Una encuesta reciente realizada a pequeñas y medianas empresas reveló que el 94 % de los responsables de seguridad de la información (CISO) padecían estrés laboral y que esto estaba afectando a su trabajo. Ante los cambios en las expectativas respecto al papel del CISO, hablamos con Steve Zalewski, de S3 Consulting, sobre cómo estos profesionales de la seguridad, de vital importancia, pueden prolongar sus carreras y cuidar su salud mental.
Presentadora: Melissa Bischoping, , directora de investigación en seguridad de dispositivos finales, Tanium
Invitado: Steve Zalewski, , antiguo director de seguridad de la información (CISO); fundador de S3 Consulting
Notas del programa
Para obtener más información, tanto en como en —dirigida a los CISO, donde encontrará las mejores estrategias para hacer frente al agotamiento, la comunicación eficaz con el consejo de administración, nuevas herramientas de IA, además de consejos prácticos y perspectivas de CISO en activo en nuestra popular serie «Historias de éxito de CISO»— como para aquellos líderes empresariales que deseen comprender mejor y apoyar esta función, le recomendamos que consulte estos artículos en , , , Focal Point,, y , la galardonada revista digital de noticias sobre ciberseguridad de Tanium.
- 4 prioridades fundamentales de liderazgo para los CISO en la era de la IA | Tanium
- Cómo pueden los CISO combatir el agotamiento y prolongar sus carreras | Tanium
- Historia de éxito de un CISO: un «superhéroe» de Marvel de la vida real que utiliza la IA para combatir la ciberdelincuencia | Tanium
- Historia de éxito de un CISO: predecir (con precisión) el riesgo cibernético resulta más sencillo con la fórmula de este experto | Tanium
- Historia de éxito del CISO: Cómo el condado de Los Ángeles forma (y recicla) a sus empleados para combatir el phishing | Tanium
- Guía para el CISO sobre los primeros 90 días | Tanium
- Guía de supervivencia del CISO en fusiones y adquisiciones | Tanium
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
«: Me he quemado varias veces». No era bueno. I used to joke about how people would text me at 2 in the morning and I’d text back, and they're like, “What are you doing up?” I’d go, well, security never sleeps; it's a 24/7 job. Porque incluso si quiero dormir, ocurre un incidente. Tiene que ponerse en marcha.”Steve Zalewski, antiguo director de seguridad de la información (CISO); fundador de S3 Consulting
Melissa Bischoping: Los responsables de seguridad de la información, o CISO, se encuentran bajo gran presión en estos momentos, especialmente debido a las nuevas normas de la Comisión de Valores y Bolsa. Las nuevas normas de la SEC sobre transparencia cibernética entraron en vigor a finales de 2023, y la demanda contra la empresa SolarWinds y su responsable de seguridad de la información (CISO), Timothy Brown —la primera vez que se dirigían contra un CISO concreto—, pues bien, ha dejado a muchos ejecutivos atónitos y más estresados que nunca.
Buenos días, soy Melissa Bischoping, directora de investigación en seguridad de dispositivos finales en Tanium, y hoy, en «Let's Converge», vamos a hablar sobre los CISO y el agotamiento profesional, así como sobre cómo estos profesionales de la seguridad, tan esenciales, pueden prolongar sus carreras y cuidar su salud mental.
Una encuesta reciente realizada a pequeñas y medianas empresas reveló que el 94 % de los responsables de seguridad de la información (CISO) padecían estrés laboral y que esto estaba afectando a su trabajo. Otra encuesta reveló que solo uno de cada tres CISO cuenta con un seguro de responsabilidad civil para directivos y administradores (D&O), que es un tipo específico de seguro que protege a los directivos y administradores de una empresa. Estas cifras no son nada halagüeñas y están provocando que cada vez más responsables de seguridad de la información (CISO) decidan abandonar la profesión.
Me acompaña para hablar sobre lo que pueden hacer los CISO Steve Zalewski, antiguo CISO y arquitecto de seguridad, y, más recientemente, fundador de S3 Consulting, empresa que ofrece asesoramiento especializado en ciberseguridad a empresas de seguridad, sociedades de capital riesgo y otras empresas. Bienvenido al podcast, Steve.
