Los ecos de la Conferencia RSA, Black Hat y DEFCON aún resuenan en nuestros oídos. Estos encuentros, repletos de ideas innovadoras, aprendizajes y predicciones, dejaron a los CISO zumbando con nuevas ideas y un renovado sentido del propósito. En estas últimas semanas de verano, es hora de alejarse del torbellino de conferencias y echar un vistazo al panorama general.
En un panel moderado por Keyfactor y Devo en RSA, los CISO se reunieron para compartir sus preocupaciones más acuciantes, la evolución del papel del CISO y los cambios estratégicos que están realizando para navegar por el complejo panorama de la seguridad actual. Siga leyendo para saber qué es lo que les quita el sueño y qué piensan hacer al respecto.
La ciberseguridad está más de actualidad que nunca
La concienciación pública sobre los problemas de seguridad ha aumentado en los últimos años; de hecho, es la más alta de la historia.
Hemos visto grandes perturbaciones causadas por incidentes cibernéticos:
-
- Cuando un Crowdstrike en julio de 2024 afectó a los dispositivos de Microsoft en todo el mundo, las interrupciones de las líneas aéreas y el sufrimiento de los clientes dominaron los titulares.
- En 2022, un Rogers de Rogers en Canadá routers defectuosos afectó a millones de clientes de Internet, telefonía móvil y banca, incluidos algunos sistemas de emergencia 911.
- Después de un corte en febrero de 2024, AT&T descubrió que "casi todos"los datos de los clientes de la mayor parte de 2022 habían sido filtrados, con el riesgo de que la información personal identificable (IPI) cayera en manos equivocadas.
- Un "certificado de estación terrestre caducado" en Starlink en 2023 dejó fuera de servicio los satélites durante varias horas, poniendo de relieve los riesgos de una mala gestión de los certificados para el conjunto de las operaciones.
- Cisco experimentó un problema similar en 2023, cuando los certificados caducados en SD-WAN heredada hardware de la nube, el almacenamiento de datos y los servicios de comercio electrónico.
Estos incidentes han llevado la ciberseguridad a la conciencia general. Esta mayor visibilidad va más allá de la concienciación de los consumidores; los consejos de administración y los altos ejecutivos también deben prestar más atención a los riesgos de seguridad y sus posibles consecuencias.
Aunque esta mayor atención otorga a los CISO un lugar más prominente en la mesa, no toda la visibilidad es positiva. Los CISO se enfrentan a un intenso escrutinio de sus decisiones, y la presión para obtener resultados es alta.
La responsabilidad personal está en juego
El papel del CISO ha evolucionado drásticamente en respuesta a este mayor escrutinio, y también lo ha hecho el nivel de responsabilidad personal. El ataque a la cadena de suministro de SolarWinds, por ejemplo, dio lugar a cargos por fraude contra el CISO Timothy Brown; en Uber, una violación de datos condujo a una condena penal y a tres años de libertad condicional. tres años de libertad condicional para el ex CISO Joseph Sullivan.
A estos retos se suman las nuevas normativas orientadas a proteger al público, como la de cuatro días de la SECo las próximas actualizaciones del actualizaciones del NIST sobre algoritmos criptográficos. Estas normativas son importantes y útiles para mejorar las prácticas de ciberseguridad, pero también aumentan la carga de trabajo y la complejidad del papel de un CISO.
¿Un planteamiento para evitar el banquillo? "Si no está escrito, no ocurrió". Los CISO con documentación y auditoría exhaustivas tienen información en la que basarse cuando se enfrentan a desafíos regulatorios o investigaciones externas.
Seguridad y riesgo van de la mano
Aunque proporcionan asesoramiento y recomendaciones de expertos, la última palabra suele corresponder a otros ejecutivos, miembros del consejo de administración o jefes de departamento.
Por ejemplo, un CISO puede recomendar la implantación de la autenticación multifactor (MFA) para Salesforce, pero si Salesforce es propiedad del equipo de ventas y está bajo su presupuesto, ellos son los responsables últimos y tendrán la última palabra sobre si se implanta esta medida. La comunicación y colaboración efectivas entre los CISO y otras partes interesadas es esencial para crear un cambio eficaz y progresivo.
