Esta es una definición que se está manejando en cuanto a este Rol, mencionan que el CISO, es primordialmente un Director, opino que no debe ser únicamente así, bueno realmente vemos que se está convirtiendo rápidamente en un rol clave en casi todas las “grandes empresas de la actualidad”, cuando escucho esto me da la impresión que aún seguimos teniendo una segregación por la mediana y pequeña empresa, que al final del día igualmente cuentan con sus activos de TI, también ellos requieren de tener por lo menos a una persona con los conocimientos en ciberseguridad para dar frente a estos desafíos, de esta manera los invito a que abramos la mente y consideremos a todos lo que tengan contacto digital y aun cuando solo utilicen la red de redes, con eso es suficiente, en mi experiencia puede ampliarse a un Gerente o jefe de Seguridad de la Información, lo importante es que sea un especialista del ramo.
¿Qué es un CISO?
CISO significa Chief Information Security Officer (CISO), es responsable de implementar las prácticas adecuadas de gobierno y seguridad, son responsables de ejecutar un marco de seguridad para operaciones comerciales escalables y sin riesgos, un director de seguridad de la información, puede manejar diferentes tareas y responsabilidades laborales según la jerarquía, la vertical y las regulaciones organizacionales.
A medida que los piratas informáticos se vuelven más sofisticados, los CISO tienen nuevas responsabilidades para salvaguardar los datos y la seguridad de sus empresas, además de la experiencia técnica, deben tener perspicacia comercial y sólidas habilidades de comunicación para informar a los altos ejecutivos y miembros de la junta sobre los riesgos cibernéticos y las mejores prácticas.
Durante los últimos 10 años esta posición cobró importancia efectivamente, las empresas de hoy confían en el CISO para guiarlos en la toma de algunas de las decisiones más importantes de la empresa, especialmente cuando se trata de tecnología.
De hecho, un informe de Gartner afirma que a medida que crece el papel del CISO, también se intensifica su alcance del negocio digital, tal es el caso que el 64 % de los directores de juntas también indican que su organización está tratando de modificar significativamente su arquitectura económica para poner más énfasis en lo digital y el 88% también reconoce la ciberseguridad como un riesgo para el negocio.
Aquí es donde entra el CISO y necesita comprender el apetito de información de la empresa y adaptarse a la realidad mientras se asegura de que la seguridad cibernética no se vea comprometida, esto incluye lograr que la junta directiva tome las decisiones correctas no solo sobre sus planes de digitalización, sino también sobre cómo pueden hacerlo con una interrupción mínima y de forma segura.
Para comprender mejor lo que hace funcionar a un CISO, Trellix presentó la investigación:
The Mind of the CISO en la Conferencia RSA de 2023.
La investigación se basa en una encuesta de CISO globales en todas las industrias importantes y revela cómo trabajan en medio de un panorama tumultuoso de amenazas, igualmente qué funciones comerciales los frenan y qué necesitan para tener éxito.
Un CISO está motivado por la misión de proteger, no obstante, dicen que se sienten sin apoyo, sin ser escuchados e invisibles, dijo Bryan Palma, director ejecutivo de Trellix en dicha conferencia de RSA este 2023. “He sido CISO, y les comento que puede ser el puesto más solitario en tecnología”, continuó Palma, “Ahora es el momento, con la IA en manos de buenos y malos actores, para revolucionar las estrategias de SecOps y luchar contra los delincuentes”.
Resumiendo:
“Necesitamos capacitar a nuestros CISO para que ganen siempre”.
Responsabilidades del CISO
Las responsabilidades diarias de un CISO pueden variar según el cargo de la organización, se pueden distribuir en el siguiente dominio funcional de la organización:
- Riesgo cibernético e inteligencia cibernética:
- Monitorear las amenazas de seguridad en desarrollo y ayudar a los miembros de la junta a comprender los posibles problemas de seguridad que podrían surgir de las adquisiciones de datos
- Operaciones de seguridad:
- Análisis en tiempo real de amenazas e intervención cuando algo sale mal.
- Pérdida de datos y prevención del fraude:
- Garantizar que el personal interno no haga un mal uso de los datos.
- Gestión de acceso e identidad:
- Garantizar que solo las personas autorizadas puedan acceder a los datos y sistemas restringidos.
