Cómo el CISO y el CEO pueden hablar el mismo idioma

Desde hace 10 años el CEO (Chief Executive Officer) ha comenzado a entender como la seguridad TI y los responsables de seguridad pueden convertirse en habilitadores de negocio.

Esto se debe a que los responsables de la seguridad TI han conseguido el camino para traducir los problemas de seguridad a un lenguaje de negocio que el CEO puede entender.

Tradicionalmente el negocio cuida la caída de la línea de producción (ensamblado de coches, empaquetado de productos, procesamiento de materia prima) y no cuida la caída de TI.

Es importante hacer ver al negocio que detrás de las operaciones de producción del negocio hay una serie de elementos de TI que necesitan ser reparados, cambiados y configurados de forma segura.

Los responsables de seguridad deben ser capaces de conectar el impacto actual de la caída del  negocio con los fallos de seguridad que impacten en la caída del negocio. En este punto se unen la línea de protección del negocio y la de reducción del riesgo del negocio.

El CEO debe tener claro que 1 hora de caída de TI tiene como resultado 40 coches menos ensamblados por caída de la línea de ensamblado. El problema está cuando el CEO reporta en su inventario 40 coches menos y no una caída de TI, en esta caso el CEO está preocupado por la producción del coche y no por los servicios TI.

En todo caso si se reporta una perdida en el inventario estamos hablando de un problema de negocio. Si hay un problema de negocio,  el área de TI y de seguridad deben informar las cosas que necesitan ser corregidas cada uno desde su ámbito. Al equiparar el problema de negocio con los elementos TI y de seguridad necesarios y que impactan en el problema estamos habilitando a la empresa a ser más eficiente, aumentar la producción y, como consecuencia, aumentar los beneficios.

Hay que eliminar la cultura de desconectar, que consiste en que la seguridad es un problema técnico que puede ser resuelto por TI, los problemas técnicos deben ser resueltos por los administradores u operadores de TI y los de seguridad deben ser resueltos por los responsables de seguridad TI.

Hay que direccionar dentro de la gestión del riesgo la seguridad TI, se estima que sólo el 30% por ciento de las organizaciones adoptan un enfoque basado en riesgos para la seguridad TI. En lugar de ser los defensores de la organización, los administradores de seguridad de TI están interesados ​​en ser facilitadores de ese equilibrio entre la necesidad de proteger y las necesidades para ejecutar el negocio.

Un responsable de seguridad no se preocupa de si un hacker hará un ataque a la página de la compañía, un responsable de seguridad se preocupa de preparar la compañía para afrontar riesgos mediante la implementación de medidas y prácticas.

La seguridad no es una persona al lado de un firewall, la seguridad es desarrollar programas de riesgos alineados con las necesidades del negocio.

Gobierno de la Seguridad de la Información

El marco de Gobierno de la Seguridad de la Información es el sistema mediante el cual se dirigen y controlan las actividades de seguridad de la información de la organización.

La Gobernanza de la seguridad busca alinear los objetivos y estrategias para la seguridad de la información con los objetivos y estrategias del negocio …

… teniendo en cuenta la legislación vigente, regulaciones y contratos …

… mediante la guía e implementación de una aproximación basada en riesgos …

… soportada por un sistema de control interno.

Los principios que establece la norma ISO 27014 establecen una buena base para la implementación de los procesos de gobierno de la seguridad de la información:

1. Establecer responsabilidad con respecto a la seguridad de la información en toda la organización. En este sentido:

• ¿La seguridad de la información se gestiona a un nivel de la organización que permita la toma de decisiones?
• ¿Las actividades asociadas a la seguridad lógica y física se realizan de forma coordinada?.
• ¿La responsabilidad y rendición de cuentas con respecto a la seguridad se establece a través del ciclo completo de las actividades de la organización incluidos terceros?.

2. Adoptar una aproximación basada en el riesgo. En este sentido:

• ¿Las decisiones se toman en función del riesgo?.
• El nivel aceptable de seguridad ¿se basa en el apetito al riesgo de la organización?, ¿se incluye en él la posible pérdida de ventaja competitiva, riesgos de cumplimiento y responsabilidad, interrupciones operativas, pérdida financiera y daño a la reputación?.
• ¿Se asignan los recursos apropiados para implementar la gestión de riesgos en la organización?.

3. Establecer la dirección de las decisiones de inversión en seguridad de la información. En este sentido:

• ¿La estrategia de inversiones en seguridad de la información se establece en función de los resultados de negocio alcanzados?.
• ¿Las inversiones en seguridad se integran con los procesos generales existentes para las inversiones y gastos de la organización?.

4. Asegurar conformidad con los requerimientos internos y externos. En este sentido:

• ¿Se garantiza que las políticas y prácticas son conformes con la regulación y legislación existente, con los compromisos y contratos de la organización y con otros requerimientos internos o externos?.
• ¿Se realizan auditorías de seguridad independientes?.

5. Fomentar un entorno positivo respecto de la seguridad. En este sentido:

• A la hora de implementar la gobernanza de la seguridad, ¿se tiene en cuenta el comportamiento humano, incluyendo la evolución de las necesidades de las partes interesadas?
• ¿Se exige, promueve y apoya la coordinación de las actividades de las partes interesadas para alcanzar una dirección coherente de la seguridad (educación, formación y programas de concienciación)?.

6. Revisar el rendimiento en relación a los resultados de negocio. En este sentido:

• ¿La aproximación tomada para proteger la información es adecuada al propósito de apoyar la organización proporcionando niveles acordados de seguridad de la información?.
• ¿Se mantiene la seguridad en los niveles requeridos para alcanzar los requerimientos actuales y futuros del negocio?.
• ¿Se evalúa la seguridad en relación a su impacto en el negocio y no sólo en base a la eficacia y eficiencia de los controles?.

