Cuando se desató la pandemia de COVID-19, Kurt John, director de ciberseguridad de Siemens EE. UU., estaba preparado.
Mucho antes de la pandemia, Siemens ya se había planteado el futuro del trabajo. Ese futuro incluía la transición hacia una plantilla que trabajara a distancia, ampliamente distribuida y con un nivel de seguridad « ». Así pues, cuando el mundo comenzó a aplicar medidas de cuarentena, según afirma John, el cambio resultó menos traumático y mucho más productivo de lo que fue para muchas otras empresas del tamaño de Siemens.
«Nadie sabía que se avecinaba la COVID, así que no puedo afirmar que tuviera ninguna capacidad especial de previsión», afirma John. «Sin embargo, el hecho de que ya estuviéramos pensando en el futuro, alineándonos con las prioridades empresariales e implantando sólidos mecanismos de seguridad nos situó en una posición mucho más favorable cuando el mundo cambió.» «Tuvimos suerte».
Al igual que otras empresas que sufrieron un aumentode los ciberataques durante la pandemia, Siemens registró el año pasado un incremento de aproximadamente el 30 % en los intentos de phishing . Sin embargo, sus más de 385,000 empleados no se vieron muy afectados gracias a la buena preparación del departamento de seguridad informática. De hecho, el conglomerado internacional registró una disminución del número de sistemas afectados en 2020.
Resulta que lo mismo ocurrió en muchas otras empresas. De hecho, el aumento de los ataques de phishing y ransomware no provocó directamente tantas infracciones de seguridad cibernética como podría haberse esperado. Esto se debe a que los directores de seguridad de la información (CISO) han desempeñado bien su labor.
El resultado: los CISO, cuyos equipos habían sido considerados por otros altos directivos como meros «centros de coste», se encontraron sentados al otro lado de mesas virtuales frente a esos mismos directivos, aportando valor e influyendo en la estrategia empresarial.
De hecho, según , el 81 % de los CISO encuestados a principios de este año afirman que ahora dependen directamente del consejo de administración, frente al 69 % registrado antes de la pandemia, según la consultora de selección de ejecutivos especializados en seguridad Hitch Partners. Para el año 2025, el 40 % de los consejos de administración contarán con un comité específico de ciberseguridad, frente al 10 % actual, compuesto en parte por antiguos CISO, según una estimación reciente de Gartner. En este caso, se debería hacer hincapié en la estimación.
Esta visibilidad no es, en absoluto, permanente para los CISO. De hecho, a medida que el mundo recupera cierta apariencia de normalidad y los responsables de seguridad se reúnen de forma virtual en el evento « » y en la «RSA Conference 2021» (), los CISO se preguntan qué medidas deben adoptar para seguir siendo relevantes.
«Cuando comenzó la pandemia, creo que fue la primera vez que vi al personal de seguridad recibir grandes elogios por parte de la alta dirección y del resto de la empresa», afirma Chris Hallenbeck, director de seguridad de la información (CISO) para América en Tanium. «Muchas personas han empezado por fin a comprender que la ciberseguridad no solo permite que una empresa siga funcionando, sino que también acelera su crecimiento». «Para seguir teniendo voz y voto tras la pandemia, los CISO deberán seguir demostrando cómo sus equipos contribuyen a impulsar el negocio».
Para ello, los CISO destacan tres estrategias clave.
Alinearse con los resultados estratégicos de la empresa
La alineación con los factores que impulsan el crecimiento de la empresa no siempre ha sido el punto fuerte de la seguridad informática. Al igual que muchos otros expertos en tecnología, los CISO suelen dejarse seducir por las tecnologías más novedosas y avanzadas sin tener plenamente en cuenta cómo dichas tecnologías podrían afectar a la capacidad de la empresa para funcionar y atraer a nuevos clientes. Microsoft, por ejemplo, lanzó en 2008 las primeras versiones de su sistema operativo Windows Vista, que contaban con tantas medidas de seguridad restrictivas que los analistas, los socios, los medios de comunicación y los clientes lo criticaron duramente y, según se informa, los departamentos de TI de las empresas lo ignoraron.
Roger Kay, presidente de la consultora Endpoint Technologies Associates, afirma que los CISO tienen un historial de invertir en exceso en tecnologías de seguridad bienintencionadas que aportan poco valor a la empresa. Con este nuevo impulso y los recientes aumentos en el presupuesto de seguridad, es fundamental que los CISO eviten repetir ese error.
«. Los CISO deberán seguir demostrando cómo sus equipos contribuyen a impulsar el negocio.»Chris Hallenbeck, director de seguridad de la información (CISO) para América en Tanium
«Cuando se llega al círculo de los responsables de la toma de decisiones y se consigue un mayor presupuesto, puede ser algo natural dejarse llevar un poco», afirma Kay. «Los CISO no pueden permitirse hacer eso». «Para mantener su puesto en la mesa directiva, deben apretar las riendas y evitar gastar dinero en cosas que realmente no son importantes para la empresa».
