Cuando el grupo alemán Deutsche Post DHL —una de las empresas de mensajería más grandes del mundo— creó un puesto específico de ciberseguridad a nivel mundial para David Thornewill, en March 2020, fue algo más que una muestra de confianza en su talento. Según Thornewill, se trataba de reconocer que la multinacional, con múltiples divisiones que operan en cientos de países, necesitaba una estrategia unificada para defenderse de los ciberataques.
«A medida que la ciberseguridad iba adquiriendo mayor importancia tanto en la mente de las personas como en sus presupuestos, nos dimos cuenta de que necesitábamos una mejor coordinación», afirma Thornewill. «Porque la gente no ataca a las divisiones, sino a las marcas».
En la actualidad, Thornewill ocupa el cargo de director de seguridad de la información (CISO) del grupo, el gigante de la logística, y tiene previsto dejar su anterior cargo de director de sistemas de información (CIO) para las operaciones de la sede central el próximo año. (La empresa surgió de la privatización del servicio postal alemán y obtuvo unos ingresos de 77 000 millones de dólares en 2020, según
.) Dado su tamaño y sus redes de distribución, los responsables de la ciberseguridad de esta empresa desempeñan un papel fundamental. Cada división —entre ellas, DHL Express, DHL Supply Chain y DHL Global Forwarding— cuenta con un director de sistemas de información (CIO) y un director de seguridad de la información (CISO), al igual que cada unidad de negocio. La función de Thornewill consiste en coordinar las distintas iniciativas de ciberseguridad entre todos ellos.
No todas las organizaciones tienen necesidades de la misma envergadura que Deutsche Post. Sin embargo, el nuevo cargo de Thornewill pone de manifiesto acertadamente la creciente importancia de los CISO cualificados ante la actual crisis mundial de ciberseguridad, y esa mayor relevancia se refleja en su remuneración.
La remuneración total media de los CISO en EE. UU. se disparó un 19 %, pasando de 784,000 dólares en 2020 a 936,000 dólares este año, según una encuesta de « » realizada por la consultora de selección de personal Heidrick & Struggles. La remuneración total aumentó una media del 12 %, y los paquetes salariales más generosos se registraron en empresas de la costa oeste. En esa región, la remuneración anual total asciende, de media, a más de 1 millón de dólares en las empresas públicas y a 731,000 dólares en las privadas, según un estudio de « » ( ) realizado por Hitch Partners.
Retos en materia de contratación
A medida que las empresas se recuperan de la pandemia, retoman sus operaciones hasta alcanzar los niveles previos a la pandemia, continúan su proceso de transformación digital « » y tratan de proteger sus redes, les resulta difícil encontrar directores de seguridad de la información (CISO).
La búsqueda se complica: los profesionales de la seguridad se enfrentan a un agotamiento derivado del estrés que conlleva su puesto, y los candidatos se están volviendo cada vez más exigentes en cuanto al salario o la estructura jerárquica que están dispuestos a aceptar.
Como consecuencia, profesionales como Bryan Kissinger, vicepresidente y director de seguridad de la información (CISO) de Trace3, una empresa de consultoría tecnológica y de TI, dedican cada vez más tiempo a proporcionar servicios de consultoría en materia de seguridad de la información a organizaciones que no pueden permitirse contratarlos de forma permanente. Aunque Kissinger afirma que el desajuste entre la oferta y la demanda de talento es beneficioso para los negocios, existe otra cara de la moneda. «Trabajo con antiguos responsables de seguridad de la información (CISO), y me enfrento al reto diario de retenerlos y pagarles lo suficiente para que sigan interesados», afirma.
[Lea también: ¿Qué es una puntuación de riesgo cibernético y por qué es importante?]
Deutsche Post aborda este reto mediante la mejora de las competencias de los empleados que ya cuentan con habilidades en seguridad de aplicaciones, DevOps, gestión de riesgos o detección de amenazas, ayudándoles a obtener las certificaciones necesarias y ofreciéndoles orientación profesional. «Prefiero contratar a alguien con pasión antes que a alguien con estudios», afirma Thornewill. «Siempre puedo formar a una persona apasionada», afirma.
Los CISO deben ser flexibles, tener rapidez mental y resulta útil que sean bilingües, es decir, que sean capaces de expresarse tanto en el lenguaje técnico como en el resultados empresariales ante un público directivo. Según la encuesta de Heidrick, alrededor del 90 % de los CISO se presentan ante los consejos de administración de las empresas, y tres cuartas partes de ellos lo hacen cada trimestre. «Los consejos de administración están planteando más preguntas que nunca sobre tecnología», afirma Martha Heller, directora ejecutiva de Heller Search Associates, empresa dedicada a la selección de directores de sistemas de información (CIO), directores de tecnología (CTO) y directores de seguridad de la información (CISO) para empresas. «La capacidad del CISO para saber cómo dirigirse al director general, al director financiero y al consejo de administración es la cualidad más importante que buscamos».
¿Quién depende de quién?
Para los CISO, la persona a la que deben rendir cuentas se está convirtiendo en un factor clave a la hora de valorar las ofertas de trabajo. En muchos sectores empresariales, los CISO han dependido tradicionalmente de los CIO. Esto ha dado lugar a menudo a denuncias de conflicto de intereses por parte de los CISO, quienes se quejan de que sus prioridades en materia de seguridad quedan relegadas a un segundo plano frente a los objetivos operativos y empresariales del CIO.
