Cuando la responsable de seguridad Theresa Payton se incorporó a su anterior puesto en el ámbito de la ciberseguridad, una de las primeras cosas que preguntó fue la frecuencia con la que la organización llevaba a cabo la gestión de parches de . La respuesta no fue la que ella esperaba oír. Solo aplicaban parches de software mensualmente y contaban con una política de «tiempo de inactividad cero».
«Se me hizo un nudo en el estómago», recordó ella sobre aquel momento. El equipo hacía lo que consideraba correcto y la organización estaba satisfecha con el proceso, pero eso, sencillamente, no bastaba para garantizar la seguridad adecuada de las operaciones. «¿Qué voy a hacer aquí?» se preguntó. «Muéstreme las actualizaciones pendientes», pidió ella. El volumen de trabajo atrasado era considerable.
En definitiva, Payton —la primera mujer en ocupar el cargo de directora de información de la Casa Blanca, y que supervisó las operaciones de tecnologías de la información para el presidente y su equipo desde la 2006 .ª hasta la 2008—sat .ª administración— habló con su director y le preguntó si la organización estaba abierta a otras posibilidades. La forma en que decidieran actuar tendría un profundo impacto en el éxito de su liderazgo en materia de ciberseguridad.
Para un director de seguridad de la información (CISO) recién nombrado, los primeros 90 días son un periodo lleno tanto de riesgos como de oportunidades. Si los CISO actúan con demasiada precipitación o ejercen demasiada presión, corren el riesgo de distanciarse de la organización. Si actúan con demasiada lentitud, los nuevos CISO corren el riesgo de desperdiciar su impulso y su «período de luna de miel». Varios CISO con amplia experiencia cuentan a Focal Point cómo afrontaron sus primeros meses en el cargo. A continuación le indicamos cómo desenvolverse en su nuevo puesto.
Prepárese mentalmente antes de recibir la oferta de trabajo
Le recomendamos que empiece a informarse bien sobre la organización antes de conseguir el puesto, aconseja David Elfering, director sénior de seguridad de la información en ReSource Pro, un proveedor de soluciones de seguros. Elfering aconseja a los candidatos que comprendan el modelo de negocio concreto de la organización y cómo sus resultados empresariales dependen de la ciberseguridad.
El futuro CISO también querrá conocer la jerarquía de la organización: a quién rinde cuentas el CISO, quiénes son los directivos clave, la situación financiera general de la organización y el nivel de rotación de personal. Por último: ¿Cuál es el presupuesto total destinado a las tecnologías de la información y qué porcentaje de dicho presupuesto se destina a la seguridad?
«Las organizaciones esperan que usted llegue con una visión casi omnisciente y se ponga manos a la obra desde el primer momento», afirma Elfering. «Es importante estar lo más preparado posible».
Póngase manos a la obra
La primera semana en el trabajo es uno de los momentos más decisivos. «Esta es la semana de la presencia sobre el terreno», afirma Payton, actual director ejecutivo de la consultora de seguridad Fortalice Solutions. «Y yo lo denomino su “gira de evaluación de la capacidad de escucha”», añade ella. Las primeras etapas son un momento para dedicarse por completo a recabar información, prestando atención a todos los detalles fundamentales que un CISO necesitará en el futuro en relación con el programa. «Es necesario reunirse con todos los directivos de la empresa y escuchar sus necesidades», añade Payton. «Si no está apoyando a los directivos de la empresa, entonces no está cumpliendo con su trabajo y no va a tener éxito».
«Si no está apoyando a los directivos de la empresa, entonces no está haciendo su trabajo y no va a tener éxito.»Theresa Payton, directora ejecutiva de la consultora de seguridad Fortalice Solutions
Desea reunirse con los responsables de recursos humanos, del departamento jurídico, de finanzas, de operaciones y, en última instancia, con el director general. Payton recomienda preguntar a los directivos qué aspectos consideran que funcionan bien. «Prepárese para una lista breve», advierte. A continuación, pregúnteles qué es lo que, en su opinión, no funciona bien. Prepárese para una lista más extensa.
Este es también un momento para establecer una buena relación. Martin Fisher, responsable de seguridad de la información (CISO) del Northside Hospital de Atlanta, recomienda decir algo como: «Quiero conocer su opinión, y me voy a sentar aquí a escucharle».
Si hace eso durante los primeros 90 días, se ganará la confianza de su equipo y, además, contribuirá a resolver algunos retos que surjan por el camino. Mientras tanto, afirma, «usted está evaluando su programa». Está evaluando a su personal. «Y está evaluando su pila tecnológica».
Conozca la cultura de la organización
El reconocido experto en liderazgo Peter Drucker dijo en una famosa frase: «La cultura se come la estrategia para almorzar». Fisher lo explicó de la siguiente manera: «Eso significa que, si se presenta una estrategia de seguridad excelente, pero no está en consonancia con la cultura de la organización, está abocada al fracaso».
Cuando los CISO hablan de cultura, hay tres relaciones que cobran especial importancia: la relación jerárquica con los ejecutivos y los responsables empresariales, la relación con los empleados y los usuarios finales, y la relación con el personal de seguridad. «Establezcan alianzas durante este periodo, ya que los resultados empresariales son mutuamente beneficiosos, como, por ejemplo, garantizar de forma segura dichos resultados», afirma Elfering. «Pero debe hacerse de una manera acorde con la cultura de la organización».
