Liderazgo en Ciberseguridad

Definir el puesto de la persona de seguridad líder en un empresa puede ser una tarea desafiante y, a veces, confusa. Hay varios títulos de trabajo como; Director de Seguridad (CSO), Director de Riesgos, Director de Seguridad de la Información (CISO), Vicepresidente, Seguridad de TI, Vicepresidente o Director de Seguridad de la Información. A pesar de títulos o posición funcional, se espera que el rol principal en una organización de seguridad use muchos sombreros y resuelva una gran cantidad de problemas estratégicos, operativos y tácticos.

El líder de seguridad de hoy debe mantener el pulso en una plétora de iniciativas de seguridad. A continuación se muestra una lista de iniciativas de seguridad que un líder de seguridad administraría o tendría un impacto paralelo dentro de una empresa:

 

Seguridad de datos	Gestión de proveedores	Presupuestos y previsiones	seguridad de los sistemas de red	Recuperación ante desastres (DR)
seguridad de la aplicación	Gestión de acceso e identidad (IAM)	Gestión de vulnerabilidades (VM)	Almacenamiento de datos	Continuidad del negocio (BC)
Soluciones habilitadas para la nube: SaaS, IaaS, PaaS	Desarrollo de políticas y controles con implementación	Gestión de la tolerancia al riesgo empresarial	Comunicación con ejecutivos y miembros de la junta	Liderazgo de recursos humanos
Planificación de Respuesta a Incidentes (IRP)	Planificación de la arquitectura de seguridad de varios años	Gestión y soporte de auditoría	Mitigación de infracciones	Manténgase actualizado con soluciones de seguridad de vanguardia

Combine la lista anterior de iniciativas de seguridad con las siguientes declaraciones sobre los entornos en los que se ubican los líderes de seguridad, y rápidamente se dará cuenta de que se necesita un cambio práctico pero manejable. Los líderes de seguridad de la información de hoy se enfrentan a:

1. Soluciones puntuales propietarias de múltiples proveedores. Esto crea arquitecturas de seguridad financieramente ineficientes con mayores vulnerabilidades.
2. Estructura de informes alineados con la tecnología. Los líderes de seguridad informan principalmente al CIO. Las iniciativas de seguridad vistas principalmente como soluciones tecnológicas crean una desalineación con los requisitos comerciales. Esto aumenta los costos de gasto en seguridad.
3. Obtener un presupuesto de seguridad efectivo es una batalla constante. Si el presupuesto de seguridad se compara con un porcentaje del presupuesto de TI, esto crea una postura de seguridad ineficaz para la empresa.
4. A los sombreros negros (criminales) no les importa. Es decir, a los piratas informáticos malos no les importa si debe cumplir con una política o ley, ni les importa su presupuesto o recursos. El tiempo está del lado de los sombreros negros: solo tienen que tener suerte una vez.
5. Históricamente, los equipos de seguridad se han construido en silos verticales. Esto aumenta la falta de comunicación y debilita la confianza entre las líneas de negocio.

El nuevo líder en seguridad de la información debe concebirse como un líder integrador. Esta persona acepta las responsabilidades y responsabilidades del puesto, pero lidera y administra con un pensamiento de orden superior. El puesto requiere una persona que pueda acercarse a la discusión técnica para resolver problemas tácticos mientras colabora y se comunica cómodamente con los altos ejecutivos. Los líderes de seguridad de hoy deben ser vistos como agentes de cambio, constructores de cultura, transformadores, visionarios pero capaces de mantener sus dedos en el pulso táctico de la postura de seguridad de la empresa. Su posición relativa a la empresa debe ser transparente para el equipo ejecutivo. La capacidad de presentar información de seguridad a los informes directos o durante una reunión de la junta a un nivel comprensible para la audiencia es de vital importancia para la gestión general de riesgos del negocio. El nuevo integrador líder en seguridad operativa es proactivo con lo siguiente:

• Visualiza el valor de la seguridad de forma horizontal: llega a otros departamentos, como operaciones, finanzas, recursos humanos, ventas y legal. Es un constructor de puentes entre disciplinas, departamentos y partes interesadas
• Mejora la colaboración a través de la comunicación mientras genera confianza dentro y fuera de la organización de seguridad.
• Invierte en tecnologías de seguridad que respaldan los objetivos comerciales.
• Escucha activamente mientras acepta de manera proactiva las críticas de sus subordinados, ejecutivos y miembros de la junta.
• Tiene experiencia en negocios y tecnología y piensa como un pensador estratégico "holístico".
• Aprende constantemente y se mantiene al tanto de las tendencias de seguridad emergentes, al tiempo que trasciende el aprendizaje a los empleados, la organización o los socios.
• Es un líder sirviente persistente para los demás y ayuda a las personas a convertirse en líderes por derecho propio.

El nuevo líder de seguridad de la información entiende que la seguridad trasciende tecnología. La tecnología es el habilitador de los negocios, pero la seguridad es el programa general de protección de las operaciones comerciales. Se requerirá que los líderes de seguridad del mañana integren de manera efectiva y eficiente a las personas, los procesos y las tecnologías de vanguardia para garantizar una postura de seguridad consistentemente relevante para el negocio. Esto requiere visión para los negocios y la capacidad de pensar críticamente para resolver problemas complejos. Ha llegado el momento de que los líderes de seguridad del mañana aborden primero la seguridad como un problema comercial, seguido de los conjuntos de habilidades de apoyo, los procesos comerciales y las tecnologías necesarias para proteger la empresa.