Tras haber ocupado el cargo de director de seguridad de la información de la Mancomunidad de Pensilvania durante 12 años, Erik Avakian no solo logró superar en permanencia a tres gobernadores sucesivos, sino que también superó con creces la media de permanencia establecida por la Asociación de Gobernadores de Estados Unidos ( ) , que oscila entre los CISOs—18 y los 26 meses.
No es que Avakian no tuviera estrés ni se sintiera agotado, al igual que sus compañeros del sector. De vez en cuando lo hacía. Sin embargo, se consideraba un luchador y le encantaba el reto de defenderse de los piratas informáticos; es decir, hasta el otoño pasado, cuando decidió que, por fin, había llegado el momento de dedicarse a otra cosa.
«La verdad es que ahora me siento mejor tanto mental como físicamente», admite Avakian, que actualmente trabaja en el sector privado como asesor técnico de Info-Tech Research. «Tengo el rostro más luminoso y, en general, gozo de mejor salud».
Avakian no es el único que desea un cambio. De hecho, una encuesta de BlackFog, « 2022 », , reveló que casi un tercio (32 %) de los CISO de EE. UU. y el Reino Unido están considerando abandonar sus organizaciones actuales.
Por otra parte, otro estudio reciente de « » ( ), elaborado por la consultora de selección de ejecutivos Heidrick & Struggles, reveló que el 60 % de los CISO se ven afectados por el estrés y que el 53 % sufre agotamiento laboral.
Es una situación que lleva ya un tiempo fuera de control. Sin embargo, los profesionales de la seguridad afirman que creen que la situación puede revertirse si abordan de forma activa las causas fundamentales de los problemas.
El quid de la cuestión
Uno de los problemas es sentirse atrapado en un trabajo ingrato. La mayoría de los CISO dependen de los directores de sistemas de información (CIO). Al igual que sus superiores, se espera que fomenten la eficiencia operativa. Rara vez reciben una palmada en la espalda. Los directivos solo se comunican con ellos cuando las cosas van mal, y dedican más tiempo a decir «no» a la gente que a preguntar cómo pueden ayudar a sus compañeros a impulsar la innovación. Los CISO también se consideran centros de coste, en lugar de fuentes de ingresos.
Nada de esto les hace populares.
«Hay mucha gente que piensa que la seguridad consiste en ralentizar las cosas cuando intentan llevar a cabo sus actividades empresariales.»Chris Prewitt, director técnico y responsable de seguridad de la información, Inversion6
«Hay mucha gente que piensa que la seguridad consiste únicamente en ralentizar los procesos cuando intentan llevar a cabo sus actividades empresariales», afirma Chris Prewitt, director técnico y responsable de seguridad de la información (CISO) de Inversion6, una empresa dedicada a la gestión de riesgos de ciberseguridad. «Está luchando contra la inercia de la empresa —o, al menos, esa es la percepción general—».
Es más, dado que los CISO se encuentran varios niveles jerárquicos por debajo de la alta dirección y solo rinden cuentas ante el consejo de administración unas pocas veces al año, se ven afectados por el hecho de que «ojos que no ven, corazón que no siente». El desarrollo de sus indicadores de éxito suele pasar por varias fases de revisión, tras las cuales las expectativas pueden haberse diluido tanto que ya no reflejan la realidad.
Un responsable de seguridad de la información (CISO) de una importante empresa productora de alimentos y aperitivos afirma que, en una ocasión, el director de sistemas de información (CIO) de su anterior empresa llegó incluso a modificar el informe de cumplimiento normativo de su planta para mostrar mejores resultados durante una presentación ante el consejo de administración.
«Ese es el tipo de cosas que generan estrés», afirma el responsable de seguridad de la información (CISO), que ha preferido mantener el anonimato. «No sé si fue necesariamente malintencionado, pero lo interpreté como una violación de mi integridad, por lo que lo expresé de alguna manera». En definitiva, como responsable de seguridad de la información (CISO) que rendía cuentas directamente al consejo de administración, aquello me hizo darme cuenta de que quizá había llegado el momento de marcharme de allí».
Una dificultad relacionada: la rendición de cuentas sin autoridad. La mayoría de los CISO están de guardia 24 horas al día, ya que las filtraciones de datos pueden producirse en cualquier momento. De hecho, según , el 60 % de los encuestados «rara vez se desconecta». La mayoría trabaja 16.5 agotadoras horas a la semana, más de lo estipulado en su contrato. Sin embargo, si se produce un ciberataque y no pueden ponerse en contacto con nadie para que autorice una respuesta rápida, es probable que toda la culpa recaiga directamente sobre los hombros del CISO.