Es fundamental que los nuevos CISO aprendan cómo se toman las decisiones en la organización y respeten los procesos ya establecidos. «Nuestra organización es bastante jerárquica, así son las cosas», afirma Fisher. «Y si no se le respeta como líder y si no cuida de las personas que están a su cargo, las cosas acabarán mal para usted».
Fomente la credibilidad en todos los niveles de la jerarquía
Según Fisher, la primera regla para ganarse la credibilidad es «no comportarse como un imbécil». De hecho, la gente espera que un nuevo jefe sea malo. «Esto le brinda una gran oportunidad para demostrar que no es usted un imbécil, que ha escuchado al equipo y a los directivos, y que está preparado para empezar a ayudarles a alcanzar el éxito», afirma.
Supongamos que el nuevo CISO sigue el consejo anterior de escuchar y evaluar el programa existente, el equipo actual y la pila tecnológica vigente. En ese caso, es hora de ganarse la confianza de los directivos.
«Si hay algún problema, puede volver al equipo y solucionarlo.»David Elfering, director sénior de seguridad de la información en ReSource Pro
Elfering recomienda averiguar qué opinión tiene la gente del equipo de seguridad. ¿El equipo de seguridad les ha impedido actuar en el pasado cuando intentaban llevar a cabo iniciativas interesantes? ¿Cómo puede el nuevo CISO mejorar esa relación?
«Si hay algún problema, puede acudir al equipo y solucionarlo», afirma. «Puede ganarse la confianza al tiempo que demuestra el valor que aporta a la empresa y que es capaz de generar beneficios lo antes posible».
Además de ganarse la confianza de los directivos, es fundamental establecer la mejor relación posible con su equipo. «Alguien va a cometer un error durante esos primeros días», afirma Fisher. Los nuevos responsables de seguridad de la información (CISO) tienen la oportunidad de demostrar que son capaces de reaccionar ante los errores de forma justa.
Empiece a introducir cambios
Ahora que nos acercamos al final de los primeros 90 días, es el momento de asegurarse de que todos estén de acuerdo en lo que hay que hacer para desarrollar el nuevo programa de seguridad. Los CISO se han ganado la confianza de su equipo. La gente se ha sentido escuchada. Se han sentido parte del proceso de creación del nuevo programa.
«Ha llegado el momento de empezar a tomar las decisiones que deben adoptar los nuevos CISO», afirma Fisher. «Y tendrá que asumir la responsabilidad: sea lo que sea, bueno, malo o indiferente».
«. Es una decisión que usted está tomando». No es un debate.»Martin Fisher, responsable de seguridad de la información (CISO) del Northside Hospital de Atlanta
Al introducir cambios, informe a todo el mundo sobre cómo estos reducirán los riesgos, mejorarán la vida laboral de las personas y contribuirán al éxito de la empresa. Es en este momento cuando debe decir: «Estos son los cambios de los que quiero hablar». «Hablemos de cómo vamos a ponerlas en práctica».
«Es una decisión que usted está tomando», afirma Fisher. «No es un debate».
Evalúe su éxito
Los responsables a los que hemos entrevistado han señalado que el éxito en esta fase depende de hasta qué punto el CISO haya logrado sentar unas bases sólidas con el equipo de seguridad y la dirección de la empresa. El nuevo responsable de seguridad de la información (CISO) querrá observar en qué medida el equipo de seguridad le presta apoyo y cuánta credibilidad se ha ganado ante los directivos. Alcanzar los indicadores de éxito tiene menos que ver con los bits o bytes de la tecnología de seguridad que han implantado y más con si están generando los resultados empresariales adecuados.
¿Cómo saben los nuevos CISO que han tenido éxito? Elija un mentor. «Yo elegiría a alguien de la unidad de negocio que considere que fue su mayor apoyo durante el proceso de selección», afirma Payton. «Pregúntese cómo definiría usted el éxito». Dígales que desea alcanzar un éxito rotundo en este puesto dentro de esta empresa y pídales que le sirvan de apoyo confidencial para que le indiquen cuáles son sus aciertos y sus errores».
¿Cómo logró Payton resolver finalmente su problema con la gestión de parches? Dedicó los primeros meses a escuchar al equipo y a la dirección con el fin de comprender todo lo posible sobre su inventario de TI, soluciones de gestión de activos, procesos y cultura de equipo.
Al comprender sus ciclos de trabajo y su pila tecnológica, Payton logró encontrar formas de acelerar los ciclos de aplicación de parches sin interrumpir el trabajo de la organización. «Tomamos nota de las horas del día y de la semana en las que los grupos tenían más actividad, y así pudimos planificar nuestras actualizaciones en función de esos horarios», explica. «Si hubiera llegado y simplemente hubiera anunciado que íbamos a aplicar parches a diario, nunca habría funcionado».
Nuevos CISO, tomen nota de estas sabias palabras. Le ayudarán a dar lo mejor de sí mismo durante los primeros 90 días.
