Al igual que el resto de directivos empresariales, los responsables de seguridad de la información (CISO) podrían encontrarse en la cola del paro si algo sale gravemente mal bajo su responsabilidad.
Pero, ¿y si los CISO simplemente no estuvieran demostrando un valor empresarial suficiente?
Ahora que se avecina una posible recesión y que las empresas están recortando gastos, demostrar que los programas de ciberseguridad son beneficiosos para el negocio se ha convertido en algo fundamental para proteger los presupuestos y los puestos de trabajo.
Por eso, la evaluación comparativa del rendimiento se está convirtiendo en algo imprescindible para los responsables de ciberseguridad de todo el mundo. De hecho, la consultora especializada en el sector Gartner prevé que, para el año 2026, la mitad de todos los directivos de alto nivel tendrán requisitos de rendimiento vinculados al riesgo incorporados en sus contratos de trabajo. Esos incentivos suelen hacer que uno se concentre.
Aumenta la presión para que se establezcan criterios de referencia en materia de ciberseguridad
A medida que los directivos se enfrentan cada vez más a indicadores de rendimiento basados en el riesgo, es casi seguro que los responsables de seguridad de la información (CISO) se verán sometidos a una mayor presión para cuantificar el éxito de sus programas en reuniones e informes. Esto significa salir de su zona de confort centrada en la tecnología y dar mayor prioridad a cuestiones empresariales como la mejora de la innovación, los resultados de las inversiones y la madurez en materia de ciberseguridad.
«A los responsables de seguridad de la información (CISO) les cuesta comunicarse con la alta dirección porque lo que estos quieren saber es: “¿Estoy a salvo?”» «¿Estoy a salvo?», afirma Frank Dickson, vicepresidente del grupo de seguridad y confianza de la empresa de inteligencia de mercado IDC. «Sin embargo, lo que suelen hacer los CISO es informar sobre una serie de indicadores relacionados con la actividad que no responden a esas preguntas, lo cual molesta a los directores generales».
Según Dickson, lo que deben destacar los CISO es cómo sus actividades reducirán el riesgo. Con este fin, los indicadores de rendimiento permiten a los responsables supervisar los avances en la reducción de riesgos y demostrar cómo se sitúan sus programas en relación con los objetivos internos y con los de sus homólogos. Además, permiten a los CISO recopilar y presentar datos relevantes para la empresa.
«En la actualidad, los consejos de administración y los equipos directivos se implican mucho más en la ciberseguridad», afirma Lou Celi, director ejecutivo de ThoughtLab Group, una empresa de investigación internacional. «Quieren asegurarse de no verse en una situación complicada». «No quieren hacer menos que los demás».
Es hora de elegir un estándar
Existen numerosos marcos de seguridad informática de diversos sectores y asociaciones que pueden resultar útiles para realizar comparativas, entre los que se incluyen: el Instituto Nacional de Estándares y Tecnología (NIST) , el Marco de Ciberseguridad; la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) del Departamento de Defensa ; la serie de normas 27000 de la Organización Internacional de Normalización (ISO) (las normas ISO 27001 e ISO 27002 son habituales en el ámbito de la ciberseguridad); y la Norma de Buenas Prácticas para la Seguridad de la Información del Foro de Seguridad de la Información (ISF) . La mayoría de las organizaciones y herramientas utilizan este tipo de marcos.
«Los consejos de administración y los equipos directivos… quieren asegurarse de no quedarse en una situación complicada. No quieren hacer menos que los demás.»Lou Celi, director ejecutivo de ThoughtLab Group
Dickson afirma que merece la pena analizar todos estos marcos, pero señala que su aplicabilidad y utilidad pueden variar según el sector. Afirma que es una buena idea informarse y compararlas para, a continuación, «elegir la que mejor se adapte a sus necesidades».
Si se aplican correctamente, los programas que se ajustan a los criterios de referencia en materia de ciberseguridad pueden reducir la probabilidad de que se produzcan brechas de seguridad en la red. De hecho, una encuesta reciente de ThoughtLab realizada a 1,200 grandes empresas reveló que aquellas que se encuentran en una fase más avanzada en la aplicación del Marco de Ciberseguridad del NIST obtienen mejores resultados que las demás en indicadores clave como el tiempo necesario para detectar una brecha de seguridad (119 días en el caso de las organizaciones avanzadas frente a 132 días en el resto). Según el informe, las organizaciones líderes también registraron un menor número de incumplimientos graves anuales.
Ese es el tipo de cifras que tanto gustan a los responsables de estadísticas y a los altos directivos. Indican que una organización corre un menor riesgo de sufrir un ataque, lo que contribuye a transmitir al público que protege no solo sus propios datos, sino también los de sus clientes y socios.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Al tener menos probabilidades de sufrir un ataque informático grave, una empresa también es mucho más ágil y capaz de innovar, lo que puede suponer una ventaja competitiva.
«Si tiene sus asuntos en orden y es capaz de demostrar cierta agilidad, podrá demostrar a los líderes que está impulsando una mentalidad de “shift-left”», afirma Paul Watts, analista destacado del ISF. «Es aquí donde debe adoptar una postura proactiva en materia de seguridad en su organización frente a las personas, los procesos y la tecnología». Significa que puede adaptarse y actuar de forma ágil e innovadora. «Usted tiene la capacidad de probar cosas nuevas».
