Identidad digital

A medida que los miembros de la junta se dan cuenta de lo crítico que es la seguridad y la gestión de riesgos, están haciendo a los líderes preguntas más complejas y menos matizadas. Están cada vez más informados y más preparados para desafiar la eficacia de los programas de seguridad de sus empresas.

Supongamos que usted trabaja en un sector altamente regulado como lo es el de la salud . Es responsable de los datos de cientos de miles de pacientes, y la protección de esos datos y el cumplimiento de las regulaciones es su principal prioridad.

Es el encargado de responder ante la junta y la gerencia por un ataque que paralizó las operaciones del hospital. Usted trabajó con expertos y diseñó una estrategia de ciberseguridad que se centró en una triada de acciones: Detectar-Prevenir, Responder y Reportar, que tienen como uno de sus ejes críticos la identidad digital frente a incidentes de ciberseguridad y atacantes.

Al presentar su estrategia, el CEO le aborda con varios interrogantes planteados por el cuadro directivo de su organización, de las que extraemos 5 preguntas probables que se deben responder con certeza:

Por qué se pregunta: Preguntas como esta son hechas a menudo por miembros de la junta directiva que no entienden realmente la seguridad y el impacto en el negocio. Es imposible estar 100% seguro o protegido. El papel del CISO es identificar las áreas de mayor riesgo y asignar recursos finitos para manejarlas en base al apetito del negocio.

Cómo responder: Puede ser algo como: “Considerando la naturaleza siempre cambiante del panorama de amenazas, es imposible eliminar todas las fuentes de información de riesgo. Mi papel es implementar controles para manejar el riesgo. A medida que nuestro negocio crece, tenemos que reevaluar continuamente cuánto riesgo es apropiado. Nuestro objetivo es construir un programa sostenible que equilibre la necesidad de protegerse contra la necesidad de dirigir nuestro negocio”.

Por qué se pregunta: Los miembros de la junta se encontrarán con informes de amenazas, artículos, blogs y presión regulatoria para entender los riesgos. Siempre preguntarán sobre lo que hacen los demás, especialmente las organizaciones de pares. Quieren saber cómo es el “clima” que vive la organización y la percepción del público.

Cómo responder: Lo primero es que hay que evitar adivinar la causa de un problema de seguridad en otra empresa: “No quiero especular sobre el incidente en la empresa XYZ hasta que haya más información disponible, pero estaré encantado de hacer un seguimiento con ustedes cuando tenga más datos concretos”. Considere la posibilidad de discutir una serie de respuestas de seguridad más amplias, como la identificación de una debilidad similar en el sector y cómo se está arreglando o la actualización de los planes de continuidad de la empresa con base en recomendaciones generales.

Por qué se pregunta: La junta sabe que aceptar el riesgo es una elección (si no lo hacen, es un desafío que el CISO debe resolver). Quieren saber que los riesgos de la compañía están siendo manejados. Los CISO deben estar preparados para explicar la tolerancia al riesgo de la organización para defender las decisiones de gestión de riesgos y la no existencia del 100% seguros.

Cómo responder: Explique el impacto empresarial de las decisiones de gestión de riesgos y asegúrese de que sus puntos de argumentación están respaldados por pruebas. Cualquier riesgo que esté fuera del nivel de tolerancia requiere un remedio para ponerlo dentro de la tolerancia en términos de impacto en el negocio, la reputación o lo legal. Esto no requiere necesariamente cambios drásticos en períodos cortos de tiempo, hay que tener cuidado de que esto quede claro para no afectar la percepción de costos. La junta buscará garantías de que los riesgos materiales se están gestionando adecuadamente, y de que los enfoques sutiles y a largo plazo pueden ser apropiados en algunos casos, por eso es importante tener siempre un plan listo con implementación en curso antes de dar solo respuestas.

Por qué se pregunta: La junta querrá asegurarse de que los líderes de seguridad y gestión de riesgos no se queden quietos. Los miembros de la junta querrán saber acerca de las métricas y el retorno de la inversión.

Cómo responder: Utilice un enfoque de cuadro de mando integral en el que la capa superior exprese las aspiraciones empresariales y el rendimiento de la organización frente a esas aspiraciones se ilustre mediante un sencillo mecanismo de semáforo. En la medida de lo posible, explique las aspiraciones en términos de rendimiento empresarial, no de tecnología. El rendimiento se sustenta en una serie de medidas de seguridad que se evalúan utilizando un conjunto de criterios objetivos. Hay que hablar de impactos y costos tangibles.

Por qué se pregunta: Se pregunta cuando un incidente o evento ha ocurrido y la junta ya lo sabe o el CISO les informa de ello.

Cómo responder: Hay que compartir lo que sabe y lo que está haciendo para averiguar más. Sobre todo lo que ya se está implementando. Sin duda, es indispensable reconocer el incidente, proporcionar detalles sobre el impacto comercial, describir los puntos débiles o las lagunas que deben resolverse y proporcionar un plan de mitigación y una de corrección. La responsabilidad de la supervisión de la seguridad y el riesgo sigue recayendo en el líder de la seguridad, pero la rendición de cuentas del negocio siempre tiene que definirse a nivel de la junta/ejecutivo, así que no todo es responsabilidad de una área.

Es altamente recomendable, que en un escenario de estos se llegue con acciones de implementación rápida y acciones de largo plazo. Entre las primeras, el control de acceso y uso de redes y plataformas críticas para un negocio o la operación de una organización es primordial, y para esto la adopción de distintas tecnologías de seguridad de la identidad digital es un buen principio.