El rol del Director de Seguridad de la Información (CISO) nunca ha sido tan desafiante y crucial como lo es hoy. Con el aumento exponencial de las ciberamenazas, que pueden causar daños irreparables a la reputación, la confianza y los activos de las organizaciones, los CISO deben estar preparados para afrontar un panorama cada vez más complejo y dinámico.
En 2024, Brasil registró un aumento significativo de ciberataques. En el primer trimestre, se observó un crecimiento del 38% en comparación con el mismo período de 2023, con organizaciones brasileñas que sufrieron un promedio de 1770 ataques semanales. En el segundo trimestre, el aumento fue aún más pronunciado, alcanzando el 67% en comparación con el año anterior, con un promedio de 2754 ataques semanales por organización. En el tercer trimestre, el promedio semanal de ataques por organización en Brasil alcanzó los 2766, lo que representa un aumento del 95% en comparación con el mismo período de 2023. Los sectores más atacados fueron finanzas, salud, gobierno y energía, siendo los principales tipos de ataques ransomware, phishing, DDoS y APT (amenazas persistentes avanzadas).
Los CISO tienen que adaptarse a esta nueva era de ciberataques sin precedentes, a menudo desempeñando múltiples funciones simultáneamente y, en el caso de Brasil, gestionando un escenario de contención de costos e inversiones en ciberseguridad.
El papel del CISO moderno.
El rol de CISO es relativamente nuevo. A diferencia de los CFO o los CEO, la función de Director de Seguridad de la Información (CIO) no existió oficialmente hasta mediados de la década de 1990.
Además, el rol del CISO ha estado en constante evolución dentro de las organizaciones. Según el informe CISO 2023 de Splunk, el 90 % de los encuestados creía que el puesto se había convertido en un "trabajo completamente diferente" al que tenían cuando empezaron.
Si bien inicialmente el CISO era responsable del desarrollo de políticas, la gobernanza de la seguridad y la implementación de controles de seguridad más básicos, lo que le otorgaba una perspectiva mucho más técnica que gerencial, hoy en día su lista de responsabilidades ha crecido significativamente. Un ejemplo es la función política del puesto: los CISO deben mantener una estrecha relación de trabajo con el CEO, el CFO y el departamento legal de la organización. El presupuesto de seguridad es esencial para hacer frente a la multitud de amenazas que existen hoy en día.
Y esto sigue siendo un problema para las empresas de todo el mundo, especialmente en Brasil. La complejidad del escenario presenta, por un lado, un país con una de las tasas de ataques más altas del mundo. Por otro lado, la incertidumbre económica y la fluctuación del dólar (ya que la gran mayoría de las soluciones se venden en moneda extranjera) obligan a los CISO a equilibrar los recursos disponibles para garantizar la protección de la empresa.
Buenos comunicadores
En contraste con la imagen estereotipada del CISO experto en tecnología del pasado, el CISO de hoy debe asumir un rol de liderazgo y ser un buen comunicador para liderar la creación de una cultura sólida de ciberseguridad dentro de la empresa.
Otro punto importante es que los CISO no pueden actuar solos en la gestión de la seguridad de la información. Necesitan el apoyo y la colaboración del ecosistema externo, que incluye proveedores, clientes, socios, organismos reguladores, asociaciones del sector y comunidades de seguridad. Estos actores pueden aportar información, recursos, soluciones y mejores prácticas que ayuden al ejecutivo a mejorar y fortalecer la seguridad de su organización. Por lo tanto, la comunicación y el desarrollo de relaciones con el mercado también son fundamentales.
La seguridad debe comenzar desde una perspectiva holística.
Contar con herramientas y procesos de seguridad aislados y reactivos no es suficiente. Los CISO necesitan una visión holística e integrada de la seguridad, que abarque desde la cultura y la concienciación de los empleados hasta la gobernanza y la alineación con los objetivos empresariales.
La seguridad debe considerarse un elemento transversal y esencial para la continuidad y el crecimiento de la organización, y no un coste ni una barrera. Para lograrlo, los CISO deben involucrar a otras áreas y al liderazgo de la empresa, demostrando el valor y el retorno de la inversión en seguridad, y estableciendo políticas e indicadores claros y medibles.
El sentido de urgencia es esencial para anticipar las amenazas.
Las ciberamenazas evolucionan constantemente y se vuelven cada vez más sofisticadas, y pueden afectar a cualquier organización, independientemente de su tamaño o sector. Por lo tanto, es importante estar siempre al tanto y actualizado sobre las tendencias y vulnerabilidades del mercado, e invertir en soluciones y metodologías que permitan anticipar las amenazas y los riesgos.
Una forma de lograrlo es adoptar un enfoque de seguridad desde el diseño, que incorpora la seguridad desde la concepción hasta la entrega de los productos y servicios de la organización. Otra forma es realizar pruebas y simulaciones periódicas que evalúen la eficacia y la resiliencia de los sistemas y procesos de seguridad, e identifiquen oportunidades de mejora y mitigación.
Si bien el rol del CISO sigue transformándose, este profesional es clave para proteger e innovar a las organizaciones en la era digital. Los CISO deben estar preparados para afrontar un nivel de amenazas sin precedentes, lo que requiere una gestión de la seguridad de la información proactiva, estratégica y colaborativa.
Finalmente, los CISO deben tener presente que la seguridad de la información no es solo un problema técnico, sino también un factor de competitividad y valor para los clientes. Quienes logren alinear la seguridad con los objetivos de negocio y las expectativas de las partes interesadas, y sepan comunicar los beneficios y desafíos de la seguridad de forma clara y convincente, podrán construir una cultura de seguridad sólida y sostenible dentro de la organización y contribuir a su éxito y crecimiento en el panorama digital.
