Cómo los CISO de primer nivel están ganando más confianza en el presupuesto y la junta directiva en 2023

Este artículo apareció por primera vez en Revista SC. Se ha actualizado y sindicado aquí.


Los CISO se encuentran en una posición cada vez más difícil: proteger más activos, enviar más código, reducir una mayor superficie de ataque y hacerlo con recursos financieros que disminuyen rápidamente. Es un hecho ineludible que la ciberseguridad se considera un factor de costes y, a pesar de que el programa de seguridad de una organización es lo que impide que un actor de amenazas se convierta en el desastroso titular del mañana, los líderes de seguridad deben hacer más para vender y demostrar el valor empresarial general del departamento, en un lenguaje que tenga sentido para el órgano ejecutivo.

Los CISO de clase mundial están a la altura de las circunstancias y lideran programas de seguridad holísticos que mejoran la confianza de los clientes y la reputación de la marca y utilizan todas las herramientas disponibles para crear un valor innegable. Todo comienza con un enfoque estratégico y preventivo para abordar los problemas de seguridad más comunes y dejar atrás la mentalidad de que nunca hay suficiente tiempo, recursos o personal para mantener la excelencia en materia de seguridad.

Cambia la discusión en la sala de juntas.

En el clima económico actual, pocas empresas y departamentos escapan al escrutinio por el dinero que gastan, las contrataciones que realizan y su impacto estratégico en los objetivos empresariales. Si bien puede parecer obvio que la empresa moderna necesita un programa de ciberseguridad expansivo, esto representa un costo significativo para la organización que no es fácil de justificar en términos de retorno de la inversión.

Los líderes de la alta dirección y las partes interesadas de la junta directiva deberán entender claramente los resultados proyectados de las iniciativas de ciberseguridad de la inversión, en términos que tengan sentido más allá de los números de una hoja de cálculo. Tendrán diferentes niveles de conocimiento y comprensión técnicos, y los CISO deberán esforzarse por presentar sus argumentos con mensajes accesibles. Explique la magnitud del programa, qué es lo que hay que proteger y a quién hay que capacitar para dar el mejor ejemplo de su clase. Los ataques van en aumento, sin embargo, los presupuestos no están a la altura, y pelear la buena batalla comienza con una campaña verbal para justificar sus méritos.

Durante mucho tiempo se ha dicho que, independientemente de la vertical, cada empresa se está convirtiendo rápidamente en una empresa de tecnología. Dado que la norma en la mayoría de las organizaciones es dar prioridad a lo digital, esto representa una enorme superficie de ataque que necesita la mejor protección posible en ese momento. Los líderes de seguridad desempeñan muchas funciones, pero una que se pasa por alto (hasta que es demasiado tarde) es que, en esencia, son los guardianes de la confianza de los clientes. Esto no puede exagerarse como una propuesta de valor, y es tan vital como los objetivos de ventas y marketing.

Demuestre el valor de un enfoque preventivo de la seguridad.

Estadísticas actuales de ciberseguridad son espeluznantes, pero jugar con el FUD y el alarmismo suele ser una táctica inútil cuando se trata de ganar más presupuesto. Pocos miembros del equipo directivo de una empresa dirían que la ciberseguridad no es una prioridad, pero es mucho más probable que se muestren receptivos a los aumentos presupuestarios si se presenta una estrategia empresarial que utilice los recursos existentes para obtener mejores resultados.

Según una investigación reciente del Consejo de Seguridad Internacional Neustar, solo el 50% de las empresas sienten que tienen un presupuesto adecuado para abordar sus problemas de ciberseguridad conocidos. Y con los ciberataques globales aumentando en un 38% entre 2021 y 2022, es probable que esto represente un camino aún más difícil para el CISO promedio. Sin embargo, los líderes de seguridad verdaderamente mundiales son capaces de superar estos puntos débiles e innovar a pesar de la adversidad.

En muchos escenarios, prevenir es más fácil y directo que curar, y la ciberseguridad no es diferente. Un programa de seguridad holístico debe ir mucho más allá de las medidas reactivas y debe incluir la gestión de las vulnerabilidades entre las tres principales preocupaciones de muchos CISO, tiene sentido que los desarrolladores sean una parte integral de ese movimiento. Necesitan formación práctica para hacer frente a los errores de seguridad más comunes, que les ayude a eliminarlos en su origen y a garantizar que nunca lleguen a la fase de producción. Ahora estamos en un punto en el que no podemos seguir excusando el código de baja calidad e inseguro, y mejorar las habilidades de los desarrolladores es, con mucho, el remedio más potente y rentable para las vulnerabilidades a nivel de código.

Es vital que los CISO luchen por retener el presupuesto actual, y detallar los beneficios de la mejora de las habilidades de seguridad basada en roles, especialmente para los desarrolladores, es una victoria más rápida que añadir la próxima «solución mágica» a un conjunto de tecnologías de seguridad difícil de manejar.

La seguridad debe formar parte de los fundamentos de la marca.

La mayoría de los CISO no asumieron su función para demostrar su pasión por el marketing, pero esta es un área en la que podrías trabajar, al menos a la hora de presentar tu caso a quienes llevan los hilos del bolsillo.

No se puede exagerar el impacto de un programa de ciberseguridad en la confianza de los clientes y la lealtad a la marca, y una violación a gran escala puede provocar un éxodo de proporciones bíblicas. Por el contrario, al alinear sus estrictas prácticas de seguridad con los valores fundamentales de la marca, envía un mensaje claro de que la privacidad y la protección de los datos no son solo una prioridad, sino algo en lo que los clientes pueden confiar.

Es fundamental que el CISO moderno dedique tiempo a destacar las ventajas competitivas de la estrategia y la política de seguridad en lo que respecta a la confianza y la confianza positivas y continuas de los clientes; la seguridad reactiva por sí sola no tendrá el mismo impacto, y un enfoque equilibrado que se centre en proteger los activos privilegiados con todos los recursos disponibles puede ser el factor diferenciador definitivo.

Ya no hay lugar para excusas, pero hay muchas razones convincentes que los CISO pueden destacar en su búsqueda de una financiación adecuada para una estrategia de seguridad verdaderamente transformadora.