En qué piensan los CISO este otoño

Los ecos de la Conferencia RSA, Black Hat y DEFCON aún resuenan en nuestros oídos. Estos encuentros, repletos de ideas innovadoras, aprendizajes y predicciones, dejaron a los CISO zumbando con nuevas ideas y un renovado sentido del propósito. En estas últimas semanas de verano, es hora de alejarse del torbellino de conferencias y echar un vistazo al panorama general. 

In a panel discussion facilitated by Keyfactor and Devo at RSA, CISOs gathered to share their most pressing concerns, the evolving role of the CISO, and the strategic shifts they’re making to navigate today’s complex security landscape. Four key themes emerged as top-of-mind for CISOs—read on to see what’s keeping leaders up at night, and what they plan to do about it. 

La ciberseguridad está más de actualidad que nunca

La concienciación pública sobre los problemas de seguridad ha aumentado en los últimos años; de hecho, es la más alta de la historia.

Hemos visto grandes perturbaciones causadas por incidentes cibernéticos: 

• • When a faulty Crowdstrike update in July 2024 affected Microsoft devices across the world, airline outages and customer suffering dominated headlines.
  • In 2022, a major Rogers disruption in Canada involving malfunctioning routers affected millions of internet, mobile, and banking customers, including some emergency 911 systems.
  • After a February 2024 outage, AT&T discovered that “nearly all” customer data from most of 2022 had been exfiltrated, risking personally identifiable information (PII) in the wrong hands.
  • An “expired ground station certificate” at Starlink in 2023 took satellites down for several hours, highlighting the risks of poor certificate management to overall operations.
  • Cisco experienced a similar issue in 2023, when expired certificates on inherited SD-WAN hardware brought down cloud, data storage, and e-commerce services.

Estos incidentes han llevado la ciberseguridad a la conciencia general. Esta mayor visibilidad va más allá de la concienciación de los consumidores; los consejos de administración y los altos ejecutivos también deben prestar más atención a los riesgos de seguridad y sus posibles consecuencias. 

Aunque esta mayor atención otorga a los CISO un lugar más prominente en la mesa, no toda la visibilidad es positiva. Los CISO se enfrentan a un intenso escrutinio de sus decisiones, y la presión para obtener resultados es alta. 

La responsabilidad personal está en juego

The role of the CISO has evolved dramatically in response to this increased scrutiny, and so has the level of personal liability. The SolarWinds supply chain attack, for example, resulted in fraud charges filed against CISO Timothy Brown; at Uber, a data breach led to a criminal conviction and three years’ probation for former CISO Joseph Sullivan.

Compounding these challenges are emerging regulations geared towards protecting the public, such as the SEC’s four-day disclosure rule, or the forthcoming NIST updates to cryptographic algorithms. These regulations are important and helpful for improving cybersecurity practices, but they also increase the workload and complexity of a CISO’s role.

¿Un planteamiento para evitar el banquillo? "Si no está escrito, no ocurrió". Los CISO con documentación y auditoría exhaustivas tienen información en la que basarse cuando se enfrentan a desafíos regulatorios o investigaciones externas.

Seguridad y riesgo van de la mano

Aunque proporcionan asesoramiento y recomendaciones de expertos, la última palabra suele corresponder a otros ejecutivos, miembros del consejo de administración o jefes de departamento. 

Por ejemplo, un CISO puede recomendar la implantación de la autenticación multifactor (MFA) para Salesforce, pero si Salesforce es propiedad del equipo de ventas y está bajo su presupuesto, ellos son los responsables últimos y tendrán la última palabra sobre si se implanta esta medida. La comunicación y colaboración efectivas entre los CISO y otras partes interesadas es esencial para crear un cambio eficaz y progresivo. 

En última instancia, el papel del CISO implica tanto la seguridad como la gestión de riesgos. Dados los recursos limitados y las restricciones de tiempo, es esencial priorizar los esfuerzos basándose en el apetito de riesgo de la organización. Comprender la tolerancia al riesgo de la empresa es clave para determinar qué medidas de seguridad se aplican y cuándo. 

Los CISO se adaptan rápidamente al nuevo paradigma

Trabajar como CISO puede dar la sensación de estar en la cuerda floja. A medida que la innovación tecnológica explota, hay algunos enfoques comunes para enfriar las cosas: 

Documéntelo todo

Lo hemos dicho antes, y lo decimos en serio: escríbalo, y eleve el asunto a su equipo ejecutivo. Este enfoque meticuloso de la documentación no consiste solo en mantener registros, sino en asegurarse de que todas las evaluaciones de riesgos, recomendaciones y decisiones consten por escrito. 

Cuando un CISO identifica una amenaza potencial o una brecha de seguridad, la pone en conocimiento de la dirección, describe las posibles consecuencias y evalúa el apetito de riesgo de la organización para que todo el mundo esté de acuerdo antes de proceder. En caso de incidente o auditoría, una documentación exhaustiva puede ser un salvavidas.

Abrazar a los equipos jurídicos y de cumplimiento

Las normativas pueden ser poderosas aliadas en la gestión del riesgo. En un avispero de normas estrictas y mayor escrutinio, sus equipos jurídicos y de cumplimiento pueden ayudarle a orientar la empresa hacia la cantidad adecuada de riesgo, ni demasiado cautelosa ni excesivamente expuesta. Los expertos jurídicos, en particular, desempeñan un papel importante a la hora de identificar el coste de equivocarse, lo que puede ayudarle a tomar una decisión informada que se ajuste a los objetivos empresariales y de seguridad. 

Consigue un sitio en la mesa y mantenlo

Ya no basta con que los CISO hablen tecnología; también deben ser capaces de hablar el lenguaje de los negocios. Los ejecutivos quieren saber no sólo qué riesgos se están mitigando, sino el valor de cada línea del presupuesto. Los CISO que pueden articular claramente cómo sus estrategias reducen el riesgo y contribuyen a los objetivos generales de la empresa tienen más probabilidades de conseguir los recursos y el apoyo que necesitan. 

Aprovechar la experiencia de socios estratégicos de confianza

Managed service providers and other strategic partners bring specialized expertise to your business, helping CISOs prioritize the trade-offs between integrating new technology and addressing the organization’s specific needs. At Keyfactor, our managed PKI services come with access to PKI experts who can help organizations understand the full scope of certificate management. Partner with experts in the coverage your organization lacks to make informed decisions that balance innovation with security. 

La colaboración, la comunicación y la documentación pueden hacer que el asiento del CISO se sienta un poco menos tostado, o al menos repartir el calor para que sea manejable. 

La comunicación y la colaboración son el futuro del éxito de la ciberseguridad

A medida que el papel del CISO sigue evolucionando, la capacidad de hablar el lenguaje de los negocios sigue siendo una necesidad. Una comunicación clara ayuda a conseguir la aceptación de las principales partes interesadas y transmite los verdaderos riesgos y compensaciones inherentes a cualquier decisión de seguridad. Esta comunicación es esencial para alinear las estrategias de seguridad con los objetivos de la empresa y capacitar a la organización para que comprenda y apoye las medidas de seguridad. 

The rapid pace of technological advancement, from AI to quantum computing, presents challenges and opportunities for cybersecurity. Working with trusted partners can help CISOs navigate emerging tech and prepare them to integrate new innovations without compromising security. 

Check out the full panel discussion to hear directly from industry leaders about what’s on their mind: the strategies and insights shaping the future of cybersecurity.