Para aquellas organizaciones cuyo responsable de seguridad haya abandonado la empresa o esté a punto de hacerlo
Un CISO interino que mantenga la situación bajo control mientras contrata al candidato adecuado
Cuando un CISO abandona su cargo, la organización dispone de aproximadamente una semana antes de que esa vacante empiece a suponer un coste: una decisión que nadie toma, un cuestionario que nadie firma, una reunión de la junta directiva con una silla vacía, un incidente sin nadie al mando. Un líder interino existe para cubrir esa vacante desde el primer día y mantenerla cubierta el tiempo suficiente para que pueda contratar a la persona adecuada. Un mal nombramiento de un CISO realizado a toda prisa cuesta dos años. Una gestión adecuada de ese vacío cuesta un trimestre. He elaborado una lista de lo que hay que hacer en los primeros 30 días sin un CISO; contratarme como responsable interino supone que esa lista quede completada.
De qué me encargo
Responsabilidad plena sobre los riesgos de seguridad durante un período acordado, normalmente de tres a seis meses, con la autoridad correspondiente. Desde la primera semana: se recopilan los conocimientos del líder saliente antes de que abandone el cargo, se protegen y renuevan todas las credenciales y relaciones con proveedores de las que disponía, se sustituyen los cargos reglamentarios que le asignaban, se revisan los incidentes abiertos y las aceptaciones de riesgo, y alguien que realmente esté al mando informa al equipo de lo que está sucediendo. A continuación, el trabajo habitual del cargo: las decisiones, el consejo de administración, los auditores, los clientes y todo lo que le depare el trimestre.
Lo que obtendrá al finalizar
Una función estable, una descripción por escrito del programa tal y como es en realidad, una breve lista de lo que el próximo responsable debería abordar en primer lugar y una descripción del puesto fijo que refleje lo que la organización necesita para los próximos tres años, en lugar de lo que casualmente hacía la persona anterior. Estaré encantado de colaborar en la búsqueda y el traspaso de funciones, y no seré candidato al puesto fijo a menos que ambos lo decidamos de forma temprana y abierta.
¿Por qué «interino» en lugar de «en funciones»?
Nombrar al director de sistemas de información (CIO) o a un alto directivo como "CISO en funciones" es una medida habitual, y suele significar que dicha función se desempeña con el tiempo que le sobra a esa persona de su trabajo real. Un responsable interino no tiene ningún otro trabajo. Esa es la diferencia entre que la función se cubra y que se desempeñe.
De dónde procede esto
Treinta años liderando el ámbito de la seguridad y aproximadamente veinte de experiencia práctica en respuesta a incidentes y operaciones, ejerciendo como experto en la materia para organizaciones que van desde startups hasta gobiernos nacionales. Me he enfrentado a situaciones reales en más de una ocasión. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad; lo que puedo contar aquí, lo cuento.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo puede un consejo de administración verificar que el riesgo cibernético está mejorando?
- Investigación: ¿Qué evidencia demuestra que un incidente cibernético está en proceso de contención?
- Resumen: «El CISO acaba de dimitir: cómo garantizar que las decisiones de seguridad sigan funcionando»
- Breve: ¿Qué debe aportar un nuevo CISO en sus primeros 90 días?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Un CISO externo a tiempo parcial que establece las normas y toma las decisiones difíciles: liderazgo sénior en materia de seguridad a tiempo parcial: la dirección, las decisiones difíciles, el consejo de administración y los cuestionarios, mientras una persona competente de su equipo se encarga de la gestión diaria.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Directores generales, directores de operaciones y consejeros jurídicos que acaban de perder a su responsable de seguridad y necesitan que dicha función se desempeñe adecuadamente.
- Consejos de administración y comités de auditoría que desean tener la garantía de que esa laguna queda cubierta por alguien que asuma la responsabilidad.
- Operadores de capital riesgo y de carteras con una empresa entre los líderes en seguridad.