Para directores generales, consejos de administración y altos directivos que deseen una segunda opinión sin ánimo de venta
Un asesor para el ejecutivo que debe tomar la decisión, no para el equipo que debe llevarla a cabo
La mayor parte del asesoramiento en materia de seguridad que recibe un director general procede de alguien que tiene algo que vender: un proveedor, una consultora que necesita cubrir una cartera de clientes o un equipo interno que debe defender su presupuesto. No se trata de deshonestidad, sino de la estructura del sistema. Lo que suele faltar es una persona sin producto, sin equipo y sin intereses en la respuesta, que haya estado lo suficientemente cerca de las brechas de seguridad y de las salas de juntas como para indicarle qué es lo que importa y qué no. Esa es la relación de asesoramiento que ofrezco, y la mantengo lo suficientemente reducida como para poder ser sincero.
Qué abarca
Las decisiones que llegan al escritorio del ejecutivo y no pueden delegarse: si el responsable de seguridad con el que cuenta es el que necesita; si el presupuesto está bien estructurado; qué se debe comunicar al consejo de administración, y cómo, tras un incidente o antes de la implantación de la IA; si se debe pagar un rescate y quién lo decide; si el seguro cubrirá los gastos; qué preguntaría un organismo regulador o un demandante; y cuáles de las cuestiones por las que se le dice que debe preocuparse merecen realmente su atención. He escrito sobre varios de estos temas en las páginas dirigidas a directivos, incluyendo lo que el consejo de administración debería preguntar al CISO y dónde recae realmente la responsabilidad personal.
Cómo funciona
Un acuerdo permanente, unas pocas horas al mes con un teléfono al que se responde cuando surge algún incidente, o una tarea concreta: una segunda opinión sobre una evaluación, la preparación de una reunión de la junta directiva, una perspectiva independiente durante un incidente. Todo de forma confidencial, todo por escrito cuando lo desee, y ninguna recomendación que no esté dispuesto a defender ante su auditor.
Lo que no es
No se trata de un CISO externo a tiempo parcial; le asesoro, no dirijo el departamento. Tampoco es una evaluación, aunque le indicaré cuándo necesita una y cómo interpretarla. Y tampoco es una garantía de tranquilidad. Si lo que desea es que le digan que todo está en orden, hay formas más económicas de conseguirlo.
De dónde procede esto
Treinta años liderando el ámbito de la seguridad, unos veinte de ellos con experiencia práctica en la respuesta a incidentes, un doctorado centrado en la ciberseguridad, la inteligencia artificial y el uso delictivo de la tecnología, y una dilatada trayectoria asesorando a consejos de administración y directivos en organizaciones que van desde startups hasta gobiernos. La mayor parte de ese trabajo está sujeto a un acuerdo de confidencialidad. Lo que puedo compartir aquí, lo hago.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Estudio: Su consejo de administración necesita una decisión, no otro panel de control de seguridad
- Investigación: ¿Cómo puede un consejo de administración verificar que el riesgo cibernético está mejorando?
- Investigación: ¿Debería adquirir una nueva herramienta de seguridad o mejorar los controles con los que ya cuenta?
- Resumen: ¿Qué debería preguntar el consejo de administración al CISO? Siete preguntas que obtienen respuestas reales
- Resumen: ¿Pueden los ejecutivos y directores ser considerados personalmente responsables de una violación de datos?
- Resumen ¿Nos pagará realmente nuestro seguro de ciberriesgos? Qué hay que comprobar antes de la renovación
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un CISO externo a tiempo parcial que establece las normas y toma las decisiones difíciles: liderazgo sénior en materia de seguridad a tiempo parcial: la dirección, las decisiones difíciles, el consejo de administración y los cuestionarios, mientras una persona competente de su equipo se encarga de la gestión diaria.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Para los reclutadores y las empresas de selección de personal: para qué soy adecuado y para qué no lo soy. Una respuesta clara para las empresas de selección: puestos, compatibilidad, incompatibilidad y cómo obtener de mí un «sí» o un «no» rápido.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Directores generales y directores de operaciones que deseen contar con una opinión independiente en materia de seguridad a la que puedan recurrir antes de tomar una decisión.
- Consejos de administración y comités de auditoría que buscan un asesor que no tenga ningún interés personal en la respuesta.
- Fundadores e inversores que se enfrentan a una decisión en materia de seguridad que perdurará más allá de las personas que la recomiendan.