'no'.
• 😀 La cultura de ciberseguridad debe ser promovida desde la cima de la organización, comenzando por la alta dirección.
• 😀 Los CISOs deben educar a los ejecutivos sobre las leyes y principios fundamentales de la ciberseguridad.
• 😀 Las brechas de seguridad ocurrirán, y los ejecutivos deben estar preparados para gestionarlas de manera efectiva.
• 😀 La formación de los ejecutivos debe incluir la comprensión de que la ciberseguridad es una parte integral de todas las decisiones empresariales.
• 😀 Los CISOs deben asegurarse de que los ejecutivos tomen decisiones informadas sobre el riesgo y la exposición, no decisiones ciegas.
• 😀 Los ejecutivos deben ser responsables de las decisiones de ciberseguridad dentro de sus áreas, y esto debe reflejarse en KPIs.
• 😀 Es crucial que los equipos de ciberseguridad tengan conversaciones regulares con los ejecutivos, al menos dos veces al mes.
• 😀 Los CISOs deben tener la capacidad de dar asesoramiento y recomendar opciones, pero la decisión final debe ser tomada por el equipo ejecutivo, entendiendo el riesgo implicado.

Q & A

¿Por qué el Dr. Eric Cole enfatiza que no existe una seguridad 100% perfecta?

El Dr. Eric Cole explica que la seguridad al 100% no existe porque, cuando aumentamos la funcionalidad de un sistema, se incrementa el riesgo de seguridad. Las empresas deben entender que siempre habrá un balance entre funcionalidad y seguridad, y a medida que se añaden nuevas funcionalidades para generar ingresos, la seguridad se ve comprometida.

¿Qué recomienda el Dr. Eric Cole acerca de establecer metas para los CISOs?

El Dr. Cole sugiere que los CISOs deben establecer metas específicas, medibles, alcanzables, relevantes y con plazos definidos. En lugar de simplemente decir que desean un nuevo trabajo, deben detallar exactamente lo que quieren, como convertirse en CISO de una empresa Fortune 100 con un salario base de 450k USD y una compensación total de 800k USD.

¿Cuál es el propósito de la estrategia de 'tomar acción' mencionada en el podcast?

El propósito de la estrategia de 'tomar acción' es evitar la procrastinación. El Dr. Cole destaca que los CISOs deben comenzar a trabajar en su crecimiento personal y profesional, como producir contenido, hablar en eventos, y actualizar su currículum, incluso si no están buscando trabajo activamente, para estar preparados para cualquier oportunidad que surja.

¿Cómo debe un CISO manejar las entrevistas si aún no está buscando un empleo?

El Dr. Cole recomienda que, aunque un CISO no esté buscando trabajo, debe prepararse para las entrevistas. Esto incluye mejorar su currículum y practicar las entrevistas. Al hacerlo, el CISO mejora sus habilidades y puede recibir ofertas inesperadas que podrían alinearse con sus metas profesionales a largo plazo.

¿Qué importancia tiene la comunicación de los CISOs con los ejecutivos de la empresa?

La comunicación con los ejecutivos es crucial para alinear la estrategia de seguridad cibernética con los objetivos empresariales. El Dr. Cole menciona que los CISOs deben educar a los ejecutivos sobre las realidades de la seguridad cibernética, incluyendo la inevitabilidad de las brechas de seguridad y cómo la seguridad debe ser vista como una cuestión de gestión de riesgos y no como una solución total.

¿Qué significa que la ciberseguridad sea un 'problema empresarial'?

La ciberseguridad es un 'problema empresarial' porque no es responsabilidad exclusiva del CISO o del equipo de seguridad. Cada unidad de negocio debe ser responsable de implementar prácticas de seguridad dentro de su área, ya que cualquier vulnerabilidad puede comprometer a toda la organización.

¿Qué deben hacer los ejecutivos para fortalecer la seguridad cibernética en la empresa?

Los ejecutivos deben establecer indicadores clave de rendimiento (KPIs) relacionados con la ciberseguridad para cada unidad de negocio. Esto incluye recompensar a los líderes que sigan las políticas de seguridad y penalizar a aquellos que no lo hagan, asegurando que todos estén alineados con la cultura de seguridad de la organización.

¿Por qué es importante la mentalidad de riesgo calculado en la toma de decisiones empresariales?

El Dr. Cole destaca que la ciberseguridad no debe ser vista como una decisión binaria de 'sí' o 'no'. Los ejecutivos deben hacer decisiones informadas sobre los beneficios y los riesgos involucrados, reconociendo que el crecimiento empresarial implica riesgos. La clave es evaluar si los beneficios justifican los riesgos de exposición.

¿Cómo pueden los CISOs influir en la cultura organizacional de seguridad cibernética?

Los CISOs deben trabajar desde el nivel ejecutivo para establecer una cultura de seguridad. Esto incluye educar a los ejecutivos sobre las reglas y principios fundamentales de la ciberseguridad y asegurarse de que los ejecutivos se responsabilicen de la seguridad dentro de sus respectivas unidades de negocio.

¿Qué hacer si la dirección no escucha a los CISOs sobre la ciberseguridad?

El Dr. Cole recomienda que si los ejecutivos no toman en serio las advertencias del CISO, el CISO debería considerar buscar oportunidades en otra organización. Es fundamental que el CISO esté en un entorno donde se valore la seguridad y se escuchen sus recomendaciones. De lo contrario, la situación puede ser insostenible a largo plazo.