CISO versus juntas directivas: ¿mito o malentendido?
Los rumores son exagerados. Las juntas directivas no son indiferentes a las amenazas a la seguridad. A menudo luchan con la barrera del idioma cuando se trata de ciberseguridad.
Los ciberataques cada vez más disruptivos requieren esfuerzos de prevención y remediación por parte de todas las partes de las organizaciones, pero los directores de seguridad de la información (CISO) y los equipos de TI no se sienten respaldados por las autoridades pertinentes. Esto aumenta la presión sobre los CISO, ya que deben defenderse de los ataques y gestionar consecuencias potencialmente devastadoras.
Pero los ataques afectan las operaciones comerciales y la reputación de una organización y pueden tener consecuencias legales que requieran que todos estén en sintonía. Más Las empresas lo reconocena medida que el panorama de amenazas empeora y el liderazgo trabaja para destruir el estereotipo de que a las juntas directivas no les importa la seguridad.
«Existe la idea errónea de que los miembros de la junta directiva a veces priorizan la ciberseguridad sobre la velocidad y el crecimiento», dijo Edna Conway, directora de operaciones y riesgos de TPO Group y ex directora de seguridad y riesgos de Microsoft.
«La realidad es que los directores fuertes se preocupan profundamente no sólo por los riesgos cibernéticos, sino también por la gente de la empresa, su misión y lo que sucede fuera de la organización las 24 horas del día, los 7 días de la semana», le dice Conway a Dark Reading.
¿La transparencia es alguna vez TMI?
La transparencia es un tema muy polémico que ha llevado a afirmar que el liderazgo no está priorizando la seguridad. Un informe reciente de Checkmarx encontró 95% de los CISO se sienten presionados por la gerencia y las juntas directivas para suprimir los problemas de seguridad identificados en sus organizaciones.
Los CISO rastrean y responden a las amenazas en tiempo real. El trabajo de la junta es centrarse en las ganancias y el crecimiento. La divulgación de una vulnerabilidad o un ataque, incluso un intento de ataque, puede poner en peligro el crecimiento empresarial, y aquí es donde los roles a menudo chocan. Los CISO quieren adelantarse a las desafortunadas noticias de seguridad. Es posible que Planks quiera enterrarlo.
Pero Conway observó lo contrario cuando formó parte de las juntas directivas de empresas de seguridad y tecnología avanzada y trabajó con firmas de capital privado que invierten en su crecimiento.
«Juntos vivimos y morimos por la transparencia», dice. «Se trata de cómo tomar decisiones de inversión y, una vez tomadas, cómo adoptar el liderazgo para garantizar que todas crezcan, no sólo para su propio beneficio, sino para el beneficio de todos. No se puede ganar si uno está estancado».
Cada vez más empresas han adoptado esta forma de pensar porque No se puede ignorar la ciberseguridad. Ha encontrado su camino en casi todos los aspectos de los negocios y la vida cotidiana. Los actores de amenazas apuntan a operaciones, empleados individuales, datos de clientes y cadenas de suministro.
Muchos directores todavía ven la seguridad como un problema que debe resolver el departamento de TI, dice Chris Novak, socio y cofundador de Quadrum Advisors. Sin embargo, existe un fuerte deseo de que los miembros de la junta vean cada vez más la ciberseguridad como una cuestión de riesgo y resiliencia empresarial, ya que afecta las operaciones, los clientes, los ingresos, las obligaciones regulatorias, la reputación y la estrategia a largo plazo, añade.
Si bien los miembros de la junta directiva y los equipos de seguridad mantienen sus responsabilidades distintas, las líneas entre ellos se están desdibujando a medida que las organizaciones enfrentan desafíos de seguridad cada vez mayores.
“Los directores generalmente no esperan convertirse en expertos en ciberseguridad, ni deberían hacerlo”, añade. «Su responsabilidad es comprender si la gerencia ha identificado los riesgos más graves de la organización, ha tomado decisiones conscientes sobre esos riesgos y ha demostrado que la empresa puede responder y recuperarse cuando fallan los controles preventivos».
