Kaspersky Lab encuestó a 250 directores de seguridad informática de todo el mundo, sus opiniones resultaron muy interesantes.
Por ejemplo, cuando se les pregunta acerca de los indicadores de ejecución claves de un CISO (siglas en inglés de Director de Seguridad de la Información), no sorprende que la mayoría de encuestados afirmara que su criterio laboral principal es la calidad y la velocidad con la que se gestiona la respuesta a un incidente. En las empresas modernas, ya no se piensa que los ciberincidentes sean fallos de seguridad. Resulta positivo comprobar que la mayoría de los especialistas empiezan a comprender que los incidentes son sucesos normales e inevitables. Hoy, la ciberseguridad consiste básicamente en la supervivencia de la compañía.
Tomando por supervivencia contar con un nivel de protección avanzada en un ataque de amenaza persistente, filtración de datos o DDoS masivos, que permita a la empresa recuperarse por sí misma sin daños o pérdidas serias, a excepción del mínimo predefinido. En otras palabras, el objetivo actual de los CISO apunta hacia la respuesta a incidentes.
La mayoría de los CISO coinciden en que el mayor riesgo al que se expone una organización tras una brecha es la pérdida de reputación. El daño reputacional es la base del resto de consecuencias: disminución de existencias, confianza del cliente o ventas.
La reputación es la razón real por la que no escuchamos sobre la mayoría de los incidentes de seguridad. Una empresa puede ocultar un ciberincidente, aunque en algunos países la ley las obliga a revelar cualquier información sobre problemas de seguridad a sus accionistas y clientes.
Resultó interesante comprobar el nivel de implicación de los directores de seguridad en la toma de decisiones empresariales. Básicamente, existen dos estrategias, la seguridad puede controlar cada paso que toma la empresa, aprobando cada movimiento o en su lugar, pueden ejercer de asesores y que la compañía les pregunte si van por el camino correcto.
A simple vista, el control total parece más efectivo y lo sería si la ciberseguridad fuera el objetivo en sí. En realidad, esta estrategia requiere mucho más personal y puede frenar el desarrollo del negocio. Esto puede ser un auténtico reto para las empresas innovadoras que utilizan procesos comerciales que no cuenten aún con las mejores prácticas para la protección.
En las respuestas a la pregunta “Sin un ROI claro, ¿cómo justifican su presupuesto?” La mayoría se justifica mostrando informes de brechas de ciberseguridad y evaluaciones de daños de ataques que ha sufrido la compañía en el pasado. Funciona, al menos la primera vez y puede que la segunda, pero en la tercera lo normal es que respondan: “Has conseguido asustarnos, pero ¿cómo se enfrentan los demás a esta situación?”.
Las empresas deben conocer las experiencias de otras compañías. Desafortunadamente, los “puntos de referencia de la industria y las mejores prácticas” ocuparon el séptimo lugar en la lista de resultados de la encuesta.
Informe What it takes to be a CISO realizado por Kaspersky Lab.
