Cómo los CISO de clase mundial están consiguiendo más presupuesto y confianza de la junta directiva en 2023

Este artículo apareció originalmente en SC Magazine. Ha sido actualizado y distribuido aquí.


Los CISO se encuentran en una posición cada vez más complicada: proteger más activos, lanzar más código, reducir una superficie de ataque mayor y hacerlo con recursos financieros que disminuyen rápidamente. Es un hecho innegable que la ciberseguridad se percibe como un centro de costes y, aunque el programa de seguridad de una organización es lo que impide que un actor de amenazas la convierta en el titular desastroso de mañana, los líderes de seguridad deben esforzarse más por vender y demostrar el valor comercial general del departamento, utilizando un lenguaje que resulte comprensible para la dirección ejecutiva.

Los CISO de clase mundial están a la altura de las circunstancias, liderando programas de seguridad integrales que mejoran la confianza del cliente y la reputación de la marca, y utilizando todas las herramientas a su disposición para crear un valor innegable. Todo comienza con un enfoque estratégico y preventivo ante los riesgos de seguridad comunes, dejando atrás la mentalidad de que nunca hay suficiente tiempo, recursos o personal para mantener la excelencia en seguridad.

Cambie el discurso en la sala de juntas.

En el clima económico actual, pocas empresas y departamentos escapan al escrutinio sobre el dinero que gastan, las contrataciones que realizan y su impacto estratégico en los objetivos comerciales. Aunque parezca obvio que la empresa moderna requiere un programa de ciberseguridad amplio, este representa un coste significativo para la organización que no es fácil de justificar en términos de retorno de la inversión.

Los líderes de la alta dirección y los miembros de la junta directiva necesitarán comprender claramente los resultados proyectados de las inversiones en ciberseguridad, en términos que tengan sentido más allá de los números en una hoja de cálculo. Tendrán diferentes niveles de conocimiento técnico, por lo que los CISO deben esforzarse por presentar su caso con mensajes accesibles. Explique la magnitud del programa, qué necesita protección y quién debe ser habilitado para ofrecer un ejemplo de primer nivel. Los ataques van en aumento, pero los presupuestos no siguen el ritmo, y luchar por esta causa comienza con una campaña verbal para justificar su mérito.

Se ha dicho durante mucho tiempo que, independientemente del sector, toda empresa se está convirtiendo rápidamente en una empresa tecnológica. Con un enfoque digital como norma en la mayoría de las organizaciones, esto representa una enorme superficie de ataque que necesita la mejor protección posible. Los líderes de seguridad desempeñan muchas funciones, pero una que se pasa por alto (hasta que es demasiado tarde) es que son, esencialmente, los custodios de la confianza del cliente. Esto no puede subestimarse como propuesta de valor, y es tan vital como los objetivos de ventas y marketing.

Demuestre el valor de un enfoque preventivo para la seguridad.

Las estadísticas actuales de ciberseguridad son alarmantes, pero recurrir al miedo y al alarmismo suele ser una táctica inútil a la hora de conseguir más presupuesto. Pocos miembros del equipo directivo de una empresa negarían que la ciberseguridad es una prioridad, pero serán mucho más receptivos a los aumentos presupuestarios si se presenta una estrategia emprendedora que utilice los recursos existentes para obtener mejores resultados.

Según una investigación reciente del Neustar International Security Council, solo el 50% de las empresas considera que tiene un presupuesto adecuado para abordar sus problemas de ciberseguridad conocidos. Y con los ciberataques globales aumentando un 38% entre 2021 y 2022, es probable que el camino por recorrer sea aún más difícil para el CISO promedio. Sin embargo, los líderes de seguridad de clase mundial son capaces de superar estos puntos críticos e innovar a pesar de la adversidad.

En muchos escenarios, la prevención es más fácil y directa que la cura, y la ciberseguridad no es diferente. Un programa de seguridad integral debe ir mucho más allá de las medidas reactivas, y dado que la gestión de vulnerabilidades se encuentra entre las tres principales preocupaciones de muchos CISO, tiene sentido que los desarrolladores sean una parte integral de ese movimiento. Necesitan formación práctica para abordar los errores de seguridad comunes de frente, ayudándoles a eliminarlos en la fuente y asegurando que nunca lleguen a producción. Hemos llegado a un punto en el que no podemos seguir justificando código de baja calidad e inseguro, y mejorar las competencias del equipo de desarrollo es, con diferencia, el remedio más rentable y potente para las vulnerabilidades a nivel de código.

Es vital que los CISO luchen por mantener el presupuesto existente, y detallar los beneficios de la capacitación en seguridad basada en roles, especialmente para los desarrolladores, es una victoria más rápida que añadir la próxima "solución mágica" a una pila tecnológica de seguridad difícil de manejar.

La seguridad debe ser parte de los fundamentos de la marca.

La mayoría de los CISO no asumieron su cargo por pasión por el marketing, pero esta es un área en la que podría trabajar, al menos al presentar su caso ante quienes controlan el presupuesto.

El impacto de un programa de ciberseguridad en la confianza del cliente y la lealtad a la marca no puede subestimarse, y una brecha a gran escala puede causar un éxodo de proporciones bíblicas. Por el contrario, al alinear sus estrictas prácticas de seguridad con los valores fundamentales de la marca, envía un mensaje claro de que la privacidad y la protección de datos no solo son una prioridad, sino algo en lo que los clientes pueden confiar.

Es fundamental que el CISO moderno se tome el tiempo para resaltar las ventajas competitivas de la estrategia y la política de seguridad en relación con la percepción y la confianza positivas del cliente; la seguridad reactiva por sí sola no tendrá el mismo impacto, y un enfoque equilibrado que se centre en proteger los activos privilegiados con todos los recursos disponibles puede ser el diferenciador definitivo.

Ya no hay lugar para excusas, pero hay muchas razones convincentes que los CISO pueden destacar en su búsqueda de financiación adecuada para una estrategia de seguridad verdaderamente transformadora.