El tablero, el mito, la leyenda.
Que sea un mito que a los miembros de la junta directiva no les importe o no prioricen la seguridad es complicado, y eso ha cambiado a lo largo de los años a medida que la ciberseguridad se vuelve más importante. La mayoría de los miembros de la junta probablemente dirían abiertamente que la seguridad es una prioridad, y Novak confía en que dicen lo que dicen en serio.
“El desafío que la mayoría de ellos me presenta no es la falta de preocupación por la seguridad, sino el deseo de recibir mayor apoyo”, afirma.
El mito puede deberse a una falta de comprensión, especialmente en la era de la inteligencia artificial. Cada vez es más difícil encontrar la mejor manera de investigar la situación de seguridad de la empresa, explica Novak.
La comunicación entre los equipos y comités de seguridad es un obstáculo importante para ambas partes porque hablan idiomas fundamentalmente diferentes. Los profesionales de la ciberseguridad suelen hablar de amenazas y controles, mientras que los directores deciden sobre la exposición, la resiliencia, las compensaciones y la responsabilidad, afirma Novak.
Las presentaciones de los CISO incluyen docenas de métricas para resaltar la postura de seguridad, pero los ejecutivos sienten que no se les dice qué hechos clave son importantes o qué decisiones la gestión necesita de ellos, agrega. Es posible que estén buscando qué servicios empresariales podrían verse afectados, qué riesgos están aumentando o qué amenazas pueden plantear consecuencias financieras y de reputación.
«Los comentarios que sigo escuchando de ambas cohortes es que todos asumieron que el silencio significaba acuerdo, o todos asumieron que el silencio significaba falta de compromiso», añade. «Esta separación es lo suficientemente amplia como para que pase un camión, lo que expone a todos los involucrados a riesgos y litigios innecesarios».
Cómo depurar la ruptura
relleno Las brechas de comunicación son esenciales a medida que las empresas buscan unir a los miembros de la junta directiva y los equipos de seguridad. Y ya tienen mucho en común: ambas partes quieren más apoyo.
Para las juntas directivas, eso puede parecer una capacitación regular sobre el entorno de amenazas, acceso a perspectivas independientes cuando necesitan desafiar o confirmar las suposiciones de la gerencia y oportunidades para participar en simulaciones realistas que prueban cómo la empresa tomaría decisiones en un incidente cibernético importante, dice Novak.
Los equipos de seguridad pueden cerrar la brecha iniciando las comunicaciones con la junta directiva con consecuencias comerciales en lugar de actividades técnicas, recomienda. Indique qué servicios críticos podrían verse afectados, qué impacto financiero y reputacional podría tener esto y qué tan rápido podría recuperarse la organización.
«Las juntas directivas y los responsables de seguridad deberían ponerse de acuerdo sobre un pequeño número de medidas coherentes y relevantes para la toma de decisiones», afirma. «Un informe sólido sobre peligros críticos, preparación para la recuperación, riesgos de terceros, preparación para incidentes y cambios en el perfil de riesgo de la organización es mucho más útil que una colección de métricas técnicas en constante cambio».
El objetivo no es convertir a los directores en expertos en ciberseguridad ni a los líderes de seguridad en directores corporativos, reitera. En cambio, cada parte debe tener suficiente comprensión de las responsabilidades de la otra para poder trabajar juntas de manera efectiva.
Este cambio de perspectiva es fundamental para una comunicación eficaz entre el CISO y la junta directiva, afirma Conway.
«Parece que hemos olvidado que la tecnología existe para apoyarnos y empoderarnos como seres humanos, y no al revés», afirma. «Si llegamos al punto en el que trabajamos para respaldar la tecnología, habremos ido demasiado lejos».
Este contenido de ciberseguridad nos ha llegado de: DarkReading
Podrás encontrar la noticia original en el siguiente enlace: https://www.darkreading.com/cybersecurity-operations/cisos-vs-boards-myth-or-misunderstanding-