Steve Zalewski: Gracias, Melissa. Le agradezco que me haya invitado.
Bischoping: Así pues, antes de entrar en materia, dejemos claro desde el principio que el cargo de CISO siempre ha estado plagado de estrés, y que hay muchos aspectos inherentes al puesto que aumentan el riesgo de agotamiento. Sin embargo, en los últimos años, parece que se está registrando una tendencia al alza bastante significativa. ¿Cuál cree usted que es la razón que hay detrás de esto?
Zalewski: Las expectativas están cambiando. Históricamente, el CISO ha trabajado a las órdenes del CIO: se trata de un puesto técnico, y la función del CISO consiste en implementar herramientas técnicas para garantizar la seguridad de la empresa. Así que suelo decir en broma que mi trabajo [anterior] consistía en introducir fricciones en un proceso empresarial perfecto para hacerlo ineficaz, pero con el fin de detener los ataques. Y eso estuvo muy bien durante un tiempo. Sin embargo, cada vez son más las áreas de negocio que, sencillamente, afirman: «Quiero negociar el grado de obstaculización que la seguridad supone para mi proceso empresarial». Y eso significa que, como profesional de la seguridad, paso de ser un técnico que intenta proteger la empresa a convertirme en un gestor de riesgos cuya función es proteger el negocio. Y ahí es donde se han centrado muchas de las conversaciones. Ahora bien, ahí es donde radica nuestra labor: facilitar el funcionamiento de la empresa.
En Levi's, solía decir que mi trabajo no consistía en garantizar la seguridad de la empresa ni en proteger el negocio. El objetivo era vender más vaqueros. Entonces, ¿cómo puedo mantener una conversación sobre los riesgos empresariales con el equipo directivo, en lugar de una conversación sobre los riesgos cibernéticos? Como consecuencia de ello, en relación con su comentario sobre la SEC, ahora se nos exige rendir cuentas desde una perspectiva de riesgo ejecutivo, cuando muchos de nosotros somos, en el fondo, simplemente especialistas en tecnología.
Bischoping: Permítame retroceder un poco: concretamente, cuando usted era CISO —la presión laboral a la que estaba sometido en ese puesto, al tener que lidiar con todas esas cuestiones diferentes—, ¿notó que esa situación se iba acumulando poco a poco, o hubo algún punto de ruptura concreto que le llevó a ese nivel de agotamiento y estrés?
Zalewski: Va en aumento. Yo diría que es similar —aunque quizá no sea la analogía más acertada— a tener un hijo. Y luego vienen los terribles dos años, y después se convierten en adolescentes y entran en esa etapa difícil. Y entonces salen del túnel, y todo va bien. Pues bien, crear un programa de seguridad y gestionarlo se parece mucho a eso hoy en día. Porque cuando me incorporo, existen ciertas expectativas sobre en qué consiste ese programa. Sin embargo, las expectativas de la empresa —es decir, la propia empresa, el equipo directivo y el consejo de administración, en el caso de que sea una sociedad cotizada— [están] madurando. Lo comprenden: ¿quiero una medición técnica o una medición de riesgos? ¿Deseo disponer de indicadores de rendimiento empresarial? Y los CISO suelen proceder principalmente del ámbito tecnológico o, tal vez, del sector bancario, donde se ocupan más bien de los registros de riesgos; se está produciendo una maduración en ambos ámbitos, lo que significa que lo que era válido hace dos años ya no lo es hoy en día. Pero no se trata de una trayectoria de maduración fija.
Lo estamos resolviendo. Por eso se nota tanto el estrés. Porque no resulta evidente, como, por ejemplo, cómo convertirse en contable público certificado o en abogado. Estamos aprendiendo a desempeñar el cargo de CISO. Y muchas personas no perciben necesariamente esos momentos de transición, por lo que acaban agotándose y marchándose, ya que la forma en que trabajaban ya no les resulta sostenible. O bien, las expectativas del equipo directivo cambian y, sencillamente, le dicen: «Me cae bien, pero necesito mantener una conversación diferente con usted».
Bischoping: . A juzgar por su trayectoria profesional, ha trabajado para Pacific Gas & Electric y para Levi Strauss, por lo que ha desarrollado su carrera en el sector minorista. ¿Considera que esos sectores se enfrentan a los mismos problemas o a otros distintos a la hora de alcanzar esos distintos niveles de madurez y de perfeccionar sus procesos al ritmo del sector?
