En marzo, Troy Stairwalt renunció como CISO del estado de Wisconsin cuando la solicitud de presupuesto bienal de ciberseguridad del estado no recibió el apoyo necesario para la revisión legislativa, y se recortó el financiamiento federal para varios programas de ciberseguridad.
A finales de mayo, nadie había sido contratado para reemplazar al director de seguridad de la información, aunque el Departamento de Administración del estado espera cubrir el puesto pronto, según un portavoz.
Este tipo de vacío en el liderazgo de ciberseguridad, incluso por un corto período de tiempo, es probablemente más común de lo que se podría pensar — especialmente dado que la permanencia promedio de un CISO se estima en solo 18–26 meses, según un 2023informe, muy por debajo del promedio de 4.9 años para otros roles de la alta dirección.
Cómo esa permanencia en el cargo se ha visto afectada por los nuevos mandatos regulatorios y las cargas de cumplimiento, que han crecido exponencialmente en los últimos dos años, sigue siendo incierto. Sin embargo, una cosa es segura: la salida de un CISO podría ocurrir en cualquier momento, dejando a la empresa sin rumbo en términos de seguridad y más vulnerable a una serie de amenazas, lo que en última instancia hace que un plan de sucesión de CISO sea esencial para cualquier organización.
La firma de búsqueda ejecutiva Heidrick & Struggles, en su 2024 Encuesta Global de Organización y Compensación de Directores de Seguridad de la Información, encontró que de los 416 CISO que encuestó en todo el mundo en el verano de 2024, poco menos de la mitad (47%) no contaba con un sucesor interno adecuado en caso de que el CISO se fuera inesperadamente, lo que podría resultar bastante costoso considerando el mercado competitivo por el mejor talento en ciberseguridad.
"No te tomes por sorpresa", dice Paul Perry, líder de práctica de asesoría de riesgos en Warren Averett, un proveedor de tecnología, contabilidad y otros servicios empresariales. "¿Qué pasa si ganan la lotería y no se presentan a trabajar al día siguiente?"
Tu plan de sucesión de CISO: la respuesta al creciente cumplimiento normativo y las nuevas regulaciones
Aparte de ganar la lotería, varios factores pueden contribuir a la salida de un CISO, como el alcance cada vez mayor del trabajo y la multitud de factores de estrés relacionados.
"No te tomes por sorpresa."Paul Perry, líder de práctica de asesoría de riesgos, Warren Averett
Muchos directores de ciberseguridad están asumiendo ahora nuevas responsabilidades como la gestión de riesgos de inteligencia artificial, la gobernanza de datos, y la planificación estratégica para los equipos de seguridad, al mismo tiempo que deben mantenerse al tanto de un número creciente de regulaciones de privacidad de datos y requisitos de cumplimiento. Las nuevas reglas estandarizadas de divulgación cibernética de la SEC, por ejemplo.
Aprobadas en 2023 y entrando en vigor desde finales de 2023 hasta finales de 2024, estas reglas requieren la divulgación de incidentes de ciberseguridad materiales dentro de los cuatro días hábiles posteriores a determinar que un incidente de ciberseguridad es material; y la divulgación anual de la gestión de riesgos, estrategia y gobernanza de ciberseguridad. Esto significa que los CISO deben asegurarse de que las presentaciones adecuadas se realicen a tiempo y que las evaluaciones necesarias se lleven a cabo para mantener a sus organizaciones en cumplimiento. Es una carga adicional en un momento en que intentan incorporar nuevas formas de IA y automatización en sus mecanismos de seguridad generales.
[Leer también: Historia de éxito de CISO – evolucionando de las brechas a la estrategia empresarial]
Al mismo tiempo, se espera cada vez más que los CISO reporten y se relacionen con sus juntas directivas corporativas. Si bien esto puede ofrecer beneficios como una mayor conciencia de las amenazas y financiamiento para los programas de seguridad, también puede presentar desafíos de comunicación si la junta directiva carece de conocimientos técnicos.
Puntos de presión: Por qué un plan de sucesión del CISO puede aliviar el estrés (al menos para los consejos directivos)
El aumento de la carga de trabajo para los CISO, combinado con la creciente presión para garantizar la seguridad de las empresas, puede provocar agotamiento y renuncias.
"La presión constante para defenderse de las ciberamenazas en evolución contribuye a un estrés significativo y agotamiento entre los CISO", dice Anthony Nyberg, director del Centro para la Sucesión Ejecutiva en la Escuela de Negocios Darla Moore de la Universidad de Carolina del Sur.
"Todos los roles de la alta dirección son extremadamente estresantes, pero puede haber desafíos más directos para los CISO con un dolor en tiempo real sustancialmente mayor cuando algo sale mal", dice Nyberg. "El número de llamadas telefónicas de emergencia a medianoche puede ser mayor para los CISO que para la mayoría de los otros roles."
Los CISO se encuentran en la difícil posición de tener que defenderse proactivamente contra las amenazas, ser culpados cuando las cosas salen mal y recibir poca o ninguna alabanza cuando las cosas salen bien, dice Nyberg. "Es difícil mostrarle a la gente lo que hiciste bien cuando tu función es evitar que sucedan cosas malas", dice.
