Para directores de sistemas de información (CIO), directores de seguridad de la información (CISO) y las personas encargadas de su contratación
Contráteme a mí como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma
El cargo de director es aquel en el que la seguridad se convierte en una realidad o se queda en un mero documento. El CISO marca el rumbo; el director hace que la detección funcione, que la respuesta se ponga en marcha, que los ingenieros implementen las soluciones y que las métricas tengan sentido. He desempeñado ese puesto en un nivel en el que aún se sabe cómo funcionan las herramientas y se puede detectar cuándo el panel de control del equipo muestra datos erróneos, y lo he hecho durante el tiempo suficiente como para saber qué problemas son técnicos y cuáles se deben a personas a las que no se les ha otorgado la autoridad necesaria.
Lo que este puesto obtiene de mí
Veinte y tantos años de experiencia práctica en respuesta a incidentes y Operaciones de seguridad, y treinta al frente de tareas de seguridad. He creado equipos, he puesto en marcha operaciones y he asumido otras que necesitaban una reestructuración sin que la empresa notara ninguna interrupción. Sé contratar personal, porque reconozco la competencia cuando no figura en un certificado. Sé gestionar un presupuesto sin sorpresas. Y sé realizar sesiones informativas para los superiores de tal manera que el CISO obtenga de la junta directiva lo que necesita, ya que he estado en ambos lados de esa conversación.
En concreto, esperaría encargarme de una combinación de: Operaciones de seguridad e ingeniería de detección; respuesta a incidentes y la preparación necesaria para ello; ingeniería y arquitectura de seguridad; decisiones sobre proveedores y herramientas; y el trabajo de programa que convierte una estrategia en acciones que se llevan a cabo cada martes.
Cómo dirijo un equipo
Una responsabilidad clara de cada capacidad, de modo que la persona a cargo pueda explicármela a mí y a un auditor. Medidas que nos avergonzarían si fueran deficientes, no medidas elegidas simplemente porque son «verdes». Una norma según la cual nadie sea culpado por plantear un problema y a todos se les pregunte por qué lo han ocultado. Y simulacros: el equipo practica las situaciones importantes antes de que se produzcan en la realidad, incluidas aquellas partes incómodas en las que la empresa no está de acuerdo con las medidas de contención.
La elección adecuada
Esto funciona cuando el CISO desea contar con un director que le informe de lo que realmente está ocurriendo, y cuando la organización está dispuesta a otorgar a dicho director autoridad real sobre las operaciones. No funciona cuando se espera que el director sea un analista sénior con un cargo de mayor rango, o cuando las decisiones que superan un determinado nivel de importancia se remiten a un comité que se reúne mensualmente. Si su proceso de gestión de incidentes requiere una reunión para aislar un servidor, querré solucionar eso en el primer trimestre, y prefiero que lo sepa ya.
De dónde procede esto
He ejercido como experto en la materia para empresas de primer orden, startups, ONG y administraciones públicas a todos los niveles, y he dirigido la respuesta en situaciones reales. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo saber si su SOC es realmente eficaz?
- Investigación: ¿Cómo se establece una carga de trabajo sostenible para un equipo de seguridad?
- Investigación: ¿Cómo se sabe si un control de seguridad sigue funcionando tras un cambio?
- Resumen: ¿Quién se encarga de gestionar un incidente cuando los departamentos de TI y de seguridad no se ponen de acuerdo?
- Resumen: «El CISO acaba de dimitir: cómo garantizar que las decisiones de seguridad sigan funcionando»
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un director de Operaciones de seguridad que mide la contención, no el número de alertasLiderazgo en detección y respuesta: el SOC, los ingenieros, los manuales de procedimientos y las medidas que nos avergonzarían si fueran deficientes.
- Un director de programa que convierte la estrategia en acciones concretas. Responsabilidad total sobre el programa de seguridad de principio a fin: planificación, presupuesto, personal, dependencias e informes veraces sobre lo que realmente se lleva a cabo.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Los CISO que necesitan un director capaz de dirigir las operaciones sin necesidad de una supervisión constante.
- Directores de sistemas de información (CIO) de organizaciones que carecen de un CISO y que necesitan un liderazgo de alto nivel en materia de seguridad que comprenda el negocio.
- Reclutadores con un mandato de director, jefe o responsable que requiera profundidad operativa.