Para aquellas organizaciones cuyo programa de seguridad necesita una reconstrucción, y no simplemente otra capa
Liderazgo transformador para una función de seguridad que debe cambiar, no solo crecer
La transformación de la seguridad suele iniciarse a raíz de algún acontecimiento doloroso: una filtración, una auditoría fallida, una adquisición que duplicó el parque de activos, un nuevo organismo regulador o un consejo de administración que, por fin, planteó la pregunta que nadie podía responder. La tentación es responder con un programa de cien iniciativas. He liderado este tipo de cambio, y las organizaciones que lo superaron llevaron a cabo menos acciones, pero en el orden correcto, y mantuvieron en funcionamiento las operaciones existentes mientras lo hacían.
Cómo lideraría el cambio
En primer lugar, sepa de qué dispone. No se trata de una puntuación de madurez, sino de una imagen fiel de lo que se detecta, a lo que se responde, de lo que se gestiona y de lo que se da por sentado. La mayoría de las transformaciones fracasan porque se basan en el programa tal y como se describe, en lugar de en el programa tal y como es.
En segundo lugar, corrijan aquellos aspectos que hacen posible todo lo demás: la identidad, la visibilidad de los activos, la telemetría y los derechos de decisión. Nada de lo que se construya sobre estos pilares funcionará si están defectuosos, y suelen estarlo.
En tercer lugar, cambie el modelo operativo y, a continuación, las herramientas. Quién es responsable de cada capacidad, cómo fluye el trabajo, qué se mide y qué puede esperar la empresa. Las herramientas adquiridas antes de que esto quede establecido se configuran según el modelo antiguo y deben volver a configurarse.
En cuarto lugar, el equipo. La transformación modifica los puestos de trabajo. Las personas necesitan saber en qué se convertirá el suyo, quién se queda y cuál es ahora el panorama ideal. Si se gestiona mal, es aquí donde se pierde el conocimiento.
En todo momento: mantener el servicio en funcionamiento. El incidente que se produzca durante la transformación es el que determina si esta sobrevive. La capacidad de respuesta queda protegida frente al cambio, no sacrificada en aras de este.
Lo que obtendrá
Una función de seguridad con un modelo operativo claro, un conjunto de herramientas más reducido y mejor comprendido, medidas que tengan sentido, una gobernanza que el consejo de administración pueda aplicar y un equipo que sepa cómo funciona. Y un informe honesto a lo largo del proceso sobre lo que se ha aceptado en lugar de lo que se ha solucionado, de modo que el resultado final sea una decisión y no una sorpresa.
La elección adecuada
Se trata de un puesto de alto nivel, de duración limitada y exigente. Funciona cuando los responsables han decidido que el cambio es necesario y están dispuestos a financiarlo y respaldarlo. No funciona como un título otorgado a alguien de quien se espera que dirija la función existente y la transforme en su tiempo libre, ni tampoco funciona cuando cada cambio requiere la aprobación de un comité.
De dónde procede esto
Treinta años liderando el ámbito de la seguridad, con transformaciones impulsadas por incidentes, adquisiciones y cambios normativos en organizaciones que van desde startups hasta gobiernos. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad. Lo que puedo contar aquí, lo hago.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo se establece una carga de trabajo sostenible para un equipo de seguridad?
- Investigación: Su evaluación de brechas de ciberseguridad ha finalizado. ¿Y ahora qué?
- Investigación: ¿Cómo saber si su SOC es realmente eficaz?
- Breve: ¿Qué debe aportar un nuevo CISO en sus primeros 90 días?
- Resumen ¿Es suficiente nuestro presupuesto de ciberseguridad? Cómo saberlo sin un punto de referencia
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un director de programa que convierte la estrategia en acciones concretas. Responsabilidad total sobre el programa de seguridad de principio a fin: planificación, presupuesto, personal, dependencias e informes veraces sobre lo que realmente se lleva a cabo.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Directores generales, directores de sistemas de información y consejos de administración que han decidido que la función de seguridad debe cambiar y desean que esté dirigida por alguien que ya haya desempeñado esa función.
- Operadores de capital riesgo que reestructuran la seguridad en una empresa de su cartera tras su adquisición.
- Los CISO que desean un líder de transformación para poder seguir dirigiendo su departamento.