100 caminos al éxito #5: El "gobernador" de la seguridad

El pasado mes de septiembre la revista red seguridad publicó un artículo bastante interesante de Miguel García Menéndez titulado "El 'Gobernador' de la seguridad de la información: ¿una nueva cara en el equipo directivo?". Miguel, aparte de ser "buen tipo" es miembro de la Junta Directiva del capítulo de Madrid de ISACA (más conocido como ASIA) y lleva bastante tiempo trabajando en lo que se ha denominado IT Governance.

Aunque lo leí hace tiempo, he estado un poco [bastante] vago (como habréis podido observar) a la hora de escribir y me ha parecido muy oportuno retomar la actividad, comentando brevemente dicho artículo del que recomiendo su lectura detenida.

Básicamente, Miguel parte de la introducción de la figura del CSGO - Chief Security Governance Officer como responsable de "proporcionar el debido apoyo al Consejo de Administración y al resto de la alta dirección, a fin de maximizar la contribución hecha por las iniciativas de seguridad de la información al éxito de la organización "para desarrollar una serie de conceptos básicos como, por ejemplo, los KRI - Key Risk Indicator o el nuevo paradigma de "las 4 A" como evolución del tradicional CIA (confidencialidad - integridad - disponibilidad).

Todo ello para, al final, hacer la pregunta del millón: ¿No debería ser el CISO este CSGO? Y aquí es donde yo quería llegar.

En mi opinión, la disyuntiva no es si debería ser o no, sino cuándo lo será. Es decir, creo que la única salida que tiene el CISO para evolucionar en una organización es adoptar un enfoque de gestión de riesgos en el marco de una estrategia corporativa. De esta forma se puede aspirar a ese "proceso sistemático de gobierno del valor" y conseguir, además, un enfoque global que permita una gestión de riesgos mucho más eficiente evitando duplicidades y enfoques sesgados de cobertura para los mismos riesgos.

En definitiva, ¿para cuándo el CISO - CSGO?

100 caminos al éxito #4: El CISO nunca dice "no"

No se me entienda mal, no quiero decir que el Responsable de Seguridad sea un don-nadie... ni mucho menos, lo que quiero decir es que al CISO no le pagan para decir que "no" (ojo, tampoco que "sí"), eso es una labor que corresponde a Negocio.

No obstante, cada organización es un mundo y, por eso, es importante que cada uno sepa cual es su rol en la organización en la que está, para saber que es lo que se espera de él/ella.

En mi opinión, el CISO es un experto en el análisis de riesgos tecnológicos y su labor se circunscribe a poner de manifiesto cuales son los riesgos de las opciones presentadas por negocio para que, en conjunción con los beneficios que se esperan, se pueda tomar la mejor decisión posible. Por eso, no es nuestra labor decir que "no", sino que lo que se está proponiendo supone ciertos riesgos que han de ser sopesados para que, en caso de ser asumidos, seguir adelante o, si por el contrario, se considera que no son asumibles, hacer las modificaciones que corresponda.

Actuar de esta manera, evitaría que los responsables de seguridad tengan esa imagen interna de ser el/la que siempre dice "no" y que no tiene ninguna visión de negocio.

Fotografía tomada de www.librarybytes.com

100 caminos al éxito #3: "KISS"

Este fin de semana he comprado una lámpara de esas sobremesa para cuando cenamos en el jardín tener un poco más de visibilidad [la verdad es que esto no tiene la mayor importancia y supongo que os importará poco, pero bueno, es la verdad, así que, tampoco hay porqué ocultarlo]. El hecho es que cuando la saqué, vi que venía acompañada por sus correspondientes instrucciones de uso y al mirarlas, no pude por menos que sufrir un ataque de risa (si no entendéis porqué no tenéis mas que mirar la foto que adjunto de las mismas)... más sencillas, imposible.

Pero inmediatamente me encontré preguntándome: "¿Y para qué quieres más? Si es lo que hay que hacer, ¿no? Poner una bombilla, enchufarla y andando".

