Descubre el perfil del CISO

¿Qué es ser CISO (Chief Information Security Officer)?

Para algunos es uno de los puestos más en boga últimamente y exigido por normativas; para otros es una patata caliente porque es la persona visible de una empresa en cuanto ocurre un incidente de seguridad.

¿Qué tipo de perfil debe tener un CISO?

La figura del CISO no necesita tener tener una carrera específica como ingeniera informática, telecomunicaciones, matemáticas o alguna certificación concreta existente en el mercado.

Sin embargo, sí es necesario tener algunos conocimientos técnicos, capacidades divulgativas y de comunicación, ya que la resistencia al cambio de todos los trabajadores de la compañía cuando entra la seguridad en sus procesos es enorme.

Así como tener la capacidad y conocimientos de diferentes ámbitos (sin llegar a ser un especialista) para poder analizar, comprender y aportar soluciones que reduzcan riesgos sin paralizar el negocio.

Muchas veces el equipo de seguridad o el CISO internamente se nos ve más de “enemigo” que incluso los auditores externos de la compañía.

¿Cuáles son las principales tareas que realiza un CISO?

La principal tarea del CISO es mitigar los riesgos de seguridad / ciberseguridad a los que se enfrenta su compañía en el día a día para proteger la información que manejan como la propiedad intelectual, datos de carácter personal, investigaciones, planes estratégicos, entre otros.

Para mitigar esos riesgos se debe conocer los procesos, y los activos involucrados en esos procesos, es conseguir orquestar que todos los departamentos sigan realizando sus tareas añadiéndoles una capa de seguridad:

• Identificación y análisis de los riesgos a los que se enfrenta la compañía.
• Identificación de los activos.
• Formación y concienciación de la compañía en materia de seguridad de la información.
• Cumplimiento normativo.
• Plan estratégico de seguridad.
• Acompañamiento en Auditorias Técnicas.
• Gestión y liderazgo frente a incidentes de seguridad.

Haciendo un símil, el trabajo del CISO en una compañía es como el copiloto de un coche; tienes medidas de seguridad airbags, sensores, carrocería (Firewall, proxys, IDS/IPS), normativa a cumplir como velocidad, alcohol en sangre (GDPR, PCI-DSS) y periódicamente tienes revisiones ITV (auditorías externas o internas).

Esto es, la seguridad en una compañía es un proceso de mejora continua (llueva, nieve o haya niebla) y hay que adaptarse a estas nuevas amenazas.

• Carrocería: Revisión periódica de las reglas del firewall y de los proxys. Actualización de los IDs/IPS.
• Airbags: Mantenimiento de antivirus, política de parches.
• Conductor: Formación y concienciación, controles de acceso, perfilado de usuarios.
• Compliance: Formación y concienciación, auditorías externas e internas.

También te puede interesar: el perfil del Hacker

¿Cómo ha evolucionado la protección de la información?

En los principios de los tiempos, la seguridad estaba orientada al paradigma “Data Centric”, es decir, centrada en el dato y aislado del resto del mundo digital (On premise).

Y en los últimos años, no existe un horizonte claramente definido en una compañía, ya que el dato se encuentra diseminado en servidores on-premise, en cloud o en equipos de los trabajadores que están en remoto y que pueden acceder a la información en cualquier momento y lugar del mundo con lo cual es necesario cambiar el paradigma al User Centric y Zero Trust.

Actualmente las soluciones que intentan proteger la información en este modelo son las siguientes:

• Soluciones SASE: Soluciones que permiten acceder a servicios internos de la compañía a través del cloud.
• Soluciones UEBA: Soluciones orientadas a monitorización del comportamiento de los trabajadores para identificar patrones de riesgo o conductas anómalas. Suelen incluir soluciones DLP para identificar posibles fugas de información.

¿Cuáles son actualmente las principales amenazas a las que se enfrenta un CISO?

• Fugas de información.
• Ransomware.
• Incumplimiento normativo.
• Suplantación del CEO.

En definitiva, el trabajo de ser CISO en una organización es un reto constante en la que es necesaria tener una visión global de la organización, identificar claramente los riesgos y una gran capacidad de comunicación.