5 señales que identificarían a un buen director o gerente de ciberseguridad

Una organización que tiene un nivel de madurez en seguridad en el que todavía no se poseen políticas y procedimientos formales relacionados a la información, tendrá que avanzar en un proceso que deberá alinear los controles (firewall, antivirus entre otras) que se poseen con un plan o estrategia de seguridad.

Será necesario, contratar un Director o Gerente de Seguridad (CISO), que pueda evaluar los riesgos que presenta cada tipo de información, el impacto que pueda tener su divulgación (Confidencialidad), pérdida (No Disponibilidad) o alteración (Integridad), y ponderar la probabilidad de ocurrencia de un ataque contra ella.

Las 5 señales que identificarían a un buen director de seguridad son:

1. Debería haber iniciado su carrera en el área de Tecnología de Información. Requiere de un amplio conocimiento acerca de como funcionan todas las tecnologías involucradas: Almacenamiento, Redes, Base de Datos, entre otras.
2. Debería haber operado y configurado algunos controles de seguridad de la información. Independientemente de cuál haya sido el control (tecnología, marca o modelo), su configuración se centra en las mejores prácticas, que no siempre son seguidas por los técnicos o analistas de IT.
3. Debería haber sido miembro de un SOC (Security Operation Center) o estructura equivalente, en la que haya tenido que trabajar con correlación de registros de auditoría (logs), verificación de alarmas o análisis de eventos, para anticipar, seguir o contrarrestar los ciberataques.
4. Preferiblemente debería haber realizado alguna certificación reconocida en Seguridad de la Información, luego de haber pasado por las áreas operativas relacionadas. Así tendrá el marco de trabajo (conceptual y práctico) requerido para desarrollar una Estrategia o Plan de Seguridad.
5. No menos importantes, son las habilidades gerenciales y de manejo de presupuesto, por lo que se debería privilegiar a una persona que haya estado encargado de un departamento o unidad de negocio.

La ciberseguridad es similar a un juego sin fin, en el que siempre habrá que ponderar y mitigar riesgos; por lo que la responsabilidad de un CISO no debería ser otorgada a teóricos de las normativas sin experiencia operativa.