- Arquitectura de seguridad:
- Planificación y compra de hardware y software de seguridad y garantía de que la infraestructura de TI y de red esté diseñada con las mejores prácticas de seguridad.
- Investigaciones y análisis forense:
- Identificación y definición de la causa de la infracción, manejo con partes internas y planificación para evitar que se repita el mismo ciber incidente.
- Gestión de programas:
- Implementar medidas de seguridad que mitiguen los riesgos cibernéticos, como parches regulares del sistema, etc.
- Gobernanza:
- Garantizar que todas las iniciativas anteriores funcionen sin problemas, recibir los fondos necesarios y comprender la importancia de cada iniciativa.
La lucha es real para el CISO
Si bien es un informe global, la investigación también reveló los principales puntos débiles de la experiencia de los CISO, y como les comente y no se hizo de esperar, el 100 % de los CISO admiten que no tienen suficiente apoyo, específicamente, los CISO luchan por obtener el apoyo de la junta ejecutiva para los recursos necesarios para mantener la fortaleza de la seguridad cibernética, de tal manera, más de la mitad piensa que su trabajo sería más fácil si todos los empleados de toda la empresa fueran más conscientes de los desafíos de la ciberseguridad, ¿Qué fácil, NO?, hay que trabajar para que se sea así, esa es una de las tareas del CISO, de alta dirección y el área de TI, educar a las personas en ciberseguridad, además, un tercio de los CISO mencionan la falta de talento calificado en su equipo como un desafío principal.
Lo que es más preocupante es que la friolera del 70 % de los CISO han manejado un incidente importante de seguridad cibernética al menos una vez, y el 28 % más de una vez, el 74 % de los encuestados se siente total o mayoritariamente responsable de los incidentes y el 29 % experimentó una gran deserción del equipo de operaciones de seguridad como resultado directo.
Al mismo tiempo, los CISO encuestados afirmaron que sus organizaciones están trabajando con demasiadas soluciones incorrectas, con el usuario promedio de la organización alrededor de 28 soluciones de seguridad individuales, el 36% también dijo que un obstáculo importante es tener demasiadas piezas de tecnología sin una única fuente de verdad, los CISO pueden encontrar abrumadora, innecesaria y desafiante la cantidad de soluciones de seguridad disponibles para ellos.
Por lo tanto, tener las soluciones correctas marca la diferencia, por ejemplo, el 96% está de acuerdo en que contar con las herramientas adecuadas les ahorraría un tiempo considerable, por su parte el 40 % desea acceder a una única herramienta empresarial integrada para optimizar las inversiones en seguridad.
A medida que las violaciones de datos se vuelven más frecuentes y costosas, la demanda de profesionales de seguridad de TI crecerá a la par, entonces, para 2024, el costo de las filtraciones de datos crecerá de $3 billones por año a más de $ 5 billones, lo que refleja una tasa de crecimiento anual del 11% en promedio, esta tendencia se puede atribuir al aumento de las multas por violaciones de datos, con leyes globales y regionales cada vez más estrictas.
“Las empresas deben invertir en seguridad de TI como una función dedicada para evitar estos costos”
A pesar de que la mayoría de los CISO informan que la ciberseguridad es importante para los miembros de su directorio, la investigación muestra que todavía existe una aparente falta de apoyo por parte del liderazgo para mantener la fortaleza de la empresa.
La importancia de contar con la tecnología adecuada también es evidente, pero lo que muchas organizaciones carecen es un sistema de seguridad de TI unificado que aproveche XDR y esté en constante evolución para protegerse contra las ciberamenazas más sofisticadas.
“Si bien es importante prevenir las infracciones de seguridad, las organizaciones también deben tener un plan para mitigar estas infracciones cuando sucedan”
Abordar la escasez de habilidades para un futuro más seguro
Hay varias formas en que las empresas pueden trabajar para cubrir estas vacantes a tiempo y con profesionales expertos, para las empresas medianas, pequeñas y microempresas, aquí hay tres consejos:
Priorice los requisitos de habilidades al escribir descripciones de puestos:
Las organizaciones deben analizar detenidamente las habilidades requeridas para el trabajo, cuáles se pueden introducir a través de la capacitación interna, las habilidades se superponen con los roles existentes y escribir descripciones de puestos más específicas.
