CISO virtual
La mayoría de las organizaciones de tamaño medio llegan a un punto en el que la seguridad ha dejado de ser «algo de lo que se ocupa el departamento de TI de forma secundaria», pero aún no justifica la contratación de un ejecutivo a tiempo completo con un salario de seis cifras. Esa brecha es precisamente para lo que sirve el puesto de CISO virtual: liderazgo continuo en materia de seguridad, estrategia, priorización de riesgos, comunicación con el consejo de administración y los clientes, y supervisión de programas, sin los gastos generales que conlleva un puesto a tiempo completo.
Lo que no es un vCISO es un técnico a tiempo parcial que se presenta para aplicar parches a los servidores unas pocas horas al mes. El valor reside en el criterio y la responsabilidad a nivel directivo: alguien capaz de sentarse frente a su consejo de administración o a un cliente clave y hablar con credibilidad sobre los riesgos, que pueda decidir qué es lo que realmente hay que hacer primero entre un centenar de prioridades contrapuestas, y que sea responsable de que el programa mejore realmente con el tiempo, no solo de elaborar informes.
Así es como se presenta en la práctica
Trabajo como parte integrante de su proceso de liderazgo, no como un consultor externo que se incorpora de forma puntual para entregar un resultado puntual. Esto implica comprender su negocio lo suficientemente bien como para priorizar la inversión en seguridad en función de lo que realmente pueda permitirse y de lo que la empresa necesite proteger de verdad, y no basarme en una lista de verificación genérica de madurez. Significa asumir la responsabilidad de la hoja de ruta de seguridad, traducir el riesgo técnico en decisiones sobre las que su equipo directivo y su consejo de administración puedan actuar realmente, y ser la persona que responda de la dirección del programa.
Dependiendo de su situación, esto podría significar crear un programa de seguridad prácticamente desde cero, poner orden en un conjunto de herramientas y políticas improvisadas que se han ido acumulando sin una estrategia subyacente, o bien proporcionar una supervisión experta a un equipo interno que cuenta con las habilidades técnicas, pero carece de alguien a nivel estratégico que dirija dónde se aplican dichas habilidades. En cualquier caso, se trata de una relación continua, no de una intervención puntual, ya que un liderazgo en materia de seguridad que aparece una vez y luego desaparece no cambia realmente el funcionamiento diario de una organización.
A quién va dirigido
Si necesita dar cuenta ante un consejo de administración, un organismo regulador o un cliente importante sobre su situación de seguridad y, en la actualidad, no cuenta con nadie que pueda abordar el tema de forma creíble, si sus iniciativas de seguridad le parecen dispersas y carecen de una dirección general, o si aún no está preparado para contratar a un CISO a tiempo completo, pero es evidente que ya no le basta con tratar la seguridad como un proyecto secundario de TI, merece la pena que hablemos.
Descubra cómo podríamos colaborar de forma continuada en el marco de un vCISO.