«A muchos responsables de seguridad de la información (CISO) les cuesta que se les acepte como parte del círculo de altos directivos, pero se espera que todos se comporten como un alto directivo cuando a nuestros jefes les conviene», afirma Paul Watts, antiguo responsable de seguridad de la información (CISO) en Kantar, una consultora de análisis de datos, así como en Domino’s Pizza. En la actualidad, ejerce como analista destacado del Foro de Seguridad de la Información (ISF).
Colaboración con la alta dirección
Por supuesto, si los CISO fueran capaces de establecer relaciones sólidas con los altos directivos y los miembros del consejo de administración, se podrían evitar las acusaciones injustificadas. Sin embargo, muchos de ellos son tecnólogos con enfoque táctico que carecen de las habilidades interpersonales necesarias para gestionar a sus superiores. Por ello, no cuentan con el respaldo de altos cargos que les cubran las espaldas, al tiempo que se esfuerzan por obtener el apoyo de la dirección para satisfacer necesidades fundamentales en materia de presupuesto y dotación de personal.
«Ser director de seguridad de la información (CISO) ya no consiste únicamente en saber interpretar una captura de paquetes; se trata de comunicar de form e a los directivos de la empresa cómo lo que figura en esa captura de paquetes afecta a la organización», afirma Avakian. «Lamentablemente, se observa que muchos CISO jóvenes aún necesitan desarrollar sus habilidades de comunicación empresarial». «A veces tienen dificultades para comunicarse con los responsables, no consiguen que se respalden sus programas y acaban marchándose».
Según los profesionales de la seguridad, muchos responsables de seguridad de la información (CISO) también se enfrentan a dificultades debido a la creciente complejidad, sofisticación y alcance de los ciberataques a los que se ven sometidos. Las herramientas de piratería informática automatizadas, que utilizan inteligencia artificial (IA) y aprendizaje automático (ML) para buscar vulnerabilidades en las redes y penetrar en ellas a gran escala, podrían proporcionar pronto a los piratas informáticos una ventaja. A pesar de contar con sus propias contramedidas basadas en la inteligencia artificial (IA) y el aprendizaje automático (ML), los equipos de seguridad informática suelen carecer de personal suficiente o de la experiencia necesaria para mantener a raya a la multitud de piratas informáticos equipados con IA.
Steve Zalewski, antiguo director de seguridad de la información (CISO) de Levi Strauss, afirma que su equipo solía rendir por encima de sus posibilidades, ya que contaba con un presupuesto y unos recursos limitados para hacer frente a unos piratas informáticos cada vez más sofisticados.
«Me di cuenta de que habíamos agotado todos los recursos posibles y que cada vez dependíamos más de la suerte», afirma Zalewski, quien abandonó la profesión para fundar S3 Consulting, un servicio de asesoramiento en ciberseguridad. «Es entonces cuando la frustración va en aumento, porque uno quiere hacer mucho más».
Entonces, ¿cómo salir airoso de esta situación?
Superar la exasperación y la falta de ánimo no es fácil. No obstante, los CISO pueden mejorar su bienestar y prolongar su trayectoria profesional siguiendo estas cuatro recomendaciones:
1. Negocie unas condiciones más favorables
En el cargo de CISO, es importante —por su propio bienestar— negociar las condiciones laborales. Lo ideal es que se mantenga una conversación antes de aceptar un puesto. Sin embargo, si ya ha sido contratado, debería mantener una conversación sincera sobre los problemas con el director de sistemas de información (CIO) o el responsable del departamento antes de tirar la toalla y marcharse.
«Los CISO jóvenes… a veces tienen dificultades para comunicarse con la dirección, no consiguen el apoyo necesario para sus programas y acaban abandonando.»Erik Avakian, antiguo director de seguridad de la información (CISO) del Estado de Pensilvania
Parte de esta conversación debería consistir en llegar a un acuerdo desde el principio sobre qué cabe esperar en cuanto a presupuesto y dotación de personal. Si una organización limita o reduce la inversión en ciberseguridad, no puede esperar que los CISO, que cuentan con recursos limitados, obtengan los mismos resultados que antes de los recortes.
«He sido testigo de numerosas situaciones en las que se mantuvo a los CISO en sus puestos, pero se redujeron drásticamente su presupuesto y su plantilla, por lo que no pudieron desempeñar sus funciones de manera eficaz», afirma Zalewski. «Si se le recorta el presupuesto, tiene la obligación de renegociar las condiciones contractuales con sus superiores. «Si se limita a insinuar que hará más con menos, debería avergonzarse, porque eso es precisamente lo que el equipo directivo espera que haga».
