Cuando entré por primera vez en el mundo de la ciberseguridad, el papel del director de seguridad (CSO) solía quedar relegado a un segundo plano, centrándose principalmente en las políticas, el cumplimiento normativo y las defensas técnicas. En la actualidad, el papel del CSO ha cambiado radicalmente.
Según el informe CISO de Splunk, el 86% de los CSO y CISO afirma que el papel ha cambiado tanto desde que empezaron que ahora es prácticamente otro trabajo. Esto se debe a que el CSO actual no solo tiene la tarea de proteger los datos de su empresa, sino que también facilita los resultados empresariales, influye en las decisiones de los clientes e incluso confiere una ventaja competitiva a la hora de generar ventas.
Para mantener esa influencia, los CSO deben demostrar cómo las iniciativas de seguridad contribuyen al crecimiento y la rentabilidad
BILL O’CONNELL, COMMVAULT
Mi propia trayectoria profesional refleja este cambio. Desde mis inicios en Deloitte, donde la ciberseguridad era una práctica incipiente, hasta mi actual cargo al frente de la seguridad en empresas globales como Roche y ahora Commvault, he sido testigo de primera mano de cómo las responsabilidades de los CSO se han ampliado hasta convertirse en líderes empresariales estratégicos, fundamentales para impulsar el crecimiento de la organización y la confianza de los clientes.
En aquel entonces, los CSO solían percibirse como expertos profundamente técnicos centrados en la infraestructura de red y las amenazas específicas. Era raro que se les invitara a participar en la planificación empresarial, la estrategia de productos o las conversaciones con los clientes. La seguridad solía considerarse un coste necesario más que un posible motor de crecimiento, y muchos CSO luchaban por ganar visibilidad más allá de los comités de TI o de riesgos.
En la actualidad, tengo la suerte de formar parte del equipo directivo de una empresa en la que la seguridad se tiene en cuenta en todos los niveles, desde la definición de la hoja de ruta de los productos y los plazos de comercialización hasta el establecimiento de los objetivos de facturación. Sin embargo, formar parte de las discusiones ejecutivas es solo el primer paso. Para mantener esa influencia, los CSO deben demostrar cómo las iniciativas de seguridad contribuyen al crecimiento y la rentabilidad.
Índice de temas
Creación del caso de negocio de la seguridad
A medida que las empresas se enfrentan a presupuestos más ajustados y a la incertidumbre macroeconómica, los CSO actuales deben replantearse cómo comunican y alinean la seguridad en toda la empresa. He descubierto que una de las formas más poderosas de demostrar el valor de la seguridad es vincularla directamente a una métrica que todos en la empresa entienden: los ingresos.
Hace unos años, me trasladé a Francia y rápidamente detecté un problema: nuestro equipo de seguridad global solo hablaba inglés, y sin embargo Francia era nuestro segundo mercado más grande. Los cuestionarios de seguridad tardaban semanas en procesarse, lo que retrasaba los acuerdos y frustraba a los responsables de ventas. Así que, en lugar de considerarlo un cuello de botella inevitable, elaboré un caso de negocio para contratar a un analista de seguridad que hablara francés. Mostré a la dirección cómo una contratación local aceleraría el ciclo de ventas con los clientes franceses y se amortizaría con creces en ingresos adicionales.
¿Fue esta una decisión de seguridad? Al contrario, se planteó como un acelerador de ingresos y pone de relieve cómo los CSO de hoy en día deben pensar más allá de los límites de la mitigación de riesgos y superar la reputación de la seguridad de la información como el «departamento del no». Con demasiada frecuencia, los CSO caen en la trampa de explicar las vulnerabilidades técnicas con todo lujo de detalles. Pero los responsables de departamento no tienen ni el tiempo ni los conocimientos especializados para dominar los entresijos de las CVE y los exploits de día cero. En su lugar, debemos traducir los riesgos de seguridad a un lenguaje que otros ejecutivos empresariales comprendan y puedan relacionar con los resultados empresariales.
Entonces, ¿qué medidas prácticas debe tomar un CSO para traducir eficazmente su experiencia técnica en valor empresarial estratégico?
Cuatro prácticas para un liderazgo de seguridad alineado con el negocio
Tanto si ya eres un líder en seguridad como si aspiras a serlo, aquí tienes cuatro estrategias que considero esenciales para convertirte en un verdadero socio del negocio:
1. Aprende el lenguaje de tu negocio: no puedes defenderlo eficazmente si no entiendes cómo genera ingresos. Yo leo regularmente los informes de resultados, escucho las conferencias con los inversores y entiendo las expectativas. Estos conocimientos financieros también ayudan a enmarcar las prioridades de seguridad en términos que interesan a los ejecutivos: retorno de la inversión, evitación de costes y crecimiento de los ingresos.
2. Comparar todo: la seguridad no existe en el vacío. Utiliza calificaciones de seguridad externas, ratios de personal y comparaciones de gastos para evaluar tu posición, no solo con respecto a ti mismo, sino también con respecto al mercado. He utilizado herramientas de evaluación comparativa desde que surgieron, y siguen siendo una parte esencial para comunicar si estamos a la vanguardia o nos estamos quedando atrás.
3. Realiza un seguimiento de las interacciones con los clientes: es importante medir las interacciones de los clientes en materia de seguridad. ¿Cuántas veces interactuamos? ¿Cuáles fueron las preocupaciones más comunes? ¿Convertimos los conocimientos en acciones? Al realizar un seguimiento de estas interacciones, puedes identificar de forma proactiva las tendencias, abordar los puntos débiles recurrentes y demostrar el impacto de la seguridad en la satisfacción y la retención de los clientes.
4. Aprende de tus compañeros, no solo de las conferencias: el panorama de las amenazas evoluciona a diario, y los CSO también deben hacerlo. Organiza jornadas trimestrales con organizaciones no competidoras donde se aborde la seguridad. ¿El resultado? Un aprendizaje sincero y colaborativo que fomenta la innovación y evita la complacencia. Estas sesiones entre pares suelen dar lugar a soluciones creativas, revelan puntos ciegos y ayudan a los CSO a comparar prácticas en tiempo real.
Los líderes de seguridad actuales deben ser comunicadores expertos, estrategas de alto nivel y, sobre todo, facilitadores de ingresos. Al alinear la seguridad con el valor empresarial, hablar el lenguaje del liderazgo y establecer relaciones de colaboración en toda la organización, los CSO pueden proteger no solo su organización, sino también su puesto en la mesa.
