Cuándo y por qué tiene sentido

A medida que el papel del CISO madura en las organizaciones y los gerentes de seguridad amplían su posición desde gerentes de tecnología hasta asesores de riesgos y líderes empresariales más versátiles, las trayectorias profesionales están cambiando. CISO ya no es el puesto de liderazgo definitivo para las personas hoy en día, ya que los líderes de seguridad buscan llevar sus crecientes habilidades comerciales a una clase más amplia de puestos de liderazgo en la alta dirección.

Algunas de las áreas obvias de enfoque para los CISO involucraron los roles de Director de Riesgos (CRO) y Director de Información (CIO). Otro movimiento cada vez más común fue el puesto de Director de Tecnología (CTO). A medida que el tambor de “Secure by Design” en el desarrollo de software, el desarrollo de productos y la arquitectura tecnológica se hace más fuerte tanto en los círculos de seguridad como de negocios a nivel de la junta directiva, cubrir los puestos de CTO con ex CISO parece ser una buena opción en las circunstancias adecuadas.

Aunque todavía no hay pruebas estadísticas de esta tendencia, se están acumulando pruebas anecdóticas en empresas como 20^Th Century Fox, Bank of America y Fifth Third Bank han promovido a sus CISO a puestos de CTO en los últimos años. Este es también el camino tomado por el gigante de informes crediticios Equifax, que nombró a su CISO Jamil Farshchi como CTO y CISO conjunto hace unos meses.

Por su parte, Farshchi dice que la transición ha sido un regalo tanto para él como para su empleador durante más de seis años. Farshchi, un CISO experimentado que trabajó en The Home Depot, Time Warner, el Laboratorio Nacional de Los Álamos y la NASA, entre otros, se unió a Equifax luego de la violación masiva de datos en 2017. Su función era impulsar cambios organizativos y tecnológicos profundos no solo para transformar el programa de seguridad, sino también para apoyar a la empresa en sus esfuerzos de transformación digital.

“En mi rol como CISO, mi equipo y yo hemos estado intensamente involucrados en la tecnología desde el principio. Y debido a la forma en que está estructurada la línea jerárquica, dependía del director ejecutivo todo el tiempo”, explica. “Cuando nuestro anterior CTO se fue hace unos meses (aprovechó otra oportunidad para convertirse en CEO de otra empresa), me pidieron que interviniera y asumiera el liderazgo de tecnología y ampliara mi función para incluir también esa área. «

Los CISO tienen habilidades relevantes para el CTO

Incluso antes de que se revelara el anuncio de Equifax, Farshchi dijo que vio evidencia de transiciones similares en toda la comunidad de seguridad. No solo ha visto a amigos pasar de CISO a CTO o líder de categoría de producto, sino que también ha respondido consultas espontáneas de directores ejecutivos y reclutadores que preguntaban si un CISO podría tener sentido para los roles de CTO. En su opinión, se trata de un “sí” rotundo.

«Muchos de los comportamientos, muchas prácticas, muchas habilidades, pensamiento estratégico, etc. que se necesitan para tener éxito como CTO en tecnología son también exactamente las mismas cualidades que se necesitan para tener éxito en seguridad», explica.

Este es un sentimiento compartido por muchos líderes de seguridad y tecnología en la actualidad. Según Bob Zukis, un veterano experto en ciberseguridad y desarrollo de liderazgo que dirige Digital Directors Network, los CISO empresariales (aquellos que son verdaderos líderes empresariales en lugar de expertos en tecnología experimentados) son un grupo diverso y muchos de ellos estarían listos para comenzar. la transición a CTO.

“Gran parte del trabajo de CISO conduce naturalmente a un rol de CTO, desde lo estratégico hasta lo operativo. Están acostumbrados a trabajar de manera multifuncional, están acostumbrados a trabajar en toda la organización desde una perspectiva de riesgo. Están acostumbrados. “Utilizan muchas tecnologías innovadoras por motivos de seguridad”, afirma. «Ahora el contexto está cambiando y se comienza a seleccionar e implementar estratégicamente tecnologías desde una orientación de creación de valor en lugar de una orientación de protección de valor».