El CISO de la empresa de alimentación y aperitivos recomienda asimismo resolver el dilema de la «responsabilidad sin autoridad» asegurándose el derecho a actuar en caso de que ya se haya producido un ciberataque grave, una característica distintiva del marco de confianza cero de . Los CISO también deberían asegurarse de que sus empresas les ofrezcan la misma protección cibernética a través de un seguro de responsabilidad civil para directivos y administradores (D&O) que la que reciben los altos directivos y los miembros del consejo de administración, afirma. El seguro les protege en caso de que sean demandados, o incluso se enfrenten a cargos penales, tras un ataque, tal y como le ocurrió al director de seguridad de Uber, Joseph Sullivan, después de que fuera declarado culpable de un delito grave por ocultar una filtración de datos.
«Si surgiera algún tipo de proceso civil o penal y usted no contara con protección D&O, entonces tendría que contratar su propia póliza», afirma el CISO. «Ese es un aspecto fundamental que los CISO deberían tener en cuenta a la hora de considerar un puesto de trabajo».
2. Aprenda y ponga en práctica las competencias transversales
Los CISO del futuro no podrán tener éxito si se basan únicamente en sus habilidades técnicas. Dado que los problemas de ciberseguridad tienen un impacto cada vez mayor en los resultados económicos, los altos directivos recurrirán al personal de seguridad informática para que les explique cómo protegen los datos , los datos críticos y los activos de la organización, al tiempo que le permiten desarrollar su actividad y fomentar la innovación con mayor facilidad. Por lo tanto, para conservar su puesto de trabajo, los CISO deben aprender a expresarse en términos empresariales, en lugar de en términos técnicos.
[Lea también: Cómo los CISO pueden hablar de riesgo cibernético para que los CEO realmente escuchen]
Algunos CISO adquieren estas habilidades interpersonales con el paso del tiempo. Sin embargo, dado que el panorama de amenazas no deja de ampliarse e intensificarse, eso no es lo suficientemente rápido. Avakian recomienda inscribirse en un programa de formación en comunicación empresarial para acelerar el aprendizaje. Señala que algunos programas de certificación en ciberseguridad también ofrecen cursos de comunicación para ejecutivos como parte de su plan de estudios.
3. Haga un trabajo que le apasione
Michael P. Leiter, psicólogo organizacional y coautor de * * , **, *The Burnout Challenge*, y , afirma que los CISO también pueden minimizar las molestias tomando nota de qué aspectos de su trabajo les motivan y, a continuación, orientando poco a poco sus programas y cargas de trabajo en esa dirección.
«Son pocas las personas que tienen un trabajo que les encanta en cada minuto del día», afirma Leiter, antiguo profesor de psicología organizacional en la Universidad Deakin de Australia. «El objetivo debería ser lograr un mejor equilibrio entre lo que realmente le gusta hacer y lo que no le gusta hacer».
4. Priorice la mente y el cuerpo
El trabajo en materia de ciberseguridad puede llegar a volver locos a los CISO o privarles de la tranquilidad. Por ese motivo, algunos profesionales de la seguridad recomiendan dedicar tiempo a la terapia u otras actividades relacionadas con la salud mental.
«Si le recortan el presupuesto [y] se limita a insinuar que hará más con menos, debería avergonzarse.»Steve Zalewski, antiguo director de seguridad de la información (CISO) de Levi Strauss
«Creo que todo responsable de seguridad de la información (CISO) debe centrarse en su bienestar general», afirma Avakian. «En este trabajo se necesita mucha fortaleza mental». «Le conviene comprometerse a mantenerse sano, tanto física como mentalmente, para poder ser un líder eficaz y un buen referente para su equipo».
Añade que también es importante que el CISO se mantenga en contacto de forma habitual con los miembros del equipo de seguridad para saber cómo les va.
Los CISO también necesitan fuerza física y resistencia; de ahí que el 80 % de los 250 líderes tecnológicos de todo el mundo hayan declarado a OneLogin que practican ejercicio para compensar las presiones de su trabajo.
«Lo que sabemos es que el estado actual del cuerpo influye en los comportamientos, los sentimientos y el pensamiento», afirmó Robin Massey, psicóloga industrial y organizacional, en un comunicado. «Por lo tanto, es importante comprender cómo se interrelacionan los factores fisiológicos con los relacionales y los psicológicos».
Se trata de un consejo sobre la relación entre mente y cuerpo que se ha conseguido a base de mucho esfuerzo. No obstante, resulta de gran ayuda para cualquiera que se encuentre en primera línea en materia de ciberseguridad.