Los enfoques pueden variar
No obstante, recopilar datos relevantes que muestren en qué medida un equipo de seguridad informática cumple con las normas clave puede resultar tedioso y complicado. No todas las organizaciones lo hacen especialmente bien.
Muchos, por ejemplo, siguen optando por hacerlo por su cuenta. Seleccionan una norma, asignan personal para recopilar datos sobre el rendimiento en toda la organización e introducen dichos datos en hojas de cálculo. El problema es que la recopilación de datos puede llevar muchísimo tiempo y, una vez introducidos los resultados definitivos, a menudo ya están desactualizados. En consecuencia, es posible que los informes dirigidos al consejo de administración o a la alta dirección no resulten tan útiles para la toma de decisiones empresariales.
Otra opción consiste en contratar a un consultor para que realice un análisis comparativo de ciberseguridad. Esto proporciona recursos y conocimientos especializados inmediatos de los que el personal del CISO podría carecer. Y, con toda probabilidad, es posible que estas personas externas tengan una visión más actualizada de los cambios que se producen en el panorama de los marcos de ciberseguridad que el propio personal interno. Pueden ofrecer a las empresas una idea general de su situación en materia de seguridad, pero, al igual que el enfoque «hágalo usted mismo», se trata de evaluaciones puntuales que quizá no proporcionen el contexto más relevante para los altos directivos.
Una tercera opción consiste en invertir en herramientas de evaluación comparativa del rendimiento de terceros que permitan analizar toda la empresa, recopilar datos relevantes a gran escala y generar informes en tiempo real. Las herramientas en tiempo real garantizan que los resultados no estén desactualizados en el momento de su entrega.
Existen numerosas herramientas de evaluación comparativa. Algunos proveedores, por ejemplo, han lanzado herramientas que se incluyen en sus productos o que se venden junto con ellos. Las mejores herramientas permiten a las organizaciones comparar en tiempo real sus métricas de riesgo de TI y de seguridad con las de otras empresas del sector, así como solucionar inmediatamente los problemas desde la misma consola. Asociaciones como la ISF también ponen a disposición de sus miembros herramientas gratuitas de evaluación comparativa en materia de ciberseguridad , mientras que grupos como la Security Industry Association (SIA) ofrecen útiles estudios de evaluación comparativa. Gartner también tiene previsto ofrecer su propia herramienta de evaluación comparativa « » ().
Armonización de indicadores
En resumen: las organizaciones disponen de numerosas vías para evaluar comparativamente su rendimiento. Puede resultar útil combinar varios enfoques. De hecho, es recomendable, ya que la información de las comparativas se basa a veces en muestras pequeñas y poco representativas. Por lo tanto, la combinación de datos internos y externos puede ofrecer una visión más amplia y equilibrada del progreso de una organización en relación con los indicadores.
«Si tiene sus asuntos en orden y es capaz de demostrar cierta agilidad, podrá demostrar a los líderes que está impulsando una mentalidad de «shift-left».»Paul Watts, destacado analista del Foro de Seguridad de la Información (ISF)
Para garantizar que los indicadores se ajusten a las necesidades de la empresa, los CISO deben mantener un diálogo continuo con los miembros del consejo de administración y los altos directivos a fin de comprender cómo evolucionan las prioridades. Watts, del ISF, afirma que estas conversaciones deberían evaluar cuánto riesgo están dispuestos a asumir los líderes a lo largo del tiempo.
«[Las empresas] tienen distintos niveles de tolerancia al riesgo», afirma. «Las empresas emergentes en fase inicial suelen estar dispuestas a asumir un poco más de riesgo, ya que están intentando crecer y no les importa tropezar con los cordones de sus zapatos». «Las organizaciones de mayor tamaño, especialmente aquellas que están sometidas a una estricta regulación o que deben rendir cuentas ante los inversores, suelen ser más reacias al riesgo».
Watts añade que los CISO deberían colaborar con los altos directivos para determinar qué nivel de madurez en materia de ciberseguridad debe perseguir una organización y acordar las estrategias necesarias para convertir esa posición en una ventaja competitiva.
Brogan Ingstad, vicepresidente de asesoramiento en materia de riesgos de Teneo, una consultora global especializada en asesoramiento a directores generales, afirma que los CISO también deben asegurarse de que están evaluando indicadores reales de ciberseguridad. Según él, algunos dirigentes consideran que las cuestiones operativas, como la plantilla y el presupuesto, constituyen indicadores de ciberseguridad. Aunque esto es importante desde el punto de vista de la gestión, los CISO deberían centrarse más en demostrar los avances de la organización en relación con los parámetros de referencia u objetivos específicos en materia de seguridad, afirma.
«También es importante evitar abrumarse con las métricas», afirma Dickson, de IDC. A menudo, los CISO creen que deben hacer un seguimiento de 10 o 20 categorías de métricas, cuando les convendría más centrarse únicamente en unas pocas. Dickson recomienda tres: eficiencia en materia de seguridad, riesgo y valor empresarial.
«En materia de seguridad, muchas veces nos obsesionamos con intentar ser perfectos», afirma. «Lo perfecto es enemigo de lo bueno, y en lo que respecta a las métricas, basta con que sean lo suficientemente buenas».