La experiencia y los conocimientos multifuncionales son una de las mayores ventajas que los CISO aportan como candidatos a CTO, dice Randy Watkins, CTO del proveedor de MDR CriticalStart. Los CTO normalmente trabajan en todas las funciones y se ocupan de muchas relaciones complicadas entre ingeniería, equipos de productos, grupos empresariales, etc., ya sea que estén lanzando al mercado productos basados ​​en tecnología o simplemente apoyando a muchos clientes internos y grupos empresariales con aplicaciones y plataformas orientadas a los negocios.

«Los CISO tuvieron que trabajar de manera multifuncional porque no tenían su propio presupuesto y no tenían suficiente gente», dice, explicando que para poder hacer las cosas, el CISO tiene que trabajar con otros grupos de TI y empresas. grupos y partes interesadas de alto nivel para hacer las cosas y hacer cumplir las iniciativas de seguridad. “Por lo tanto, la funcionalidad cruzada es definitivamente una fortaleza indispensable de un CISO, y esa es una fortaleza para cualquier líder de una organización. Esto realmente abre un techo bastante alto”.

Aunque no es CISO, Watkins tenía experiencia en seguridad y fue director de arquitectura de seguridad antes de asumir su cargo en Critical Start. Dado que la empresa es una empresa de seguridad, la transición se realizó sin problemas hace unos años. Aunque sintió que necesitaba ampliar y ampliar sus habilidades y conocimientos en torno a la gestión de productos, un área que algunos CISO también pueden necesitar repasar para poder asumir con éxito un rol de CTO.

«La mayor curva de aprendizaje fue comprender el ciclo de vida de la gestión de productos, comprender la cascada ágil y comprender los pros y los contras de cada uno», afirma. “Era realmente tedioso establecer cronogramas y plazos y comprender los ciclos de sprint, las fechas de lanzamiento y la cadencia de lanzamiento. Y siento que es un proceso de aprendizaje permanente”.

Watkins dice que, como director de tecnología de una empresa de seguridad, todavía tiene buenas conexiones con amigos de la comunidad CISO. Dice que lo bueno de este grupo hoy en día es que cada vez son más conocedores del producto, lo que ayudaría a muchos de aquellos que esperan competir por puestos de CTO en el futuro. Dice que esta sabiduría se desarrolló por dos razones.

“En primer lugar, porque los capitalistas de riesgo y los empresarios privados normalmente los consultan y los invitan a hablar sobre su última y mejor tecnología”, dice. “Y en segundo lugar, porque necesitan hablar con fabricantes como nosotros y comprender dónde se está estancando el ciclo de nuestro producto y cómo pueden agregar más valor para desarrollar nuestro negocio. Esto contribuye en gran medida a transformar la flexibilidad y movilidad de este rol de CISO”.

Los CTO centrados en la seguridad respaldan la seguridad por diseño

Sin embargo, quizás la mayor ventaja que aportan los CISO como candidatos a CTO es la mentalidad de gestión de riesgos que aportan al ciclo de innovación.

«Definitivamente intensificaría el debate sobre la seguridad en una fase más temprana del ciclo de vida de la innovación, lo que creo que sería algo muy, muy bueno», afirma Zukis.

Watkins está completamente de acuerdo.

“Me encanta cualquier puesto al que ascienda una persona centrada en la seguridad porque tiene un conocimiento inherente y un proceso de pensamiento en torno a la seguridad, incluso si no es un puesto de liderazgo, sino simplemente una persona de seguridad que asume un rol no relacionado con la seguridad. » dice Watkins. «Es eficaz para vincular la idea de seguridad a cada pequeña faceta que tocan».

Esto podría tener enormes implicaciones para las iniciativas de seguridad por diseño, que a menudo dependen de cuestiones culturales y de incentivos más que cualquier otra cosa. Es más probable que un CTO de seguridad experimentado esté intrínsecamente motivado para incentivar mejor al equipo de ingeniería para diseñar y construir productos seguros desde el principio. Más importante aún, es más probable que un ex CISO sea consciente de los riesgos potenciales que introduciría un nuevo producto o plataforma en las primeras etapas de planificación.

«Creo que Secure by Design debería ser de gran beneficio para cualquier empresa que decida nombrar a un oficial de seguridad como su CTO», dice Farschchi. «Mantendrán un ojo puesto en la seguridad y la incorporarán desde el principio en lugar de apresurarse a huir más tarde».