Zalewski: A nivel de controles técnicos, se trata de los mismos controles de siempre: gestión de identidades y accesos, protección de la red y protección de los terminales. Sin embargo, si analizo qué tipo de atacantes se me echan encima y cuál es mi obligación de proteger tanto los datos de la empresa como los de los consumidores, la situación es muy diferente. Y luego analizo los controles que se están implantando, como los controles de la ley SOX o los de la HIPAA, y cómo los estoy aplicando. Y luego me fijo en las empresas jóvenes, las pequeñas y medianas empresas que operan en el ámbito del SaaS, que no están sujetas a una regulación estricta ni cuentan con grandes equipos de seguridad porque carecen de los recursos económicos necesarios. [Estos son] los copos de nieve, esto es lo que es la realidad tal como lo estás entendiendo. Y entonces los profesionales de seguridad individuales a medida que se mueven en esos sectores verticales o bajo esas cosas – muy diferentes.
Así que diría que a nivel macro, tienes los CISO del S&P 500 – las grandes empresas públicas, tienen grandes equipos de seguridad, llevan 10 o 15 años en esto. Hemos crecido a través de ello, así que sabemos lo que es un programa de seguridad grande. Y luego tienes toda esta nueva generación de pequeñas y medianas empresas – empresas SaaS que surgen o consultorios médicos o complejos médicos – donde puede que no tengan un equipo de seguridad o tienen uno muy pequeño, por lo que no pueden implementar 25 productos de seguridad.
Bischoping: Algo que me toca muy de cerca es la naturaleza política del lugar de trabajo y la construcción de relaciones. Una de las cosas de las que he hablado mucho a medida que he avanzado en mi carrera es que si quieres tener éxito en seguridad, lo que realmente te va a diferenciar es ser capaz de construir relaciones y comunicarte con otras partes del negocio en términos que entiendan y reconozcan y ser capaz de demostrar el valor de la seguridad a otras partes del negocio. Y creo que muchas veces los equipos de seguridad, especialmente los CISO, los líderes de esos equipos, son vistos como, "Solo están aquí para decirme que no, que no puedo hacer algo."
¿Cómo abordarías la tarea de educar y abogar por cómo el equipo de seguridad está ahí para facilitar mejores prácticas empresariales y quizás construir algunas de esas relaciones para conseguir que más partes del negocio estén de tu lado?
Zalewski: Entonces, verdad brutal: La seguridad es un requisito no funcional en un mundo de requisitos funcionales. Nadie implementaría seguridad si no se viera obligado a hacerlo, porque no genera dinero para la mayoría de las empresas. Es una fricción, y lo que queremos es un proceso de negocio eficiente para vender más jeans. Así que reconozcamos eso, mientras decimos: "Oye, estamos aquí para ayudarte, así que déjame explicarte la ciberseguridad para que entiendas por qué mi trabajo es importante", aun así puede generar fricción en su trabajo. Por lo tanto, es una conversación muy difícil de tener.
Bischoping: Sí, creo que por eso a menudo, al menos en mi experiencia, ha sido más poderoso ir y decir: "Oye, necesito este nuevo control de seguridad. Estamos siendo obligados por regulación o por alguien de mayor jerarquía. Tenemos que implementar este nuevo control de seguridad. Déjame trabajar contigo en la implementación para reducir la fricción. Estamos todos juntos en esto." Pero aun así se encuentra con mucha resistencia.
Zalewski: Absolutamente. Cuando hablo con otros CISOs, pregunto en broma cuál es la métrica de seguridad número uno a la que garantizo que todo empleado prestará atención. Y la gente dirá, el número de ataques o el número de ejercicios de phishing. ¡No! La métrica número uno es si implementas el control de seguridad y aumenta en un 20% la probabilidad de que vayas a obtener el cien por ciento de tu bono. Tengo tu atención. Esa es la realidad.