Así que, esa sería mi tercera recomendación para los CISO: Keep It Simple Stupid! (K.I.S.S.)

• Si una política puede ser de una página mejor que de tres.
• Si el análisis de riesgos se puede simplificar, mejor.
• Si el procedimiento puede tener tres pasos y una aprobación, mejor que quince pasos y siete aprobaciones.
• ...
  

En fin que la simplicidad tiene una potencia increíble y además ya sabéis que la complejidad es enemiga de la seguridad...

100 caminos al éxito #2: Evidencia la aportación de la seguridad al negocio

Una vez que hemos entendido cuál es nuestro rol en la organización, nos toca el siguiente ejercicio: Entender y hacer evidente cuál es la aportación de la seguridad al negocio.

Bajo mi punto de vista, esta es una de las principales causas de que luego surjan múltiples dificultades en la realización de iniciativas promovidas por el área de seguridad: el negocio no las entiende, no comprende qué les aportan esas iniciativas y cuesta mucho que las apoyen. Por eso, comentábamos hace bastante tiempo la paradoja que se producía en los Planes Directores de Seguridad cuando después de finalizarlos nos encontrábamos en la situación de tener que defender la ejecución de cada uno de los proyectos resultantes de dicho plan.

Para mi, hasta este momento, la mejor forma de demostrar esta aportación, esta relación con el negocio ha sido mediante el Árbol de Objetivos Intermedios proporcionado por la Teoría de las Limitaciones de Goldratt (que ya sabéis que es mi herramienta favorita) aunque otros prefieren métodos más clásicos como el Balanced Scorecard de Kaplan y Norton.

El Árbol de Objetivos Intermedios permite representar gráficamente la estrategia de la compañía y podemos aprovechar su potencia para demostrar al resto de la organización, donde la seguridad "engancha" con el negocio. De esta forma, podremos identificar las 4 ó 5 líneas estratégicas en las que enfocará su desempeño la función de seguridad, del mismo modo que lo hace "Negocio". Aunque parece simple, no lo es y cuando se consigue es realmente potente.

¿Qué opináis vosotr@s?

100 caminos al éxito #1: Entiende tu rol

Una de las primeras cosas que debemos hacer, si no lo has hecho incluso antes de incorporarte a tu puesto como responsable de seguridad (a.k.a., CISO) es: Enteder cuál es tu rol en la organización.

Seguro que tu jefe te habrá explicado lo que espera de ti, pero no es todo lo que debes saber, créeme. En todas las organizaciones siempre hay toda un conjunto de relaciones no explícitas que "mandan" casi tanto como las explícitas y, lo que se espera de ti como responsable de seguridad, también tendrás que extraerlo de ese conocimiento implícito. Y la única forma que se me ocurre para hacerlo es estableciendo buenas relaciones con todos los actores de la organización.

Para entender bien tu rol deberías ser capaz de tener respuesta a unas cuantas preguntas:

• ¿Mi rol ha de ser más operativo o más prescriptor? Es decir, me encargaré de operar los mecanismos de control o crearé las pautas para que sean administradas por otro grupo de la organización.
  
• ¿Cómo se orquestará la relación con los administradores de seguridad?
• ¿Qué tipo de relación se espera que establezca con las áreas de negocio?
• ¿Se espera de mi que sea el que frene todas las actividades arriesgadas que se produzcan o el que busque mecanismos para minimizar el riesgo de las mismas? Es decir, tengo que ser un héroe o un villano (por eso lo de Anakin).
  
• ¿Me tengo que limitar a hacer cumplir con la LOPD (y similares) o puedo establecer objetivos más ambiciosos? Ya sabéis, ISOs y cosas por el estilo...
  
• ¿De quién es responsabilidad "eso de la disponibilidad de los sistemas"?

No parecen muchas (tampoco deberían serlo, ¿no?), pero desde luego son básicas para que los pasos que demos a partir de este momento estén bien orientados y no nos generemos más problemas de los necesarios.

¿Cómo lo veis? ¿Me he dejado alguna?

Espero vuestros comentarios y nos "vemos" en la próxima entrega de la serie...