El modelo para la implementación del gobierno de la seguridad de la información, según la norma ISO 27014 es el siguiente:

Cómo realizar un Plan Director de Seguridad en 5,3 pasos

Paso 1

Podemos decir de una manera genérica que el objetivo es definir, implementar y gestionar una serie de medidas o controles de seguridad que garanticen la confidencialidad, integridad, disponibilidad… de la información.

Paso 2

La pregunta a continuación sería ¿qué medidas o controles?. Estas medidas o controles han de ser de carácter técnico, organizativo, procedimental e incluso legal. La fuente de estas medidas son los requerimientos de negocio:

• Las obligaciones legales, normas o políticas internas a las que ha de hacer frente (LOPD, SOX, PCI, ISO 27000, etc.  propiedad intelectual, aspectos contractuales con proveedores…)
• El resultado de un análisis de riesgos en el que se defina qué riesgos existen, qué criterios de aceptación del riesgo establecemos y cómo los tratamos (aplicando controles o, por ejemplo, asumiendo, evitando o transfiriendo dichos riesgos).

Paso 3

El resultado consistirá en un conjunto de controles con sus medidas detalladas que se deberán aplicar en la organización. Controles que aplicarán a diferentes dominios de la seguridad: gestión de activos, proveedores, seguridad ligada a RR.HH, seguridad física y ambiental, gestión de comunicaciones y operaciones de TI, control de acceso…

Paso 4

Todos esos controles a mejorar o implementar se deben agrupar en función, por ejemplo, de:

• Similitud de las medidas en cuanto a tipo de soluciones técnicas
• Activos o dependencias a las cuales aplican las medidas
• Por departamentos
• Por estado de madurez, etc.

Paso 5

Estas agrupaciones resultarán en un conjunto de proyectos (ej: creación y gestión de políticas, arquitectura de red segura, aspectos jurídicos, tratamiento del malware…) que se han de evaluar, presupuestar, priorizar y planificar en un Plan Director de Seguridad.

5,1 Este enfoque garantiza un aproximación de arriba-abajo que tome como punto de partida los requerimientos del negocio.

5,2 La cuota de mercado de las herramientas y soluciones de seguridad está muy segmentada. No hay dominadores claros y sí que existen muchas soluciones de nicho de alto nivel. Por otro lado muchas soluciones parece que hacen lo mismo. Es por eso que, a la hora de escoger una solución o herramienta es imprescindible:

• Recurrir a tests independientes y referencias de mercado que ayuden a hacer un filtrado.
• Realizar una prueba de concepto que ayude a validar la idoneidad de la solución.

5,3 Idea final. Respecto al análisis y gestión de riesgos es importante dar un salto conceptual y empezar a pensar en ellos como una herramienta de creación de valor que debe ser un componente esencial del análisis estratégico de la empresa. Si más allá de analizar únicamente los riesgos tecnológicos nos planteamos un análisis de los riesgos operacionales, el debate

La credibilidad del CISO

Sí, he de admitirlo, los proyectos de seguridad son los que más me hacen disfrutar. Además, durante estos años de consultor, he tratado con muchos CISOs (Chief Information Security Officer) y me fascina el rol que juegan en la organización. Su trabajo es una continua partida de ajedrez… yo muevo mi ficha, el ciberdelincuente mueve la suya y así sucesivamente…pero… ¿Quién gana la partida?

Es precisamente a la hora de responder a esta pregunta donde quiero profundizar. La seguridad es dinámica ya que el mapa de amenazas, los tipos de ataques, los riesgos y la tecnología avanzan constantemente y el CISO siempre debe anticiparse a este avance para ir mejorando la seguridad de los sistemas de negocio. Para mejorar la seguridad, el CISO pedirá fondos a la Alta Dirección para llevar a cabo sus estrategias y poder mover “su ficha”.

Es aquí donde entra en juego el parámetro clave: La credibilidad.

Pueden darse dos casos:

• Si los incidentes de seguridad han sido pocos y con impactos irrelevantes, el CISO tendrá un “papelón” al explicarle a la Alta Dirección que necesita más fondos para mejorar una “seguridad corporativa” que ya de por sí parece buena. Los directivos pensaran: “ya estamos como todos los años pidiendo más dinero para que luego no pase nada”

• Si por el contrario tienes un escenario de crisis por un incidente de seguridad, tal y como le ocurrió a la Plataforma PlayStation Network de Sony, el CISO podrá pedir fondos, pero su credibilidad estará en entredicho.

Ésta, precisamente, es la encrucijada con la que se encuentra el CISO en la organización, con su credibilidad como factor clave, sabiendo que en el dinamismo de la seguridad la ausencia de incidentes juega por un lado en su contra (aparentemente es seguro lo que no lo es tanto y la inversión puede parecer como no prioritaria) y por otro lado a su favor, reflejando que su trabajo es “tan bueno” que los incidentes no se materializan.

Es clave, por tanto, la conciencia de seguridad en la Alta Dirección y el conocimiento de que la seguridad es un proceso dinámico que si se para es más vulnerable. Es necesario hacerle ver a la Dirección que la seguridad no solo se valora como buena o como mala en función de lo que pase sino también de lo que podría pasar y no pasa. Para ello, he ayudado a muchos CISO a crear esa conciencia y ese conocimiento en las organizaciones a través de la exposición de los nuevos riesgos o brechas que se están presentando en empresas similares y de las que no se es consciente. Esta exposición significa “poner en el tejado” de la Dirección la siguiente cuestión: ¿Estáis dispuestos a asumir estos nuevos escenarios de riesgo?

Es esta pregunta la que gana, casi todas las veces, la partida.