Para empresas que necesitan asesoramiento de alto nivel en materia de seguridad, sin necesidad de contratar a personal a tiempo completo
Un CISO externo a tiempo parcial que establece las normas y toma las decisiones difíciles
El modelo fraccional funciona cuando se cuenta con alguien en la empresa que pueda tomar las decisiones de los martes y se necesita a una persona con experiencia para establecer las normas, tomar las decisiones difíciles y gozar de credibilidad ante el consejo de administración, los auditores y sus principales clientes. No funciona como un CISO externo a tiempo parcial. He escrito sobre cómo decidir entre ambas opciones, y prefiero que lea ese artículo y decida en contra de mi opinión antes que Contráteme para un puesto que requiere una dedicación a tiempo completo.
Cómo es una colaboración a tiempo parcial conmigo
Un número fijo de días al mes, acordado de antemano, con un adjunto designado de su lado que se encarga de la gestión diaria. Durante esos días: se establece la dirección y el plan del programa; las aceptaciones de riesgo cuentan con un responsable y una fecha de vencimiento; el proceso de gestión de incidentes cuenta con responsables de la toma de decisiones designados y se lleva a cabo un simulacro; el consejo de administración recibe de mi parte una sesión informativa sobre la que puede tomar una decisión por escrito; y los cuestionarios de seguridad de sus clientes son respondidos por alguien cuya firma tenga peso. Entre una jornada y otra, estoy disponible para las decisiones que no pueden esperar, y acordamos de antemano cuáles son esas.
Lo que no hago en un puesto a tiempo parcial es gestionar su respuesta a incidentes hora a hora, encargarme de las evaluaciones de rendimiento de su equipo ni asistir a todas las reuniones de arquitectura. Si necesita todo eso, necesita un responsable a tiempo completo, y se lo diré sin rodeos.
A los reguladores, en su mayoría, no les importa cuál de ellas se utilice, siempre y cuando se mencione a alguien
Tanto la «Safeguards Rule» de la FTC como la normativa financiera de Nueva York permiten que el responsable de seguridad designado sea un proveedor de servicios, siempre que su organización mantenga la responsabilidad y que un alto cargo supervise el acuerdo. Las empresas que cotizan en bolsa deben describir quién gestiona el riesgo cibernético y cuál es su perfil de competencias. Un CISO externo a tiempo parcial cumple todos estos requisitos si el cargo es real. No los cumple si se trata únicamente de un nombre en un formulario.
Dónde funciona mejor
Empresas de menos de unos cientos de empleados, al margen de los sectores más regulados, que cuenten con un responsable competente de TI o ingeniería. Empresas en las que los CISO necesitan garantizar la continuidad sin tener que recurrir a una contratación apresurada. Empresas que necesitan que se desarrolle, documente y entregue el programa, con la opción de contratar a alguien para un puesto que ya está definido. Y empresas que se enfrentan a un suceso concreto, una auditoría de clientes, una renovación de seguro o un consejo de administración que ha comenzado a plantear preguntas, en las que el criterio de un alto cargo durante un tiempo determinado tiene más valor que una contratación permanente.
De dónde procede esto
Treinta años liderando el ámbito de la seguridad, unos veinte de ellos con experiencia práctica en respuesta a incidentes y operaciones de seguridad, y una larga trayectoria como experto en la materia para organizaciones que van desde startups hasta gobiernos nacionales. La mayor parte de ese trabajo está sujeto a un acuerdo de confidencialidad. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo se establece una carga de trabajo sostenible para un equipo de seguridad?
- Investigación: ¿Cómo puede un consejo de administración verificar que el riesgo cibernético está mejorando?
- Breve CISO a tiempo completo o CISO externo a tiempo parcial: ¿cómo se decide?
- Resumen: «El CISO acaba de dimitir: cómo garantizar que las decisiones de seguridad sigan funcionando»
- Breve: ¿Qué debe aportar un nuevo CISO en sus primeros 90 días?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un CISO interino que se encarga de mantener la situación bajo control mientras usted contrata al candidato adecuado. Responsabilidad total en materia de seguridad durante un período definido, de modo que la búsqueda pueda llevar el tiempo necesario para encontrar al candidato adecuado.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Directores generales y directores de operaciones de empresas en crecimiento que necesitan un responsable de seguridad antes de poder justificar la contratación de uno a tiempo completo.
- Consejos de administración que desean contar con una voz creíble e independiente en materia de seguridad a tiempo parcial.
- Organizaciones entre CISO que necesitan que la función siga funcionando mientras contratan a un sustituto.