How do CISOs measure success? (Part 2)

Summary

En este episodio del podcast 'Life of a CISO', el experto en ciberseguridad Dr. Eric Cole comparte valiosas lecciones para ser un CISO de clase mundial. Destaca la importancia de cambiar la mentalidad hacia una gestión realista de la seguridad, aceptando que las brechas son inevitables y el enfoque debe ser la detección rápida y la mitigación del daño. Además, subraya la necesidad de que los CISOs tengan acceso directo a los ejecutivos y se alejen de estructuras jerárquicas que limiten su influencia. La clave es crear expectativas realistas y transparentes para mejorar la seguridad de la organización.

Takeaways

• 😀 La ciberseguridad no es solo una carrera técnica, es necesario considerar también los aspectos estratégicos y de gestión.
• 😀 Las reacciones emocionales al ser presionado sobre temas sensibles pueden revelar áreas clave que necesitan atención o desarrollo.
• 😀 En lugar de mantener expectativas irreales, las organizaciones deben aceptar que los brechas de seguridad son inevitables y establecer métricas realistas para su gestión.
• 😀 Proponer métricas como permitir hasta 5 brechas por año con detección en 72 horas podría ser una forma más efectiva de gestionar la ciberseguridad.
• 😀 Vivir en un mundo donde se espera 100% de seguridad es una falacia, ya que la tecnología siempre tendrá vulnerabilidades inevitables.
• 😀 La mejor manera de alcanzar 'seguridad total' es eliminando la tecnología por completo, lo que no es práctico en el mundo moderno.
• 😀 Las conversaciones abiertas y honestas con los ejecutivos son esenciales para crear expectativas realistas sobre la ciberseguridad dentro de las organizaciones.
• 😀 Los líderes deben comunicar claramente que la perfección en ciberseguridad es un objetivo inalcanzable, y que el enfoque debe estar en la detección y mitigación rápidas de las brechas.
• 😀 A diferencia de las métricas de TI que permiten un pequeño margen de error (por ejemplo, 99.99% de tiempo de actividad), las métricas de ciberseguridad deben reflejar una desviación similar en las expectativas de brechas.
• 😀 Aceptar que las brechas ocurrirán y enfocarse en la detección rápida y la mitigación del daño es una estrategia más efectiva que simplemente tratar de evitar las brechas a toda costa.
• 😀 Los equipos de seguridad pueden ser más efectivos si ajustan su mentalidad y comienzan a pensar en la detección y control, en lugar de centrarse solo en la prevención.

Q & A

¿Por qué es importante que un CISO tenga experiencia más allá del título de 'CISO' o de ser parte del equipo de tecnología?

Es fundamental que un CISO tenga experiencia y un enfoque estratégico en lugar de centrarse únicamente en los aspectos técnicos. La capacidad de trabajar a nivel ejecutivo y colaborar con las partes interesadas es esencial para tener éxito en el rol. Un CISO debe ser capaz de pensar a largo plazo, no solo en la ejecución técnica de la ciberseguridad.

¿Por qué el modelo de reportar a un CIO es un obstáculo para el crecimiento de un CISO?

Cuando un CISO reporta a un CIO, a menudo se ve limitado en su capacidad para influir en las decisiones estratégicas de la empresa. La ciberseguridad debería ser vista como una función estratégica que depende directamente de la alta dirección, no solo de los equipos de IT. Esto limita el impacto real de las decisiones de seguridad en la organización.

¿Qué implica una organización con un nivel de madurez bajo en ciberseguridad según la clasificación del CISO?

En una organización con baja madurez en ciberseguridad, el CISO generalmente se enfrenta a problemas de percepción y falta de recursos. En este tipo de entorno, las responsabilidades del CISO son más técnicas y reactivas, y a menudo carece de la capacidad para influir en las decisiones estratégicas de la empresa.

¿Cómo puede un CISO avanzar desde un nivel bajo de madurez en ciberseguridad a uno más alto?

Un CISO debe enfocarse en construir una visión estratégica de la ciberseguridad, involucrarse directamente con los ejecutivos de la empresa, y generar confianza al demostrar que la ciberseguridad es un activo estratégico para el negocio. Esto requiere un cambio de enfoque de la seguridad reactiva a una estrategia proactiva.

¿Cuál es la falacia detrás de la idea de que no habrá nunca una brecha de seguridad?

La creencia de que nunca habrá una brecha de seguridad es una expectativa irreal. Las brechas son inevitables en cualquier entorno tecnológico, y el verdadero reto es detectar, contener y mitigar el daño lo más rápido posible. La clave no está en evitar las brechas por completo, sino en gestionarlas eficientemente cuando ocurren.

¿Qué significa un cambio de paradigma en la medición de la seguridad cibernética?

Un cambio de paradigma significa reconocer que las brechas de seguridad son inevitables y que la métrica de seguridad debe enfocarse en la detección temprana y en la mitigación del daño. En lugar de medir el éxito en términos de cero brechas, se debe establecer un número realista de brechas que se detecten rápidamente y se controlen eficazmente.

¿Por qué es importante que los CISOs tengan conversaciones abiertas con los ejecutivos sobre las brechas de seguridad?

Es crucial que los CISOs tengan conversaciones honestas con los ejecutivos porque muchas veces las expectativas sobre la seguridad son poco realistas. Al ser transparentes sobre la inevitabilidad de las brechas y establecer metas alcanzables para la detección y control, los CISOs pueden crear un enfoque más realista y efectivo para la gestión de la ciberseguridad.

¿Cómo cambiaría la cultura de seguridad en una organización si se adoptara la idea de que las brechas son inevitables?

Adoptar la idea de que las brechas son inevitables cambiaría la cultura hacia un enfoque más proactivo y resiliente. Las organizaciones se centrarían en la preparación y respuesta ante incidentes en lugar de depender de una defensa impenetrable. Esto permitiría a los equipos de seguridad operar con una mentalidad más práctica y menos ansiosa por la perfección.

¿Qué significa para un CISO tener un 'rol claro' y cómo puede conseguirlo?

Un rol claro para un CISO implica tener una definición precisa de sus responsabilidades, autoridad y el nivel de reporte dentro de la organización. Un CISO debe asegurarse de que su rol esté alineado con las expectativas estratégicas de la empresa y que su influencia se extienda a los niveles ejecutivos. Esto se logra estableciendo relaciones de confianza con la alta dirección y demostrando el valor de la ciberseguridad.

¿Por qué los CISOs deben dejar de perseguir la seguridad del 100% y cómo debería abordarse la gestión de la ciberseguridad?

Perseguir la seguridad del 100% es una meta irreal, y cualquier intento de lograrla es una pérdida de tiempo y recursos. En lugar de eso, los CISOs deben gestionar la ciberseguridad con un enfoque equilibrado que acepte la inevitabilidad de las brechas, detectándolas rápidamente y limitando su impacto. El objetivo debe ser la resiliencia y la capacidad de respuesta, no la perfección.