Los CISO comparten sus 3 principales desafíos de gestión de ciberseguridad

La gestión del riesgo a escala global siempre ha sido un desafío, pero la pandemia de COVID ha requerido que los CISO se vuelvan aún más ágiles. El cambio al trabajo híbrido, la entrega rápida de aplicaciones en la nube y el cambio a la integración continua y el desarrollo continuo (CI/CD) han envalentonado a los actores de amenazas con objetivos nuevos y más amplios.

Hoy en día, la cantidad de dispositivos y terminales en las redes empresariales ha crecido exponencialmente. Dos CISO veteranos lamentaron los desafíos que trajeron estos cambios durante un seminario web la semana pasada organizado por la empresa emergente de descubrimiento de activos y gestión de riesgos Sepio. Ilan Kaplan, CISO de Sepio, moderó una discusión de una hora con Monique Shivanandan, CISO de HSBC, y Carl Froggett, quien fue CISO en Citi durante 17 años antes de unirse a la startup Deep Instinct como CIO el verano pasado.

Shivanandan y Froggett compartieron con Kaplan lo que ven como tres de los principales desafíos en el panorama de riesgo y ciberseguridad que cambia rápidamente.

1. Mantener la visibilidad de todos los recursos de la red

Históricamente, los profesionales de la ciberseguridad han luchado para ser completos rango de visión en lo que hay en sus redes y las amenazas dirigidas a ellos. Froggett descubrió que las tecnologías nativas de la nube más nuevas, como las aplicaciones basadas en contenedores y SaaS, ofrecen una mejor visibilidad que el software tradicional porque las aplicaciones modernas son más seguras.

Sin embargo, este beneficio se ve eclipsado por el gran tamaño de todos los componentes asociados con las aplicaciones modernas. «Un activo solía vivir 5, 6, 7 años o más cuando se tienen en cuenta los sistemas operativos subyacentes, mientras que ahora la vida útil del contenedor se puede medir en segundos o tal vez en minutos», dijo Froggett. Esto crea “un conjunto completamente nuevo de [visibility] Desafíos desde esta perspectiva».

Shivanandan señaló que los métodos tradicionales de Inventario de captura, mantenerlos actualizados y rastrearlos se basaba en la idea de agregar manualmente activos a una red. Pero eso no funciona con las aplicaciones modernas, dijo, debido a la escala y la velocidad a la que se implementan los dispositivos y el software. «Uno de los mayores desafíos que enfrenta cada CIO y cada CISO es tener esa visibilidad y asegurarse de que la visibilidad esté actualizada», dijo Shivanandan.

2. Evitar nuevos riesgos al agregar aplicaciones

Los equipos de seguridad no solo tienen que lidiar con las montañas de riesgos regulatorios existentes y el panorama actual de amenazas, sino también evitar ser la fuente de nuevos riesgos. Cuando se le preguntó cómo aseguran esto, Shivanandan dijo que si bien es imposible verificar el código fuente de cada componente agregado a la infraestructura, HSBC tiene procesos estrictos para adoptar nuevas tecnologías que incluyen «muchas pruebas de penetración y equipos rojos».

«Desafortunadamente, con la cantidad de fiestas que tenemos, no podemos hacerlo para todos», agregó. “Estamos haciendo esto para unos pocos seleccionados.” El problema es: “Cada cambio de software y cada nueva versión puede introducir algo nuevo, a sabiendas o sin saberlo. Es una batalla constante a la que nos enfrentamos”.

Froggett dijo que Citi tiene procesos estrictos para incorporar nuevas tecnologías, incluidas las pruebas de penetración y la formación de equipos rojos, pero con las cadencias de lanzamiento actuales, la aplicación se ha vuelto difícil. «Después de todo, por lo general no se pueden hacer revisiones del código fuente» de todo lo que llega, dijo.

3. Captación y retención de talento calificado

La falta de especialistas en ciberseguridad con experiencia no es nada nuevo, pero Shivanandan dijo que sigue siendo uno de sus mayores desafíos. “Toda la tecnología del mundo es tan buena como las personas que se aseguran de que la instalemos [everything] precisa y actualizada», dijo.

Shivanandan dijo que a pesar del progreso significativo, a las mujeres todavía les resulta difícil romper el techo de cristal. Ella cree que los hombres tienen una presencia descomunal en puestos de seguridad cibernética senior en comparación con la industria de TI en su conjunto.

“Si comienzas en los niveles más bajos, hay [an] incluso [proportion of] Hombres y mujeres, 50-50, a veces incluso 60-40 mujeres”, dijo.

Aún así, Shivanandan dijo que las mujeres enfrentan menos obstáculos hoy en día en comparación con cuando comenzaron. Ella dijo: «Cuando comencé, querían darte palmaditas en la cabeza y decir: ‘Cariño, no te preocupes por tu linda cabecita, yo me encargaré de las cosas técnicas'». Pero ya no, ya no hay límite superior para que una mujer llegue a cualquier puesto, es solo cuestión de perseverancia.

Shivanandan tiene la suerte de estar en HSBC, donde el 40% de su equipo de liderazgo son mujeres. «Tanto las mujeres como los hombres son asombrosos y eso es lo que realmente quieres buscar», dijo.

Froggett dijo que durante sus casi 25 años en Citi, la mayoría de sus jefes han sido mujeres. “El trabajo no se hace de manera segura, pero definitivamente hay más equilibrio [of men and women in senior leadership roles than] Lo vi hace cinco o diez años».

Shivanandan enfatizó que la creación de un equipo diverso va más allá del género. Una gran parte de su equipo tiene algún tipo de neurodiversidad, dijo. Respectivamente InvestigaciónSe estima que entre el 15 y el 20 % de las personas tienen algún tipo de neurodivergencia, como autismo, trastorno por déficit de atención con hiperactividad (TDAH), enfermedad mental o problemas de aprendizaje.

dijo Shivanandan estas condiciones son a menudo activos: «La hace fabulosa en el trabajo», pero agregó: «Creo que eso es probablemente más difícil de superar desde una perspectiva de progresión profesional, desde una perspectiva de liderazgo que desde una perspectiva técnica».