Busque candidatos más allá de TI:
Los empleadores deben preguntarse si el puesto requiere un título completo en TI, en algunos casos, podría ser posible contratar a un candidato de alto potencial con un historial académico sólido, aunque sea en un campo diferente y luego enseñarle en el trabajo.
Facilite que los trabajadores ingresen al canal de talentos de la ciberseguridad:
Las organizaciones pueden asociarse con agencias gubernamentales y académicos para eliminar las barreras innecesarias que enfrentan los trabajadores al ingresar al campo de la ciberseguridad.
Por ejemplo, una de las asociaciones y alianzas incluye:
Cybersecurity Workforce Alliance (CWA):
Una alianza de empresas privadas, agencias gubernamentales y académicos con más de 1000 miembros globales orientados a capacitar a jóvenes profesionales de ciberseguridad, por ejemplo.
“Los candidatos también pueden hacer su parte para mejorar las habilidades de los diversos roles de seguridad de TI que tendrán mayor demanda en 2023 – 2024, con las certificaciones de seguridad de TI para abordar la brecha de habilidades”
Hay una gran cantidad de cursos y certificaciones que pueden preparar al talento de TI para la escasez de habilidades y la posible oportunidad de empleo que se avecina en 2023-2024, algunos de estos incluyen:
- Director de seguridad de la información certificado (CCISO) del EC-Council para ejecutivos de seguridad de la información en EE. UU., Canadá, Australia, Puerto Rico, así como otros países que lo soliciten.
- Certificado en Análisis de Ciberseguridad (IIBA®- CCA) por el Instituto Internacional de Análisis de Negocios, Canadá, que cubre ocho elementos de competencia.
- Profesional certificado en seguridad en la nube (CCSP) por (ISC) 2 en EE. UU., con oficinas en China y Japón; También vale la pena considerar las certificaciones de proveedores de nube pública como Google, AWS, etc. ()
- Grados en investigación de exploits, auditoría de seguridad, Pentesting de aplicaciones web y más por GIAC en asociación con (ISC)2, así como la propia certificación de CompTIA.
Cualquiera de las certificaciones mencionadas anteriormente, además de certificaciones de seguridad cibernética más generales, como el curso Certified Information Systems Security Professional (CISSP) reconocido mundialmente.
A medida que crece la demanda de habilidades de seguridad de TI, las empresas deben repensar cómo seleccionan a los candidatos e intentan cubrir una vacante, por su parte, tendrían que invertir más en capacitación y aprendizaje en el trabajo, en lugar de adquirir talento fácilmente disponible.
La respuesta a amenazas necesita una nueva forma de pensar,
“No ignore este recurso clave“
Carrera de Ciberseguridad
La reinvención de la carrera puede ser desalentadora e intimidante, afortunadamente, el campo de la ciberseguridad demuestra ser un buen lugar para tal cambio.
La industria de la ciberseguridad es un espacio ideal para la reinvención, ya que siempre busca miradas innovadoras, por lo que es esencial conocer todos los detalles antes de comprometerse, especialmente cuando se pasa a un campo de trabajo tan crítico.
Los efectos de una brecha de habilidades cibernéticas
Una importante brecha de habilidades en la industria de la seguridad cibernética ha creado una oportunidad única para que personas de diversos orígenes ingresen al campo, los empleadores buscan nuevas personas que no necesariamente estén capacitadas para ser ciber defensores, pero que tengan nuevas perspectivas y el potencial para aprender, esta situación crea una gran oportunidad para la reinvención de la carrera, en respuesta a esta brecha de talento, la industria se ha comprometido a proporcionar a los nuevos empleados los recursos y el apoyo que necesitan para alcanzar su máximo potencial y tener éxito en un nuevo espacio profesional.
Capacitar a personas con poca o ninguna experiencia en ciberseguridad requiere mucho tiempo, dedicación y recursos, sin embargo, esta capacitación debe convertirse en una prioridad porque la contratación de un grupo de talentos más grande es mutuamente beneficiosa para los nuevos empleados que buscan hacer un cambio de carrera y las empresas que buscan crecer.
Espero ayude a la nueva generación de especialista de Ciberseguridad CISO.
Saludos, su amigo,
Visitas: 18
