El CEO de Ciberseguridad (y por qué la mayoría de las empresas aún lo hacen mal)

El problema del CISO que nadie quiere admitir

Uno de los primeros pasos para crear un programa de ciberseguridad resiliente es nombrar a un Director de Seguridad de la Información (CISO).

El segundo paso, y posiblemente el más importante, es hacer que esa persona reporte directamente al CEO.

Sin embargo, grandes organizaciones aún omiten este paso. Garmin, por ejemplo, no contaba con un CISO cuando sufrió su enorme ataque de ransomware hace apenas unos años. Este no es un caso aislado; por el contrario, refleja una tendencia preocupante.

Cuando el liderazgo de ciberseguridad queda subordinado al departamento de TI, el riesgo permanece invisibles hasta que explota.

Un CFO antes de que existiera la contabilidad

Imagine pedirle a un CFO que proteja financieramente a la empresa antes de que existieran los Principios de Contabilidad Generalmente Aceptados (GAAP).

Sin estándar de reglas. Sin medidas universales. Sin un consenso sobre cómo se ve una buena gestión.

Esa es la realidad del CISO.

A pesar de los marcos de referencia, las directrices de cumplimiento y los estándares, la ciberseguridad aún carece de reglas universalmente aplicadas. Los CISOs se ven obligados a tomar decisiones que pueden poner fin a carreras, a menudo con información incompleta y prioridades empresariales que compiten entre sí.

La corta y brutal vida de un CISO

La expectativa de vida profesional de un CISO se parece más a la de un peleador de UFC que a la de un ejecutivo tradicional.

Es estresante. Es público. Y cuando algo sale mal, a menudo eres el primero en irte, incluso si la causa principal fueron años de poca inversión o advertencias ignoradas.

La ciberseguridad es uno de los pocos roles ejecutivos en los que el éxito se ve como si nada hubiera sucedido.

El CISO ya está actuando como un CEO

Durante mi tiempo como CISO de una importante bolsa de valores, el rol se parecía menos a “seguridad” y más a liderazgo ejecutivo.

Yo era responsable de:

• Proteger los sistemas internos
• Desarrollar mensajes de marketing relacionados con la seguridad
• Dar recorridos del SOC a clientes potenciales
• Hablar con miembros de la junta directiva e inversionistas
• Apoyar las conversaciones de ventas

A este punto, la pregunta no es si el CISO actúa como un CEO, sino por qué no se le trata como uno.

La ciberseguridad afecta a todos los departamentos

La ciberseguridad no es una función de TI. Es una función empresarial.

Como CISO, estás involucrado en:

• Finanzas y Contabilidad: Reportes SOX, prevención de fraudes
• Recursos Humanos: Amenazas internas, contrataciones, terminaciones
• Marketing: Exposición de metadatos, prevención de fraudes
• Ventas: Garantía de ciberseguridad, confianza de los clientes
• Cumplimiento y Riesgos: Seguros cibernéticos, auditorías
• Instalaciones: Acceso físico, controles ambientales

Tienes visibilidad de todo, y precisamente por eso los CISOs necesitan autoridad, no solo responsabilidad.

La compensación debe estar a la altura del riesgo

No se puede pedir a alguien que asuma riesgos que podrían poner en peligro la existencia de una empresa y pagarle como si ocupara un puesto de gerencia intermedia.

Los CEOs, CFOs y COOs reciben una compensación acorde con su responsabilidad sobre el desempeño financiero, la eficiencia operativa y el crecimiento. Los CISOs, sin embargo, son responsables de prevenir incidentes que pueden paralizar las operaciones, destruir la confianza en la marca, provocar acciones regulatorias y perjudicar permanentemente el valor de la empresa.

A pesar de esto, el liderazgo de ciberseguridad suele recibir una compensación como si fuera una función de apoyo.

Si las organizaciones esperan que los CISOs protejan la empresa, deben compensarlos de manera acorde con esa responsabilidad.

La compensación debe incluir

• Un salario comparable al de CEOs y COOs
• Paquetes de indemnización ejecutiva (“golden parachutes”) alineados con los del liderazgo ejecutivo
• Acceso a información privilegiada sobre la bolsa de valores ( ya sea Stocks o Options)

Si una brecha de seguridad puede eliminar miles de millones en valor, la compensación debe reflejar esa realidad.

El problema del éxito invisible

¿La parte más difícil de ser CISO?

Demostrar que estás haciendo un buen trabajo cuando no sucede nada malo.

El éxito en ciberseguridad es silencioso. No hay celebraciones por los ataques que nunca ocurrieron, ni titulares sobre las brechas que fueron prevenidas, ni paneles que puedan reflejar por completo el caos que no sucedió. Cuando todo funciona correctamente, el trabajo en sí se vuelve invisible.

Una vez me dijeron:

“Hemos tenido una suerte extraordinaria de no haber sufrido una brecha de seguridad en más de una década.”

Esa mentalidad es más común de lo que muchos líderes creen. La prevención suele confundirse con suerte, y la preparación se subestima hasta que una falla obliga a prestarle atención. La paradoja es brutal: cuanto mejor hace su trabajo un CISO, más difícil resulta demostrar todo lo que está haciendo.

Si anuncias tu éxito, te conviertes en un objetivo. Tanto para los atacantes como para la Ley de Murphy. Pero si permaneces en silencio, el liderazgo cuestiona tu valor.

Es una situación en la que nadie gana, a menos que las organizaciones redefinen cómo se mide el éxito en ciberseguridad.

Reflexiones finales

Los CISOs no son gerentes de TI ni funcionarios de cumplimiento que han fracasado.

Son los CEOs de la ciberseguridad.

Hasta que las organizaciones los traten como tales (a nivel estructural, financiero y cultural), las brechas de seguridad no serán una cuestión de si ocurrirán, sino de cuándo.

Y cuando eso suceda, el costo no será únicamente técnico.

Será existencial.