El rol de CISO es una función clave en una organización ya que de manera horizontal es la responsable de asegurar que la estrategia de seguridad de la información y ciberseguridad esté debidamente alineada a la habilitación y cumplimiento de los objetivos de negocio en todas y cada una de las áreas de la estructura organizacional que los soportan.

Dentro de sus funciones se encuentran:

• Diseño, implementación y medición de la efectividad de la estrategia de seguridad y ciberseguridad de la información.
• Evaluar, monitorear y medir el nivel de riesgo de una organización identificando con claridad sus amenazas (actores, motivaciones y vectores de ataque)
• Implementar y dar continuidad al cumplimiento regulatorio.
• Diseñar la arquitectura de seguridad de acuerdo a las necesidades actuales y con crecimiento y tendencia al crecimiento y a los objetivos de negocio a mediano y largo plazo.
• Coordinar y orquestar a todas las áreas de la organización para diseñar y ejecutar planes de:
  • Respuesta a incidentes de seguridad
  • Continuidad del negocio

¿Es necesaria la presencia de CISO en una organización?

En general el tema presupuestario es un tema crítico en cualquier organización no importando su tamaño, sin embargo en aquellas de mayor tamaño suele ser más común la creación de un área y una estructura organizacional enfocada a temas de seguridad y ciberseguridad de la información, sin embargo aquellas organizaciones micro, pequeñas y medianas normalmente suelen “ahorrar” en sus presupuestos estas figuras y funciones, pensando entre otras cosas lo siguiente:

• “El tamaño de mi organización no es relevante para ser objetivo de un ataque de este tipo”
• “Aún no tengo los ingresos relevantes que puedan llamar la atención de un atacante”
• “En mis bases de datos tengo información de mis clientes, sin embargo está no es relevante para ningún atacante”
• “Ampliar la estructura organizacional a funciones relacionadas con seguridad o ciberseguridad encarecerán mis precios y me pondrán fuera del mercado”
• “A mis clientes, usuarios o proveedores no les es relevante que tenga implementados controles de seguridad por el tamaño de mi organización”

El ser víctima de un incidente de seguridad puede tener diferentes impactos en cualquier tipo y tamaño de organización, encontrándose entre estos:

1. Que la privacidad de los datos de mis clientes, aliados y proveedores, sea divulgada perdiendo la confianza de estos que puede derivar en cancelación de contratos.
2. Que mi infraestructura sea utilizada con fines de minería de datos sin que me de cuenta, pero si afectando el rendimiento y la efectividad de desempeño de mis sistemas de información
3. Que información propia de mis procesos de negocio sean divulgados en la competencia haciendo que mi organización pierda contratos, clientes, innovaciones, etc.
4. Que en caso de ocurrir un incidente de seguridad que pueda ser evidente en la organización a pesar de la carencia de controles, la organización no sepa como reaccionar correctamente desde el punto de vista de contención, respuesta, contención y medición del impacto cualitativo y cuantitativo.

#HablemosDeSeguridad
Por: Ana Cecilia Pérez