En última instancia, el papel del CISO implica tanto la seguridad como la gestión de riesgos. Dados los recursos limitados y las restricciones de tiempo, es esencial priorizar los esfuerzos basándose en el apetito de riesgo de la organización. Comprender la tolerancia al riesgo de la empresa es clave para determinar qué medidas de seguridad se aplican y cuándo.
Los CISO se adaptan rápidamente al nuevo paradigma
Trabajar como CISO puede dar la sensación de estar en la cuerda floja. A medida que la innovación tecnológica explota, hay algunos enfoques comunes para enfriar las cosas:
Documéntelo todo
Lo hemos dicho antes, y lo decimos en serio: escríbalo, y eleve el asunto a su equipo ejecutivo. Este enfoque meticuloso de la documentación no consiste solo en mantener registros, sino en asegurarse de que todas las evaluaciones de riesgos, recomendaciones y decisiones consten por escrito.
Cuando un CISO identifica una amenaza potencial o una brecha de seguridad, la pone en conocimiento de la dirección, describe las posibles consecuencias y evalúa el apetito de riesgo de la organización para que todo el mundo esté de acuerdo antes de proceder. En caso de incidente o auditoría, una documentación exhaustiva puede ser un salvavidas.
Abrazar a los equipos jurídicos y de cumplimiento
Las normativas pueden ser poderosas aliadas en la gestión del riesgo. En un avispero de normas estrictas y mayor escrutinio, sus equipos jurídicos y de cumplimiento pueden ayudarle a orientar la empresa hacia la cantidad adecuada de riesgo, ni demasiado cautelosa ni excesivamente expuesta. Los expertos jurídicos, en particular, desempeñan un papel importante a la hora de identificar el coste de equivocarse, lo que puede ayudarle a tomar una decisión informada que se ajuste a los objetivos empresariales y de seguridad.
Consigue un sitio en la mesa y mantenlo
Ya no basta con que los CISO hablen tecnología; también deben ser capaces de hablar el lenguaje de los negocios. Los ejecutivos quieren saber no sólo qué riesgos se están mitigando, sino el valor de cada línea del presupuesto. Los CISO que pueden articular claramente cómo sus estrategias reducen el riesgo y contribuyen a los objetivos generales de la empresa tienen más probabilidades de conseguir los recursos y el apoyo que necesitan.
Aprovechar la experiencia de socios estratégicos de confianza
Los proveedores de servicios gestionados y otros socios estratégicos aportan conocimientos especializados a su empresa, ayudando a los CISO a priorizar los compromisos entre la integración de nueva tecnología y la atención a las necesidades específicas de la organización. En Keyfactor, nuestros servicios gestionados de PKI incluyen acceso a expertos en PKI que pueden ayudar a las organizaciones a comprender el alcance completo de gestión de certificados. Asóciese con expertos en la cobertura de la que carece su organización para tomar decisiones informadas que equilibren la innovación con la seguridad.
La colaboración, la comunicación y la documentación pueden hacer que el asiento del CISO se sienta un poco menos tostado, o al menos repartir el calor para que sea manejable.
La comunicación y la colaboración son el futuro del éxito de la ciberseguridad
A medida que el papel del CISO sigue evolucionando, la capacidad de hablar el lenguaje de los negocios sigue siendo una necesidad. Una comunicación clara ayuda a conseguir la aceptación de las principales partes interesadas y transmite los verdaderos riesgos y compensaciones inherentes a cualquier decisión de seguridad. Esta comunicación es esencial para alinear las estrategias de seguridad con los objetivos de la empresa y capacitar a la organización para que comprenda y apoye las medidas de seguridad.
El rápido ritmo de los avances tecnológicos, desde la IA a la computación cuánticapresenta retos y oportunidades para la ciberseguridad. Trabajar con socios de confianza puede ayudar a los CISO a navegar por la tecnología emergente y prepararlos para integrar nuevas innovaciones sin comprometer la seguridad.
Vea la mesa redonda completa para escuchar directamente a los líderes del sector hablar de lo que tienen en mente: las estrategias y perspectivas que configuran el futuro de la ciberseguridad.