Así que hablemos del impuesto de la seguridad frente al costo de la seguridad si no la implementamos, en relación con el impacto que tiene en ti. ¿De acuerdo? El cambio. Eso es el negocio. Esa es ahora una conversación de negocios, no una conversación de seguridad. Y a eso es a lo que tenemos que llegar. Y eso es lo que dije cuando estaba en Levi's; dije que mi trabajo era vender más jeans. Le preguntaba a un proveedor: "OK, protección de endpoints: ¿cómo ayuda lo que hacen a vender más jeans?" "Oh, no lo sé, Steve. Estamos aquí para proporcionar seguridad, para que estos ataques no ocurran." Eso no me ayuda. Al negocio no le importa. ¿Dónde está el análisis de riesgo empresarial, verdad? Solía decir: "Mi trabajo era permitir que Levi's triplicara sus ingresos en los próximos seis meses sin tener que triplicar mi programa de seguridad para respaldarlo."
Bischoping: Creo que es una perspectiva excelente.
Zalewski: ¿Dónde está el análisis de riesgos? Y entonces le digo a la gente que, cuando íbamos ante la junta directiva, solíamos hablar de controles de seguridad, solíamos hablar de ataques. Y nos dimos cuenta de que las únicas cosas con las que queríamos ser evaluados cuando íbamos ante la junta directiva eran tres: estoy aquí para proteger la marca; estoy aquí para proteger a las personas; y estoy aquí para proteger la cadena de suministro. Eso es todo.
Desde el punto de vista del análisis de impacto empresarial, debo asegurarme de que mi marca, es decir, los datos de mis consumidores, no se vea comprometida, porque siempre pueden comprar jeans en otro lugar. Mi gente es mi eslabón más débil y siempre lo será, así que ¿qué estoy haciendo para gestionar la superficie de ataque de mi gente? Y mi cadena de suministro es absolutamente indispensable, porque si no tengo jeans en las tiendas, estoy fuera del negocio. Entonces, ¿qué estoy haciendo por mi cadena de suministro física y mi cadena de suministro en la nube para asegurarme de que no se vea comprometida y así seguir en el negocio? Todo lo que hago debe estar orientado a esas tres cosas, porque eso es lo que importa para el negocio.
Ese es un momento de revelación para muchas personas que ahora comprenden lo que significa tener una conversación sobre riesgos empresariales y posicionar su programa de seguridad como ese componente.
Bischoping: Me encanta que lo pongas en esa perspectiva. Mencioné antes que trabajé en la industria del petróleo y el gas, y uno de mis lemas de seguridad cuando trabajaba con mi liderazgo era: cuando estás en un entorno de fabricación o de petróleo y gas, la seguridad siempre es lo primero. ¿Cómo puedo vincular mis esfuerzos de seguridad con mantener a las personas seguras para que los equipos no exploten o no ocurran accidentes en una línea de fabricación? Y eso realmente resonó. Así que creo que en cualquier industria, sin importar cuál sea tu empresa, todas tienen un objetivo comercial que es lo más importante. Y alinear tu trabajo con ese objetivo comercial es una mejor manera de obtener ese respaldo, según parece.
Zalewski: Voy a agregar una cosa más, y esto vuelve al estrés. La mayoría de los ejecutivos son ejecutivos de negocios, como los que figuran en TI. Su trabajo es ejecutar una función empresarial para generar ingresos. Eso es todo. Entonces, ya sea que esté desarrollando una aplicación empresarial, digamos que es de petróleo y gas y estoy tratando de asegurarme de que el oleoducto sea correcto y encontrar petróleo, ese es mi trabajo. Tengo control sobre eso. Tengo control sobre los problemas que pueden hacer eso. Tengo que hacer la geología. Tengo que saber qué tan rápido puedo obtener mis suministros.
Lo que pasa con la seguridad es que no controlo mi destino; los malos lo hacen. Me están atacando todo el tiempo tratando de encontrar debilidades. Entonces todos mis mejores planes cada día se ven interrumpidos porque tengo que responder a donde están teniendo éxito. Y lo que pasa con eso es que, como le digo a la gente en seguridad, lo imposible sucede todos los días.
