Para organizaciones que cuentan con una estrategia de seguridad, pero cuya aplicación no es la suficiente
Un director de programa que convierte la estrategia en acciones concretas
La mayoría de las estrategias de seguridad fracasan en la fase intermedia: no en la concepción ni en las herramientas, sino en los dieciocho meses en los que el plan debe sobrevivir al control de cambios de TI, a un equipo financiero que exige cifras, a proveedores que no cumplen y a una empresa que no deja de solicitar excepciones. La labor de un director de programa consiste en hacerse cargo de esa fase intermedia. Lo he logrado gracias a la profundidad técnica necesaria para distinguir un hito real de uno simplemente declarado, y a la paciencia organizativa para sacar adelante los proyectos.
De qué me encargaría
El plan, con prioridades lo suficientemente concretas como para poder completarlas. El presupuesto, con los gastos asignados a los riesgos que se pretende reducir, en lugar de a las facturas recibidas. Las dependencias de TI, ingeniería, compras y asuntos jurídicos, que es donde la mayoría de los programas de seguridad se estancan en la práctica. Los proveedores, obligados a cumplir con lo que vendieron. Las medidas, elegidas de tal forma que "hecho" signifique que el control funciona, no que el proyecto se haya cerrado. Y la presentación de informes a los superiores: lo que se ha entregado, lo que se ha retrasado, lo que se ha aceptado como riesgo porque no recibirá financiación, y quién lo ha autorizado. He escrito sobre por qué un programa es una operación, no un documento, y así es como gestionaría el suyo.
Cómo colaboro con el CISO y la empresa
El CISO marca el rumbo y es el responsable de las conversaciones sobre riesgos con el consejo de administración. Yo hago realidad esa dirección y le aporto la evidencia al CISO. Con la empresa, negocio: cambiaré un plazo por una razón operativa real, por escrito, con el riesgo reevaluado, y no lo cambiaré por una simple preferencia. Esa regla, aplicada de forma coherente, constituye la mayor parte de la gestión de programas.
La elección adecuada
Este puesto funciona cuando los responsables desean obtener resultados y están dispuestos a escuchar qué es lo que los está obstaculizando. No funciona cuando el programa es un limbo en el que se posponen decisiones que nadie quiere tomar, o cuando "director del programa" significa "coordinador de proyecto sin autoridad alguna" Me gustaría ver el plan, el presupuesto y los tres últimos informes de situación antes de que hablemos en serio; ellos me dirán si el puesto es real.
De dónde procede esto
Treinta años liderando los programas de seguridad y desarrollando programas y operaciones en organizaciones que van desde startups hasta gobiernos nacionales, incluidas aquellas en las que el plan se había redactado tres veces y no se había llevado a cabo ni una sola vez. La mayor parte de ello está sujeto a un acuerdo de confidencialidad. Lo que puedo decir aquí, lo digo.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo se establece una carga de trabajo sostenible para un equipo de seguridad?
- Investigación: Su evaluación de brechas de ciberseguridad ha finalizado. ¿Y ahora qué?
- Investigación: ¿Debería adquirir una nueva herramienta de seguridad o mejorar los controles con los que ya cuenta?
- Resumen ¿Es suficiente nuestro presupuesto de ciberseguridad? Cómo saberlo sin un punto de referencia
- Breve: ¿Quién puede asumir un riesgo cibernético en nombre de la empresa?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Liderazgo transformador para una función de seguridad que debe cambiar, no solo crecer. Liderar la reconstrucción: el modelo operativo, el equipo, el conjunto de herramientas y la gobernanza, en un orden que permita mantener el funcionamiento mientras se produce el cambio.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Los CISO que necesitan a alguien que se encargue de la ejecución para poder centrarse en el diálogo sobre los riesgos.
- Directores de sistemas de información (CIO) y directores de operaciones (COO) cuyo programa de seguridad cuenta con una estrategia y un presupuesto, pero sigue sufriendo retrasos.
- Responsables de transformación que necesitan que la seguridad se integre en un programa de cambio más amplio.