El trabajo de CISO en 2024 está cambiando. Ha evolucionado de lo técnico a lo estratégico, al liderazgo empresarial y, a veces, al chivo expiatorio legal. Estas conclusiones provienen de conferencias magistrales, mesas redondas y conversaciones con directores de seguridad de la información en conferencias recientes de RSA.
“En términos generales, estamos viendo un mercado donde las expectativas para el rol de CISO están cambiando de un rol de liderazgo tecnológico a un rol de gestión de riesgos comerciales”, dijo Steve Martano de Artico Search en el panel RSAC “2024 El estado del CISO: hacer más”. con menos.
Cita algunos de los desafíos más apremiantes para los CISO: presupuestos ajustados, un entorno de amenazas cada vez más complejo, herramientas de inteligencia artificial cada vez más sofisticadas, nuevas regulaciones y preocupaciones crecientes sobre amenazas nuevas y emergentes.
Estas tendencias están obligando a los CISO a mirar más allá de su enfoque en ciberseguridad para considerar nuevos adversarios de estados-nación, nuevas superficies de ataque y nuevos dolores de cabeza de la TI en la sombra de la IA.
Caminando por la cuerda floja del CISO
Harold Rivas, CISO de Trellix, explicó este desafío: Los CISO tienen mucha responsabilidad, pero con demasiada frecuencia tienen poca autoridad dentro de la empresa.
Dijo que los CISO deben desempeñar tres funciones, no solo una. Rivas, quien habló en una sesión en la conferencia RSA, dijo que los roles incluyen arquitecto, operador y conector. Los arquitectos alinean los negocios con las prioridades tecnológicas. Los operadores comprenden la inteligencia sobre amenazas y la colocan en el contexto de las operaciones comerciales. Como conector, el CISO debe comunicarse claramente con la alta dirección y la junta directiva.
“A medida que evoluciona el rol del CISO, el alcance del trabajo continúa expandiéndose dramáticamente cada año”, dijo Martano. Una mayor participación en el conjunto de tecnologías de una empresa no es algo malo, siempre y cuando el acceso a los recursos y a las salas de juntas siga el ejemplo, afirmó.
problemas de dinero
El personal y las compensaciones representarán el 38% de los presupuestos de seguridad para 2024, afirmó Martano.
“Los CISO afirman constantemente que la mayor parte de su presupuesto se destina a herramientas que respaldan los objetivos comerciales”, afirma. “Para lo que no tenemos fondos suficientes es para contratar personal”.
Característica especial RSAC 2024 CISO
Atraer y retener a los mejores talentos en el campo de la ciberseguridad sigue siendo un desafío importante, dijo Brian Palma, director ejecutivo de Trellix. “Esta batalla continúa y las organizaciones necesitan ayuda para atraer y retener a los mejores talentos”, dijo Palma.
Otros CISO señalan que la nueva normalidad pospandémica y el endurecimiento de la industria tecnológica están cambiando las tendencias de contratación que son positivas para los empleadores. Un efecto secundario es que las tasas de retención de empleados son más altas y las empresas son menos competitivas en materia de remuneración para atraer a los mejores talentos. Explican que la transición del trabajo totalmente remoto a una fuerza laboral donde los empleados pasan varios días a la semana en la oficina ha mejorado las relaciones con los compañeros de trabajo y los gerentes, y ha aumentado la retención y la satisfacción laboral.
“Si los empleados están contentos con sus gerentes y sienten que hay oportunidades de avance, eso ayudará a retener a los mejores talentos”, dijo Martano.
Los CISO superan obstáculos regulatorios y legales
“El papel del Director de Seguridad de la Información (CISO) nunca ha sido más desafiante y examinado. Las crecientes amenazas cibernéticas, regulaciones más estrictas y mayores responsabilidades han colocado a los CISO a la vanguardia de la defensa digital y la responsabilidad corporativa”, dijo el director ejecutivo de Seemplicity, Yoran Sirkis. en una columna reciente de SC Media.
Serkis citó la acción de la Comisión de Bolsa y Valores contra SolarWinds y su CISO el año pasado por engañar a los inversores sobre sus prácticas de ciberseguridad y sus riesgos conocidos. La condena del ex director de seguridad de Uber, Joseph Sullivan, y los nuevos requisitos de divulgación de ciberseguridad de la SEC, introducidos a finales de 2023, exacerban aún más estas preocupaciones.
“Este incidente no sólo puso de relieve la supervisión corporativa, sino que también puso de relieve una tendencia alarmante en la creciente responsabilidad personal de los directores de seguridad de la información (CISO) por fallos de seguridad y violaciones de datos”.
Serkis y otros CISO advierten que el aumento de los litigios podría afectar a los ejecutivos cibernéticos, que se centran más en cuestiones legales que en la ciberdefensa. Exigir divulgaciones más detalladas requiere un equilibrio entre garantizar la seguridad organizacional y gestionar la responsabilidad personal, lo que puede conducir a prácticas defensivas y un ambiente de desconfianza, dijo Serkis.
Los CISO consideran el camino a seguir
Para superar estos desafíos, los CISO deben fortalecer la colaboración con las juntas directivas y los directores ejecutivos, abrir canales de comunicación, garantizar recursos adecuados y crear una cultura que priorice la ciberseguridad. Este soporte es esencial para que los CISO protejan sus organizaciones, cumplan con los requisitos regulatorios en evolución y garanticen una infraestructura empresarial resiliente.
“A medida que avanzamos hacia la era de las posibilidades, la necesidad de un enfoque colaborativo en ciberseguridad se vuelve crítica. Requiere una comunidad fuerte y una estrategia de defensa compartida”, dijo Brian Palma, director ejecutivo de Trellix, en “CISO Confidential: What separa the Best”. del Resto”.
El papel del CISO es cada vez más complejo, al igual que las amenazas cibernéticas, afirmó. Por eso es importante no sólo colaborar con los CISO, sino también crear asociaciones con reguladores, formuladores de políticas y clientes para crear una “estrategia de defensa común”, dijo Palma.
“Cuando se les pregunta a los CISO qué es lo que más necesitan para mejorar la capacidad de su organización para defenderse de los ciberataques emergentes, la respuesta no son nuevos modelos de LLM, algoritmos o aprendizaje automático, sino colegas de la industria que comparten sus conocimientos. Fue mi turno de responder. “, dijo Palma.
(Nota del editor: este es el primero de una serie de artículos que presentan las 15 principales tendencias en ciberseguridad para 2024 y 2025)
Fuente: https://www.scmagazine.com/feature/state-of-ciso-leadership-2024
