El CISO moderno: ¿chivo expiatorio o creador de valor?

2024 ya se perfila como uno de los más Años estresantes todavía para los CISO. Están tratando de defender sus organizaciones contra un número creciente de amenazas a medida que aumentan en velocidad y complejidad, impulsadas por tecnologías emergentes como la IA generativa. No ayuda que los presupuestos cibernéticos se estén reduciendo y que los CISO ahora puedan ser considerados personalmente responsables de una infracción, como se vio en el veredicto que sentó un precedente contra el ex CISO de Uber.

Para colmo, el 61% de los CISO no se sienten preparados para un ciberataque y el 68% siente que su organización está en riesgo de sufrir un ataque, según Punto de prueba. No es de extrañar que el CISO moderno a menudo se sienta como el chivo expiatorio, con las probabilidades en su contra.

Al trabajar con cientos de CISO en empresas líderes de Fortune 100 a nivel mundial, entiendo sus mayores desafíos a medida que los ayudo a asumir el rol de creador de valor y socio confiable. Si bien no existe una solución mágica, hay medidas que los CISO pueden tomar ahora para elevar el valor de sus programas de ciberseguridad, preparándose para el éxito contra un objetivo en movimiento.

Sube tu tabla a bordo

Las juntas directivas suelen estar compuestas por ejecutivos experimentados con experiencia en operaciones, finanzas, ventas y otras industrias, pero es posible que no tengan un conocimiento técnico detallado de la seguridad cibernética. Sin embargo, los CISO se enfrentan a un escrutinio cada vez mayor por parte de sus juntas directivas mientras defienden la eficacia de su programa de ciberseguridad.

Para mostrar el valor de sus programas y demostrar eficacia, los CISO deben establecer una comunicación clara y superar la desconexión entre la junta directiva y su equipo. Depende del CISO asegurarse de que la junta directiva comprenda el nivel de riesgo cibernético que enfrenta su organización y qué necesita para aumentar la resiliencia cibernética de su organización. Es necesario presentar los niveles de riesgo cibernético en términos monetarios con los próximos pasos viables para que la junta directiva esté en sintonía y abrir una línea de comunicación honesta, al tiempo que se eleva a su equipo de ciberseguridad al papel de creador de valor.

Presente un SEC 10K honesto sin aumentar el riesgo cibernético (¡en realidad no!)

Los nuevos requisitos de divulgación de la Comisión de Bolsa y Valores (SEC) y otros reguladores exigen que los CISO tengan un conocimiento firme de sus riesgos materiales y revelen cómo gestionan y maduran su programa de ciberseguridad. Todavía, análisis reciente de los SEC 10K presentados a principios de 2024 muestra que el 31% de las empresas no tenían divulgaciones de ciberseguridad y el 23% no cuantificaron ni describieron cómo se gestiona su riesgo cibernético.

Los CISO son profundamente cautelosos a la hora de compartir demasiados detalles sobre su postura de ciberseguridad en el dominio público, debido al riesgo innecesario y evitable de exponer a sus organizaciones a ciberataques, que se espera que causen 10,5 billones de dólares en daños para 2025.

Presentar un 10K honesto y al mismo tiempo preservar las defensas cibernéticas de su organización requiere un equilibrio delicado. ya hemos visto Clorox cae víctima cuando el equilibrio estaba fuera de lugar.

Un buen ejemplo de un SEC 10K honesto pero equilibrado es Presentación SEC 10K de 2024 de Lockheed Martin, que adoptó un enfoque descriptivo. La empresa nombró al CISO como responsable de su estrategia de seguridad. Describió políticas, marcos y requisitos de ciberseguridad específicos que cumpliría, indicando la madurez del programa de ciberseguridad de la organización. Describieron de manera proactiva sus modelos de riesgo cibernético y aclararon la metodología para la gestión de riesgos de proveedores y terceros. Lockheed Martin también mencionó el uso de técnicas como evaluaciones de terceros, pruebas de penetración, auditorías e inteligencia sobre amenazas para probar el diseño y la efectividad de los controles. Todos estos son componentes vitales para tener un programa sólido de gestión de riesgos y presentar una solicitud para un SEC 10K equilibrado y honesto.

Adopte IA genérica para mitigar el riesgo cibernético

Según datos de Gartner, solo hay suficientes profesionales calificados en ciberseguridad disponibles para satisfacer solo el 70% de la demanda actual. Sin duda, esta necesidad del talento adecuado aumentará a medida que el panorama de amenazas continúe evolucionando rápidamente.

La gestión eficaz del riesgo de ciberseguridad requiere identificar vulnerabilidades críticas y evaluar la eficacia de sus controles de seguridad. Sin embargo, los petabytes de datos de fuentes dispares y un tamaño de equipo estancado hacen que obtener una visibilidad completa de estos riesgos sea un desafío para los CISO.

A menudo, el principal obstáculo para los equipos de seguridad es convertir los datos sin procesar en conocimientos prácticos, lo cual es necesario para facilitar una reducción eficaz del riesgo de una manera que sea digerible para toda la organización. Al aprovechar tecnologías avanzadas como la IA generativa, el aprendizaje profundo y otras técnicas especializadas de aprendizaje automático para analizar millones de activos e instancias de vulnerabilidad, los equipos de seguridad pueden acceder a información procesable en tiempo real y reducir rápidamente el riesgo cibernético.

Más aún, esto puede permitir a los líderes de seguridad comprender la efectividad de su programa de seguridad y mostrar el retorno de la inversión de sus iniciativas de ciberseguridad. En última instancia, esto también facilita una conversación más fácil y productiva con la junta directiva.

Dado el ritmo al que continúa evolucionando el panorama de la ciberseguridad, el trabajo del CISO se está volviendo más difícil. Son responsables no sólo de defender con éxito a sus organizaciones contra las amenazas, sino también de proporcionar pruebas de su eficacia a la junta directiva e informarlo a la SEC. Mantenerse al día con la última tecnología y garantizar comunicaciones abiertas y honestas con partes interesadas ajenas a la ciberseguridad es imperativo para asumir plenamente el papel de creador de valor en una organización.

Gaurav Banga es el director ejecutivo y fundador de balbixuna plataforma de gestión de riesgos de ciberseguridad impulsada por IA.