«. La capacidad del CISO para saber cómo dirigirse al director general, al director financiero y al consejo de administración es la cualidad más importante que buscamos.»Martha Heller, directora ejecutiva de Heller Search Associates
En la actualidad, sigue siendo habitual que los CISO dependan de un CIO, según la encuesta de Heidrick, en la que el 38 % de los encuestados mencionó esa estructura; el 16 % dependía de un CTO o de un responsable de ingeniería; el 12 %, de un COO o de un ejecutivo administrativo; el 11 %, del CEO; y el resto, de una variedad de otros cargos, entre los que se incluyen el de CISO global y el de director de riesgos.
«Las posibilidades de que surjan conflictos en las líneas jerárquicas son reales», afirma Thornewill. Por ejemplo, es posible que un CISO desee que los clientes utilicen la autenticación multifactorial, pero el CIO prefiera dar prioridad a la comodidad. Los CISO no pueden esperar salir airosos en todos los casos, ya que parte de la actividad empresarial consiste en asumir cierto riesgo. Sin embargo, sí quieren que se tomen en serio sus preocupaciones, afirma Thornewill.
Dentro de su propia estructura corporativa, Thornewill depende directamente del director general de Deutsche Post. Afirma que los CISO de las principales divisiones del grupo se encargan de la mayor parte de la labor de garantizar la seguridad de la organización y cuentan con una estructura jerárquica más tradicional. «Los CISO de cada división dependen del CIO local; no estoy seguro de que sea la mejor estructura, pero así es como lo hacemos», afirma Thornewill.
Intenta ofrecer a los CISO de las divisiones «otra opción» en caso de que no se les preste atención. «Merece la pena reflexionar seriamente» sobre a quién debería rendir cuentas el CISO —quizá al director de operaciones (COO), si no al director ejecutivo (CEO)—, afirma Thornewill.
Según Kissinger, es probable que la estructura ideal varíe en función del grado de madurez del programa de ciberseguridad. Si una organización cuenta con un programa bien desarrollado, podría resultar útil que el CISO dispusiera de mayor independencia. Por otra parte, para un responsable de seguridad de la información (CISO) de una empresa que está tratando de ampliar y desarrollar un protocolo de ciberseguridad, «formar parte del equipo de TI puede resultar muy, muy valioso», afirma.
El CISO en constante evolución
Si bien la demanda de directores de seguridad de la información (CISO) va en aumento, sus funciones y responsabilidades están en constante evolución.
Tradicionalmente, este puesto ha requerido conocimientos técnicos en tecnologías de la información, así como un profundo conocimiento de la seguridad de redes y aplicaciones, pruebas de penetración, y contramedidas defensivas. A medida que aumenta la necesidad de contar con herramientas y procesos de seguridad más sofisticados y costosos, los CISO deben aportar una visión estratégica y experiencia en otros ámbitos de la empresa, como las finanzas y el cumplimiento normativo.
El CISO debe ser, además, un comunicador competente y un experto en gobernanza, normativa, gestión de riesgos y auditoría.
[Lea también: ¿Qué es la búsqueda de amenazas y por qué es importante?]
Thornewill cuenta con un MBA, lo que le permite expresarse en el lenguaje de los negocios y las finanzas cuando habla con el director general y el director financiero. A lo largo de sus 20 años en la empresa, ha trabajado en diversos ámbitos de la misma, incluida la logística. Afirma que algunos de sus colegas que ocupan el cargo de CISO cuentan con conocimientos técnicos más avanzados, mientras que otros tienen experiencia en el ámbito financiero y del cumplimiento normativo. Por encima de todo, afirma Thornewill, los CISO deben ser curiosos y estar en constante aprendizaje.
Incorporación
Dado que el valor de los CISO radica cada vez más en su formación en el puesto de trabajo, las empresas se muestran cada vez más dispuestas a considerar a candidatos que cumplan solo algunas de las cualidades de su lista de requisitos y demuestren potencial de crecimiento.
«Trabajamos principalmente con candidatos que aún no son un producto acabado», afirma Michael Piacente, socio director y cofundador de Hitch Partners, empresa dedicada a la selección de personal especializado en ciberseguridad para empresas tecnológicas centradas en la nube. Afirma que los candidatos pueden tener un «superpoder» concreto en materia de seguridad de redes, seguridad de aplicaciones o gobernanza, riesgo y cumplimiento normativo, pero necesitan formación en otras habilidades, como la comunicación sin jerga técnica ante el consejo de administración.
Una estrategia para atraer a un CISO con talento consiste en hacer realidad sus ambiciones; por ejemplo, ofreciéndole un puesto en el consejo de administración. En la encuesta de Heidrick, aunque solo el 4 % de los CISO afirmaron formar parte de un consejo de administración, la mitad manifestaron su deseo de llegar a ser miembros del mismo. Heidrick afirma que este objetivo podría ser factible, dado que muchos CISO ya forman parte de consejos asesores, «y que la ciberseguridad seguirá cobrando importancia a medida que más aspectos de las operaciones se digitalicen por completo».
[Lea también: No se pueden combatir las amenazas del mañana con la mentalidad de ayer]
Un problema complejo en materia de contratación ha sido la reserva tradicional de talento para los CISO. En la encuesta de Heidrick sobre los CISO, más del 80 % de los encuestados eran de raza blanca y más del 80 % eran hombres. Es posible que eso cambie en un futuro próximo. Según el responsable de selección de personal, este año «se está observando una mayor diversidad entre las personas que ocupan el puesto de CISO y un mayor interés por parte de las empresas en contratar a CISOs que representen esa diversidad».
Heidrick afirma que espera que las empresas busquen cada vez más fuera del sector tradicional «para encontrar a los mejores ejecutivos para el puesto, incluyendo a personas que aporten diversidad en cuanto a género y raza o origen étnico, así como en cuanto a experiencia en el sector y en funciones específicas».
