Para los líderes que disponen del presupuesto necesario para formar un equipo y desean que sea de calidad
Crear un equipo de seguridad capaz de realizar el trabajo, no solo de superar la entrevista
He contratado a muchos profesionales de la seguridad y me he equivocado con la suficiente frecuencia como para haber cambiado mi forma de actuar. El currículum con más siglas rara vez pertenecía a la persona capaz de detectar la intrusión. El candidato discreto que había pasado años reparando sistemas averiados solía ser quien lo conseguía. Para crear un equipo eficaz, hay que empezar por definir el trabajo, luego contratar en función de la capacidad demostrada para realizarlo y, por último, liderar de tal forma que las personas competentes quieran quedarse. Ninguno de estos pasos es complicado. Sin embargo, todos ellos suelen pasarse por alto.
Defina el trabajo antes que las funciones
La mayoría de las descripciones de puestos de trabajo son un cajón de siglas vaciado en una página. Empiece, en cambio, por lo que el equipo debe ser capaz de hacer: investigar una alerta hasta llegar a una conclusión, redactar una regla de detección y demostrar que se activa, recuperar un sistema, explicar un riesgo al responsable de un negocio, gestionar un puente a las 2 de la madrugada. El marco de personal del NIST ofrece un vocabulario de tareas, conocimientos y habilidades precisamente para esto, y yo lo utilizo como lista de verificación, no como plantilla. Una vez enumeradas las tareas, los puestos de trabajo surgen de forma natural, al igual que la plantilla real necesaria.
Contráteme por lo que saben hacer
Un certificado le indica que alguien es capaz de reconocer la respuesta correcta en una pantalla. Un ejercicio breve y realista le indica si es capaz de encontrarla cuando la respuesta no figura entre las opciones. Someto a los candidatos a situaciones delimitadas y relevantes para el puesto de trabajo, con una puntuación coherente, y les doy más peso que a las titulaciones. He escrito sobre el motivo en El problema de competencia del sector de la certificación. Se tarda un poco más por candidato, pero se ahorra un año por cada contratación errónea.
Estructura orientada a la cobertura, no a la simetría del organigrama
La detección, la respuesta, la ingeniería y la gobernanza requieren personas y medidas diferentes. Los equipos pequeños necesitan generalistas con una especialidad profunda cada uno; los más grandes necesitan especialistas con suficiente solapamiento para que nadie sea un punto único de fallo. La estructura debe responder a dos preguntas: quién está de guardia cuando ocurre algo y quién conoce aquello que solo una persona sabe. Si alguna de las respuestas es "tendríamos que llamar a Dave", la estructura no está completa.
Conserve aquellos que merezcan la pena conservar
Los profesionales de la seguridad abandonan sus puestos por tres motivos: no aprenden, no se confía en ellos o se les culpa de los problemas que plantean. El equipo que dirijo cuenta con una trayectoria de crecimiento clara, una autoridad acorde con la responsabilidad y una norma según la cual se premia señalar un problema, mientras que ocultarlo es lo que le acarrea problemas. El salario es importante, pero rara vez es la razón por la que se marchan los mejores.
De dónde procede esto
Treinta años al frente de equipos de seguridad, en organizaciones que van desde startups hasta gobiernos, además de décadas dedicadas a la elaboración de planes de estudios y a la evaluación de competencias. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad. Lo que puedo decir aquí, lo digo.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo evalúa a los candidatos en materia de ciberseguridad antes de contratarlos?
- Investigación: ¿Cuándo debería exigirse una certificación para un puesto de trabajo en ciberseguridad?
- Investigación: ¿Cómo se sabe si la formación en ciberseguridad influye en el rendimiento laboral?
- Resumen: «El CISO acaba de dimitir: cómo garantizar que las decisiones de seguridad sigan funcionando»
- Breve: ¿Qué debe aportar un nuevo CISO en sus primeros 90 días?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
- Para los reclutadores y las empresas de selección de personal: para qué soy adecuado y para qué no lo soy. Una respuesta clara para las empresas de selección: puestos, compatibilidad, incompatibilidad y cómo obtener de mí un «sí» o un «no» rápido.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- CISO y directores que están creando o reestructurando un equipo de seguridad.
- Organizaciones que siguen contratando a personal certificado y siguen teniendo los mismos problemas.
- Líderes que desean recibir ayuda para diseñar los puestos, las evaluaciones y la estructura antes de la próxima contratación.