Esto significa centrarse, en cambio, en los resultados empresariales. Entre ellos se incluyen la reducción de los costes operativos, el logro de una mayor resiliencia, la mejora de la experiencia de los empleados y el aumento de la eficiencia operativa.
[Lea también: Cómo reforzar la resiliencia de las tecnologías de la información]
También puede significar convertir la seguridad en un argumento de venta para los productos o servicios de la empresa, acelerar sus iniciativas de transformación digital (en lugar de que estas se vean frenadas por ella), garantizar que la organización no incumpla la normativa y detectar tendencias en materia de seguridad que puedan aumentar los ingresos.
Fomente relaciones fructíferas
Chris Payne, director de seguridad de la información (CISO) del portal inmobiliario estadounidense Zillow, cree en la importancia de mantener una relación estrecha con los altos directivos y de ser capaz de explicarles los conceptos técnicos de seguridad de forma que puedan comprenderlos y valorarlos. Sin embargo, señala que se trata, en gran medida, de un proceso recíproco. Los CISO deben ser capaces de explicar con claridad las prioridades y la orientación de la empresa a sus equipos, que cuentan con una mentalidad técnica, con el fin de que todos estén en sintonía.
Además, afirma que es fundamental que los CISO participen en esas conversaciones desde el principio y que amplíen al máximo su red de contactos a la hora de establecer relaciones, ya que la seguridad no es competencia exclusiva de un solo departamento. De hecho, para el año 2024,el 60 % de los CISO tendrán que establecer colaboraciones fundamentales con ejecutivos clave de los departamentos de ventas, finanzas y marketing, lo que supone un aumento respecto al porcentaje actual, que es inferior al 20 %, según Gartner. Esas relaciones tendrán más peso que las del ámbito tecnológico. Gartner ha constatado quelos CISO con mejor rendimiento se reúnen habitualmente con el triple de partes interesadas ajenas al ámbito de las tecnologías de la información que de partes interesadas del ámbito de las tecnologías de la información, según una encuesta realizada por la empresa a principios de 2020.
«Los CISO deben ser capaces de explicar a todo el mundo que, si la seguridad informática se integra desde el principio, puede proporcionar el nivel de seguridad y la flexibilidad que la empresa necesita para experimentar con nuevas tecnologías de forma más segura», afirma Payne. «Puede contribuir a sentar unas bases sólidas para proteger los activos y los elementos más valiosos de la empresa, al tiempo que allana el camino para que las empresas lancen nuevos productos y aplicaciones con un riesgo mínimo y a un ritmo mucho más rápido».
Haga posible el futuro
La creación de ese tipo de base sólida permite a las organizaciones aprovechar nuevas oportunidades, en lugar de tener que defenderse de las amenazas una vez que estas se han producido. Kurt John, de Siemens, afirma que, al preparar a su empresa para el futuro del trabajo, su equipo era consciente de que esto implicaría un mayor número de dispositivos que funcionarían fuera de la red. Así pues, elaboraron un plan equilibrado y sin restricciones para proteger los dispositivos remotos que, finalmente, dio sus frutos.
«Todo el trabajo previo que realizamos resultó ser muy útil, ya que, cuando comenzó la cuarentena, ya contábamos con un proceso para implementar de forma continua controles en los dispositivos finales, independientemente de dónde se encontraran», afirma.
«. Establecer una base segura permite a los CISO abrir nuevas posibilidades en lugar de tener que defenderse de las amenazas a posteriori.»
John afirma que lo que distinguió esta iniciativa de los enfoques tradicionales fue que no se basaba necesariamente en impedir el acceso a nada ni en decir «no». No se centró exclusivamente en proteger las operaciones, los ingresos o a los trabajadores. Más bien, se anticipó a las prioridades empresariales y puso en marcha medidas de seguridad para allanar el camino a su consecución.
Ahí es donde los CISO pueden demostrar su verdadero valor, añade John, colaborando con la alta dirección para comprender el rumbo estratégico que están marcando para la empresa y avanzando en sintonía con ellos.
«Existen muchas tecnologías disruptivas —como cloud, 5G, el IoT y la IA— que van a tener un impacto en las empresas», afirma. «Uno de los mayores retos a los que se van a enfrentar los CISO es saber cómo ponerse de acuerdo con los directivos sobre estas cuestiones, cuando ellos mismos aún están tratando de averiguar cómo sacarle partido».
Aunque el camino no esté claramente definido, los CISO deberían ser capaces de explicar las implicaciones cibernéticas de esas tecnologías a los altos directivos para que puedan tomar decisiones con conocimiento de causa.
