Repensar el liderazgo de ciberseguridad en un paisaje de amenaza cambiante
Por Paul WattsAsesor de liderazgo y estrategia de CISO y analista distinguido, Foro de Seguridad de la Información
El año pasado, 343 millones de personas fueron víctimas de violaciones de datos, lo que costó a los negocios $ 4.88 millones en promedio; El cibercrimen más costoso es el compromiso de correo electrónico comercial, que representa $ 3 mil millones en pérdidas. Y, sin embargo, solo el seis por ciento de los CEO ve la ciberseguridad como una prioridad. El hecho es que siempre ha habido una desalineación entre los negocios y el liderazgo de seguridad sobre la resiliencia de ciberseguridad.
En la superficie, la mala percepción del valor comercial de ciberseguridad parece un problema de comunicación. La mayoría de los CISO luchan por hablar el lenguaje de los negocios, mientras que el liderazgo no técnico lucha por comprender la jerga técnica. Al observar el problema más de cerca, el problema puede estar más profundamente arraigado en la estructura de los equipos tradicionales de ciberseguridad y los roles de liderazgo de seguridad.
El modelo de operación centralizado centralizado de Hub y radios ya no se ajusta para su propósito
La mayoría de los equipos de ciberseguridad comenzaron como funciones transaccionales orientadas al servicio, tomando órdenes de los equipos de TI o del negocio. Pero a medida que estas funciones evolucionan y se vuelven más independientes (particularmente en organizaciones grandes), asumen un papel más centralizado en el que se supone que su trabajo es promulgar la gestión de riesgos y supervisar todos los aspectos y procesos comerciales. Si bien los CISO creen que están ayudando a proteger el negocio, la percepción o la imagen puede ser lo contrario: el 43% de las juntas considera que los CISO son demasiado repetitivos, persistentes o demasiado negativos.
La verdad es que las actividades cotidianas de seguridad, cumplimiento y supervisión pueden ser tan abrumadoras y pesadas para los CISO que terminan extendiéndose demasiado delgados perdiendo de vista las prioridades y la dirección comerciales. Finalmente, la relación entre la seguridad y los equipos comerciales sufre, y el valor percibido se reduce.
El apodo de CISO también está siendo abusado
Siempre ha habido conceptos erróneos y confusiones en torno a lo que los CISO realmente hacen y lo que se espera de ellos. Por ejemplo, hay un aumento del 35% en los roles de CISO que se ocupan sin que las organizaciones comprendan completamente lo que implican sus roles.
Algunos CISO se ponen un título llamativo pero supervisan solo un pequeño aspecto de las funciones de seguridad; Algunos CISO tienen una influencia limitada y no están incluidos en las decisiones estratégicas; Algunos CISO simplemente son contratados para cumplir con los mandatos reglamentarios o reglamentarios, como el requisito de divulgación cibernética de la SEC. Este abuso del apodo de CISO junto con su confuso remit hace poco para promover el patrimonio neto en un negocio y sala de juntas desconectados.
Descentralización de ciberseguridad con un biso
La mayoría de los CISO recientemente encuestados (84%) cree que el papel de CISO debe dividirse en dos funciones: negocios y técnicos. Sin embargo, la realidad es que los CISO modernos necesitan gastar una proporción cada vez mayor de su tiempo trabajando con el liderazgo empresarial, desarrollando valiosas estrategias de seguridad que se alinean con los objetivos comerciales al tiempo que garantiza que el negocio se mantenga al tanto de riesgos, amenazas, regulaciones y cumplimiento.
Un nuevo rol emergente, el Oficial de Seguridad de la Información Empresarial (BISO), está ayudando a CISOS a lograr esto, centrándose en forjar vínculos más cercanos con los equipos regionales y comerciales, diseñando la propuesta de valor de seguridad adecuada que respalda los objetivos estratégicos o departamentales.
El BISO también sirve como los brazos y las piernas de un CISO, impulsando la ejecución de estrategias de seguridad en todo el negocio y alimentando al CISO con ideas y aportes comerciales muy necesarios. Estas entradas permiten a los CISO alinear mejor la estrategia de seguridad con la estrategia comercial y desglosar las barreras de comunicación entre los equipos comerciales y de ciberseguridad.
La decisión de a bordo de un biso finalmente se reduce a la escala de un equipo de seguridad y la distribución geográfica de la organización. Las CISO de las empresas más pequeñas pueden considerar la cría de “campeones de seguridad” en primera instancia, alineando la ciberseguridad más cerca de la empresa misma, lo que puede comenzar a ofrecer los cambios progresivos necesarios para la cultura de la seguridad organizacional. Dicho esto, no es solo responsabilidad del CISO comprender mejor el negocio; Es igualmente importante que los líderes empresariales tengan un interés más profundo en la estrategia de ciberseguridad. Tener transparencia sobre el papel de CISO es crucial para garantizar que las CISO estén establecidas para el éxito y puedan gestionar efectivamente los riesgos e impulsar la resiliencia de seguridad entre la organización.
Más información
www.securityforum.org/meet-the-experts/paul-watts