Pongo todos mis controles, todo parece bien, y de alguna manera encuentran un camino porque alguien cometió un error o se explotó una vulnerabilidad, y ahora estoy a la defensiva y tengo que restablecer el perímetro, y luego todavía tengo que intentar establecer lo que estaba planeando hacer, donde estoy constantemente reaccionando. Esa es una posición relativamente única que tiene la seguridad, en comparación con todos los demás tipos de funciones empresariales. Así que nos volvemos realmente, realmente buenos en la gestión de crisis. Pero cuando eres un cirujano en una unidad MASH y estás en la guerra y los soldados llegan día tras día, y estás tratando de mantenerlos con vida y decidir quién vive y quién muere y mantener a la compañía avanzando – eso es agotador.
Bischoping: Exactamente. Así que estás hablando de muchos conjuntos de habilidades diferentes y todos son realmente difíciles, pero cuando los combinas todos en un solo rol, tienes esta especie de tormenta perfecta de estrés que contribuye directamente al agotamiento porque tienes que pensar constantemente en cien variables diferentes. Estás planificando para un caos desconocido que puede o no ocurrir, pero para el que tienes que estar preparado. Estás planificando para el zero-day del siglo que interrumpa tus vacaciones o tus fines de semana, pero quizás no suceda. Y estar en ese nivel de vigilancia y preparación es física y mentalmente agotador.
Entonces, ¿cómo podemos, no solo los CISOs sino la industria en su conjunto, cuál es tu consejo sobre tácticas y estrategias para poder desconectarse, para poder preservar tu salud mental y física? Porque no es saludable. Tenemos estudios científicos que salen, uno recientemente del Reino Unido que muestra que los efectos del ransomware y las brechas de seguridad pueden estar vinculados a problemas de salud cardiovascular y problemas de salud mental. ¿Cómo aconsejamos a nuestros colegas, a nuestros empleados y a nuestros amigos de la industria para que se protejan?
Cuanto más logremos que la gente entienda cómo es realmente el día a día de un CISO, y lo comprendan, más fácil se vuelve hablar sobre cómo gestionamos este estrés. Esta es una situación muy, muy estresante. Reconozcamos eso. No creo que mucha gente entienda a lo que se enfrenta un verdadero CISO ejecutivo, ni las exigencias que la industria nos impone mientras intentamos descifrar algunas de estas novedades. Pero eso recae sobre nosotros, ¿de acuerdo? ¿Y cuándo te das cuenta de que tienes que alejarte?
Cuando estaba en Levi's, teníamos un liderazgo con dos niveles de profundidad. Éramos dos para poder relevarnos mutuamente si teníamos incidentes, o para poder tomarse unas vacaciones, porque el otro podía asumir el mando. No hay mucho liderazgo con dos niveles de profundidad, ¿verdad?
Bischoping: Es decir, eso es una inversión financiera considerable.
Zalewski: Y eso es lo que estamos diciendo. ¿Ves todas estas piezas? …Esto es lo que significa ser un CISO. Este es un día en la vida de un CISO como ejecutivo, alguien que examina todas estas piezas e intenta gestionarlas. No hay una respuesta sencilla. Pero el aporte de personas como yo para poder ofrecer a la gente una visión independiente de todas las partes en movimiento y de cómo intentamos hacer que las diferentes partes funcionen juntas, y tener esa conversación para saber qué es posible frente a qué es probable, ¿no? No tengo respuestas sencillas. Yo fui parte de eso.
Me agotó varias veces. No era bueno. Solía bromear diciendo que la gente me enviaba mensajes de texto a las 2 de la mañana y yo respondía, y me decían, ¿qué haces despierto? Y yo decía, bueno, la seguridad nunca duerme. Es un trabajo de 24/7. Porque incluso si quiero dormir, ocurre un incidente. Tienes que ponerte en marcha.
No controlo mi destino. Y esos son los tipos de impactos en los que si todos empiezan a tener una mejor idea de cómo es eso, podemos gestionar mejor las expectativas.
Bischoping: It's not sustainable for any one individual to spend 24/7, 365, waiting for the phone to ring. Tiene que haber cierta delegación de autoridad, cierta rotación de funciones. Y cuando se habla de algo a nivel de la alta dirección, tiene razón, la mayoría de las organizaciones no van a profundizar dos niveles en ese tipo de autoridad. Puede que tenga un adjunto, pero puede que no, especialmente si es una organización más pequeña. Estábamos hablando antes sobre cosas como consultorios médicos y pequeños hospitales comunitarios. ¿Tienen múltiples CISOs disponibles? Probablemente no.