[Lea también: 4 prioridades de liderazgo críticas para los CISO en la era de la IA]
Con todo esto, es fácil entender por qué un CISO podría abandonar su puesto por una de las enormes oportunidades de mercado que existen para los profesionales de la ciberseguridad. Por eso, las empresas deben estar preparadas para ello. Para garantizar una transición fluida cuando un CISO se va, las organizaciones deben considerar las siguientes mejores prácticas:
1. Desarrollar un plan de sucesión formal
Contar con un plan de sucesión formal que identifique posibles reemplazos para el CISO actual y una propuesta sobre la mejor manera de realizar la transición es fundamental. Un plan bien estructurado contribuye a la continuidad del liderazgo y minimiza las interrupciones en las operaciones de seguridad, según Nyberg.
"Si el plan de sucesión está perpetuamente en vigor, entonces los líderes pueden identificar qué formación adicional necesitarán los posibles CISO para ser eventualmente efectivos."Anthony Nyberg, director del Centro para la Sucesión Ejecutiva en la Escuela de Negocios Darla Moore de la Universidad de Carolina del Sur
"Muchas empresas no tienen planes de sucesión formales para muchos de sus puestos de alta dirección, especialmente poco después de que una persona comienza en el cargo", dice Nyberg. "Si los CISO permanecen en el cargo menos tiempo que otras posiciones, la probabilidad de tener un sólido plan de sucesión en vigor a tiempo es menor."
2. Identificar y capacitar a candidatos internos
Puede ser difícil encontrar sucesores calificados para el CISO con prontitud, dice Nyberg. "Vemos esto con muchos roles de la alta dirección; simplemente hay una falta de talento necesario, y esto probablemente sea aún más cierto en un área –la ciberseguridad– que está cambiando tan drásticamente y tan rápidamente", dice.
Invertir en el desarrollo del talento interno crea una reserva de posibles sucesores familiarizados con la cultura y los sistemas de la organización, dice Nyberg. "Este es un elemento clave en la planificación de la sucesión y ayuda a reducir parte del riesgo de que el CISO se vaya", dice. "Si el plan de sucesión está perpetuamente en vigor, entonces los líderes pueden identificar qué capacitación adicional requerirán los posibles CISO para eventualmente ser efectivos."
Los empleados existentes también deben estar al tanto del plan: la dirección puede informarles para que comprendan las habilidades necesarias para convertirse en CISO y se les anime a desarrollar esas habilidades para convertirse en futuros candidatos a CISO.
3. Designar un CISO adjunto
"Intente encontrar un líder sénior de ciberseguridad que realmente quiera ascender y, tras conversarlo con el CISO, nómbrelo CISO adjunto e inclúyalo en las reuniones ejecutivas [para que] pueda adquirir experiencia", dice Doug Saylors, líder de práctica de ciberseguridad en la firma global de investigación y asesoría tecnológica ISG.
"Trate de encontrar a un líder sénior de ciberseguridad que realmente quiera ascender y, tras hablar con el CISO…, inclúyalo en las reuniones ejecutivas [para que] pueda adquirir experiencia."Doug Saylors, líder de práctica en ciberseguridad, ISG
"Esto permite que el empleado y el equipo de liderazgo se conozcan mutuamente y que el empleado determine si realmente desea asumir un rol de CISO", dice Saylors. "Lo más importante es que, si no tiene un puesto disponible cuando el subdirector esté listo para ser CISO, ayúdelo a encontrar uno fuera de la empresa. Eso genera lealtad, por lo que es posible que regresen cuando sea necesario."
En caso de que no haya candidatos internos calificados para el puesto de CISO, las empresas pueden intentar contratar a un CISO externo, quizás en modalidad de consultor a tiempo parcial. También pueden incorporar a un CISO virtual, un experto en ciberseguridad que brinda liderazgo a nivel de CISO de manera flexible, remota y, en muchos casos, bajo contrato.
4. Involucre a la junta directiva y al liderazgo ejecutivo
Involucrar a la alta dirección en la planificación de la sucesión subraya la importancia estratégica de la ciberseguridad y garantiza la alineación con los objetivos organizacionales, dice Nyberg.
"Sabemos que es fundamental que los roles de la alta dirección estén comprometidos estratégicamente, y esto también significa que cuando los CEOs eligen a un CISO deben pensar estratégicamente sobre cuáles podrían ser los desafíos futuros", dice Nyberg.
5. Tener una comprensión de la postura de seguridad actual
Las organizaciones deben asegurarse de que los altos ejecutivos y la junta directiva comprendan la postura de ciberseguridad actual de la empresa y cualquier brecha que exista, dice Saylors.
"Con demasiada frecuencia, las brechas se ignoran porque el CISO puede mantener las cosas 'seguras' tomando constantemente medidas extraordinarias que generalmente no están bien documentadas ni comprendidas", dice Saylors. "En este caso, la salida de un CISO deja a la organización innecesariamente expuesta. Las reuniones mensuales con el CISO para discutir estos temas de manera comprensiva garantizan que los miembros del equipo restantes y los ejecutivos sepan qué hacer si el CISO se va inesperadamente."
Conclusión: El CISO promedio solo va a permanecer en el trabajo durante aproximadamente dos años, quizás menos, según estadísticas recientes. Pero las empresas no deberían quedarse sin recursos: siguiendo estas mejores prácticas, una organización puede tener un nuevo CISO en proceso para una transición fluida cuando el antiguo responsable de ciberseguridad se vaya.
