Para consejos de administración, directores generales y búsqueda de ejecutivos
Contráteme a mí como CISO que haya dirigido la respuesta, no solo que haya informado sobre ella
Si está contratando a un CISO, probablemente haya leído cuarenta currículos en los que todos dicen "strategic" y "risk-based approach.". Esto es lo que dice el mío más allá de eso. He dedicado treinta años a dirigir la seguridad y unos veinte de ellos trabajando directamente en incidentes reales y en las operaciones que los abordan. He creado equipos de Operaciones de seguridad partiendo de cero y he reestructurado otros que aparentaban estar muy ocupados, pero que en realidad no lo estaban. Me he sentado frente a consejos de administración tanto durante una brecha de seguridad como tras ella. Y he realizado la labor académica necesaria, mediante un doctorado en ingeniería informática centrado en la ciberseguridad, la inteligencia artificial y el uso delictivo de la tecnología, por lo que mi criterio se sustenta en una base teórica sólida.
Qué haría realmente en este puesto
La tarea no consiste en hacer que la organización se sienta segura. Consiste en averiguar en qué situación se encuentra, decidir qué mantener y qué corregir, y crear un sistema operativo que demuestre que funciona. En la práctica, eso implica tres aspectos en los que yo me pondría manos a la obra durante el primer trimestre: una evaluación honesta que incluya lo que el anterior responsable no mencionó; los tres riesgos que realmente podrían causar daños, en términos empresariales, con un plan adaptado al presupuesto del que se disponga; y un proceso de gestión de incidentes con responsables de la toma de decisiones designados que se haya probado al menos una vez sobre el papel. He puesto por escrito lo que un nuevo CISO debería lograr en 90 días, y yo mismo me comprometería a cumplirlo.
Más allá del primer trimestre: una operación de seguridad que se evalúa en función de la detección y la contención, en lugar del recuento de alertas; una relación con el consejo de administración basada en decisiones, en lugar de en paneles de control; y un equipo capaz de dirigir el departamento en mi ausencia. No adquiero herramientas antes de comprender el problema, ni reorganizo un equipo antes de comprenderlo.
Dónde encajo y dónde no
Me adapto a organizaciones en las que la seguridad es fundamental para su licencia de funcionamiento o para su producto: sectores regulados, infraestructuras críticas, cualquier ámbito que maneje datos sensibles o se enfrente a adversarios serios. Encajo en consejos de administración que prefieren una verdad incómoda a una presentación complaciente. Encajo en directores generales que otorgan al cargo la autoridad para detener el trabajo y un presupuesto que no pueda reasignarse discretamente, ya que, sin ello, el cargo queda en mera fachada.
No encajo en un puesto en el que se deba rendir cuentas ante alguien evaluado en función del lanzamiento de funcionalidades y sin posibilidades de llegar al consejo de administración. No encajo en una organización que desee una función de cumplimiento normativo con un cargo de nivel ejecutivo. Y no soy la persona que le dirá que todo va bien.
De dónde procede esto
Gran parte de mi trabajo no puede describirse en público, y parte de él no puede compartirse en absoluto. Lo que sí puedo decir es que he prestado mis servicios como experto en la materia a empresas de primer orden, startups, particulares con un elevado patrimonio, ONG y gobiernos de EE. UU. y de países aliados, desde el ámbito municipal hasta el nacional. He participado tanto en casos que han sido noticia como en otros que no lo han sido. Del resto hablamos de forma confidencial.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo puede un consejo de administración verificar que el riesgo cibernético está mejorando?
- Estudio: Su consejo de administración necesita una decisión, no otro panel de control de seguridad
- Investigación: ¿Cómo saber si su SOC es realmente eficaz?
- Breve: ¿Qué debe aportar un nuevo CISO en sus primeros 90 días?
- Breve: ¿Debería el CISO rendir cuentas ante el CIO o ante el CEO?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un CISO externo a tiempo parcial que establece las normas y toma las decisiones difíciles: liderazgo sénior en materia de seguridad a tiempo parcial: la dirección, las decisiones difíciles, el consejo de administración y los cuestionarios, mientras una persona competente de su equipo se encarga de la gestión diaria.
- Un CISO interino que se encarga de mantener la situación bajo control mientras usted contrata al candidato adecuado. Responsabilidad total en materia de seguridad durante un período definido, de modo que la búsqueda pueda llevar el tiempo necesario para encontrar al candidato adecuado.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Consejos de administración y directores generales que buscan un responsable de seguridad que haya vivido en primera persona una brecha de seguridad, y no solo haya asistido a una sesión informativa al respecto.
- Empresas de selección de altos directivos con un mandato de CISO en las que el cliente necesita tanto profundidad operativa como presencia.
- Organizaciones entre líderes que deseen hablar sobre una cobertura interina o a tiempo parcial mientras realizan su búsqueda.