Bischoping: Una vez un amigo mío que trabaja en salud mental me dijo que muchas veces el primer paso para lidiar con el estrés, la depresión y la ansiedad es simplemente reconocer que es válido, reconocer que estás experimentando ese estrés y que ese estrés te está afectando. Solo tener ese reconocimiento al respecto. No necesariamente puedes agitar una varita mágica y hacer que desaparezca.
Zalewski: Sí. Absolutamente, y estamos teniendo la conversación. ¿Ven lo que estamos haciendo? Estamos construyendo comunidad.
Bischoping: Exactamente.
Zalewski: Nos estamos confiando mutuamente para hablar sobre las verdades brutales, no para culpar a nadie, sino para analizar el problema y descubrir qué queremos hacer al respecto juntos. Y ese es el momento clave de revelación en el que las personas simplemente comprenden cómo es realmente estar en la industria de la seguridad.
Bischoping: Antes de que terminemos aquí, solo quiero preguntar si hay algo que haya omitido o si tiene alguna palabra final de sabiduría para los CISOs que sienten que están experimentando agotamiento hoy o para aquellos que están preocupados de que puedan estar al borde de eso. ¿Qué les querría decir como palabra final sobre cómo ser mejores, más efectivos en su trabajo y ser sostenibles?
Zalewski: Lo que diría es que para muchos de ellos, cuando llegó el COVID, en esos tres años en que no nos reunimos y construimos comunidad, eso creó una brecha. ¿Verdad? Así que… salgan y hablen. Encuéntrense de nuevo. Construyamos esa red de apoyo y volvámosla a unir. Porque cuanto más tenemos este tipo de conversaciones, eso es probablemente lo más efectivo que podemos hacer para construir esa comunidad, entender todo esto y trabajar juntos. Porque para eso estoy aquí, ¿verdad? Eso es lo que digo, que es: déjame compartir mi experiencia. Déjame guiarte a través de los problemas de una manera en que entendamos dónde hay nuevas expectativas.
¿Cómo cambiamos algunas de las conversaciones para que no nos pongamos en una situación donde no hay respuesta, sino que seguimos haciendo lo mismo una y otra vez, hasta que entendemos que golpearnos la cabeza contra la pared no está funcionando? Así que dejemos de golpearnos la cabeza contra esa pared, hagamos una pregunta diferente e intentemos seguir adelante. Puede que terminemos golpeando otra pared, pero al menos será una pared diferente.
Bischoping: Quizás toda una habitación llena de paredes. [Ella ríe.] Me encanta que al final de esto, ya saben, comenzamos la conversación hablando de cómo el CISO solía ser una especie de rol técnico, pero realmente ha vuelto a ser un rol sobre construir comunidad, construir relaciones, construir estrategia y comunicación, y la importancia de esa conexión humana para convertirlo en una opción de carrera sostenible para uno mismo. Así que gracias de nuevo por todas sus ideas. Lo aprecio hoy.
Zalewski: Gracias, Melissa. Lo disfruté. Y para todos los que escucharán esto: Comuníquense. Estamos aquí y somos una comunidad, y… cuando escuchen esto, no piensen en ello como: "Vaya, ¿por qué querría ser un CISO?? Es el mejor trabajo que nunca querría tener", sino más bien: "Esto puede ser increíblemente satisfactorio, personal y profesionalmente, y vamos a resolverlo." Y necesitamos a los mejores para que puedan apoyarnos. Así que únanse a nosotros en este camino.
Bischoping: Gracias, Steve.
He estado hablando con Steve Zalewski, ex CISO y fundador de S3 Consulting. Si desea conocer más consejos de expertos dirigidos a los CISO y elaborados por ellos mismos, consulte «Focal Point,» , la revista digital de noticias sobre ciberseguridad de Tanium. Tenemos enlaces a varios artículos relevantes aquí en las notas del programa, o puede visitarnos en Tanium.com.
Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy, asegúrese de suscribirse a Let's Converge en su aplicación de podcast favorita. Y si le gustó este episodio, denos una calificación de cinco estrellas.
Gracias por escucharnos y esperamos compartir más ideas en el próximo episodio de Let's Converge.
