Cómo los CISO de primer nivel ganarán más presupuesto y confianza en la junta directiva en 2023

Este artículo apareció por primera vez en SC Magazine. Se ha actualizado y sinidcado aquí.


Los CISO se encuentran en una situación cada vez más tensa: Proteger más activos, enviar más código, reducir una mayor superficie de ataque y hacerlo con unos recursos financieros que disminuyen rápidamente. Es un hecho ineludible que la ciberseguridad se ve como un centro de costes, y a pesar de que el programa de seguridad de una organización es lo que se interpone en el camino de un actor de amenazas que los convierte en el desastroso titular de mañana, los líderes de seguridad deben hacer más para vender y demostrar el valor empresarial global del departamento, en un lenguaje que tenga sentido para el cuerpo ejecutivo.

Los CISO de talla mundial están a la altura de las circunstancias, liderando programas de seguridad holísticos que mejoran la confianza de los clientes y la reputación de la marca, y utilizan todas las herramientas a su disposición para crear un valor innegable. Comienza con un enfoque estratégico y preventivo de los errores de seguridad más comunes, y dejando atrás la mentalidad de que nunca hay tiempo, recursos o personal suficientes para mantener la excelencia en seguridad.

Cambiar el debate en la sala de juntas.

En el clima económico actual, pocas empresas y departamentos escapan al escrutinio por el dinero que gastan, las contrataciones que realizan y su impacto estratégico en los objetivos empresariales. Aunque pueda parecer obvio que la empresa moderna necesita un amplio programa de ciberseguridad, representa un coste significativo para la organización que no es fácil de justificar en términos de retorno de la inversión.

Los líderes de la C-Suite y las partes interesadas del consejo necesitarán comprender claramente los resultados previstos de las iniciativas de ciberseguridad de la inversión, en términos que tengan sentido fuera de los números de una hoja de cálculo. Tendrán diferentes niveles de conocimientos técnicos y comprensión, y los CISO deben esforzarse por presentar sus argumentos con mensajes accesibles. Explique la magnitud del programa, qué hay que proteger y a quién hay que capacitar para ofrecer el mejor ejemplo de su clase. Los ataques van en aumento, pero los presupuestos no están a la altura, y librar la buena batalla comienza con una campaña verbal para justificar su mérito.

Hace tiempo que se dice que, independientemente de la vertical, todas las empresas se están convirtiendo rápidamente en empresas tecnológicas. Con un enfoque digital como norma en la mayoría de las organizaciones, esto representa una enorme superficie de ataque que necesita la mejor protección que se pueda permitir en ese momento. Los responsables de seguridad llevan muchos sombreros, pero uno que se pasa por alto (hasta que es demasiado tarde) es que son esencialmente los guardianes de la confianza de los clientes. Nunca se insistirá lo suficiente en esto como propuesta de valor, y es tan vital como los objetivos de ventas y marketing. 

Demuestre el valor de un enfoque preventivo de la seguridad.

Las estadísticas actuales sobre ciberseguridad ponen los pelos de punta, pero caer en el alarmismo suele ser una táctica inútil cuando se trata de conseguir más presupuesto. Pocos miembros del equipo directivo de una empresa discutirían que la ciberseguridad no es una prioridad, pero es mucho más probable que se muestren receptivos a aumentos presupuestarios si se presenta una estrategia emprendedora que utilice los recursos existentes para obtener mejores resultados. 

Según una investigación reciente del Consejo Internacional de Seguridad de Neustar, solo el 50 % de las empresas considera que tiene un presupuesto adecuado para abordar sus problemas de ciberseguridad conocidos. Y con un aumento global de los ciberataques del 38 % entre 2021 y 2022, es probable que esto represente un camino aún más difícil para el CISO medio. Sin embargo, los verdaderos líderes mundiales en seguridad son capaces de superar estos puntos débiles e innovar a través de la adversidad.

En muchos escenarios, la prevención es más fácil y directa que la cura, y la ciberseguridad no es diferente. Un programa de seguridad holístico debe ir mucho más allá de las medidas reactivas, y con la gestión de vulnerabilidades entre las tres principales preocupaciones de muchos CISO, tiene sentido que los desarrolladores sean una parte integral de ese movimiento. Necesitan una formación práctica para hacer frente a los errores de seguridad más comunes, ayudándoles a eliminar estos problemas en su origen y a garantizar que nunca lleguen a la producción. Hemos llegado a un punto en el que no podemos seguir excusando el código inseguro y de baja calidad, y la mejora de las competencias de los desarrolladores es, con diferencia, el remedio más rentable y potente para las vulnerabilidades a nivel de código. 

Es vital que los CISO luchen por conservar el presupuesto existente, y detallar los beneficios de la capacitación en seguridad basada en funciones, especialmente para los desarrolladores, es una victoria más rápida que añadir la siguiente "bala de plata" a una pila tecnológica de seguridad difícil de manejar.

La seguridad debe formar parte de los fundamentos de la marca.

La mayoría de los CISO no llegaron a su puesto para ejercer su pasión por el marketing, pero esta es un área en la que podría trabajar, al menos a la hora de presentar sus argumentos a quienes manejan los hilos del dinero. 

No se puede exagerar el impacto de un programa de ciberseguridad en la confianza de los clientes y la lealtad a la marca, y una brecha a gran escala puede provocar un éxodo de proporciones bíblicas. Por el contrario, al alinear sus estrictas prácticas de seguridad con los valores fundamentales de la marca, se envía un mensaje claro de que la privacidad y la protección de los datos no es solo algo prioritario, sino algo en lo que los clientes pueden confiar. 

Es fundamental que el CISO moderno dedique tiempo a destacar las ventajas competitivas de la estrategia y la política de seguridad en lo que respecta a la confianza y el sentimiento positivo continuos de los clientes; la seguridad reactiva por sí sola no tendrá el mismo impacto, y un enfoque equilibrado que se centre en proteger los activos privilegiados con todos los recursos disponibles puede ser el diferenciador definitivo. 

Ya no hay lugar para las excusas, pero existen muchas razones de peso que los CISO pueden destacar en su búsqueda de financiación adecuada para una estrategia de seguridad verdaderamente transformadora.