Cómo convertirse en un buen CISO en 4 pasos

Los ciberdelincuentes no cesan en su empeño de ganar dinero a costa de usuarios despistados y empresas que atesoran datos confidenciales valiosos. Por eso, los CISOs o directores de seguridad de la información deberían seguir un código de buenas prácticas que, según Cyberark, se asienta sobre cuatro grandes pilares.

El primero debería ser “dar prioridad al riesgo”. La recomendación pasa por acotar el enfoque y asegurar aquellos elementos de negocio que son más críticos, porque así se blindarán los activos más importantes. “Para identificar los riesgos comerciales más críticos podemos imaginarnos lo que más le preocuparía a un CEO si se produjera un ataque cibernético a las tres de la mañana de un sábado”, apunta Cyberark. “El CEO no querría conocer los detalles técnicos o qué tipo de malware fue el causante, sino el riesgo empresarial y el impacto operacional”. De este modo se pueden cubrir los peores escenarios de robo o de posibles interrupciones.

El segundo pilar consiste en “planificar las herramientas de ciberseguridad” incorporando un arquitecto de seguridad capaz de desarrollar un ecosistema de herramientas compatibles y escalables. “Cuando se trata de inteligencia artificial o aprendizaje automático, a menudo se crea la sensación de que, si no implementamos la nueva solución mágica de un proveedor, nos enfrentaremos a un inminente fallo de seguridad”, dice Cyberark, por lo que al final se configura un escenario con múltiples soluciones que podrían no trabajar bien juntas.

En tercer lugar, se encuentra la necesidad de “afianzar los puntos básicos”. Y, primero, de definirlos en base a unas prioridades. “Hay que preguntarse: ¿mi empresa aprovecha la gestión del riesgo empresarial para impulsar programas de seguridad de acceso privilegiado?”, ejemplifica Cyberark. “¿Se están afrontando los riesgos más importantes o se está utilizando un modelo de priorización que puede no ser el más efectivo?”.

Por último, el CISO tiene que preocuparse por “obtener herramientas y capacidades a la escala adecuada”, porque es la forma efectiva de reducir el riesgo, Esto pasa por metodologías de medición y gestión de proyectos y la valoración del coste total. “Con frecuencia una empresa comprará una herramienta, tendrá algunas ventajas en la implementación de algunas de las funciones y luego pasará a lo siguiente o se dará cuenta de que no tiene recursos para ejecutar a escala o para respaldar la herramienta después de que el dinero de la inversión inicial se acabe”, indica Cyberark. Otro consejo es eliminar por completo un proyecto si algo no funciona o no lo hace como debería.