CISO: ¿qué es, cuáles son sus funciones y por qué contratarlo?

La transformación digital y la popularización del teletrabajo han dejado brechas de seguridad que pueden poner en riesgo la información de las empresas. En Latinoamérica, la mayoría de las empresas no tienen el conocimiento, tiempo y recursos económicos para hacer frente a las amenazas de ciberseguridad y al cumplimiento de certificaciones de seguridad informática de manera proactiva y continua.

En este contexto, figuras como el director de seguridad de la información y ciberseguridad cobran cada día mayor relevancia. A continuación, te explicamos cuáles son las características distintivas y funciones de estos ejecutivos, y por qué una startup o PYME debería considerar contratar uno.

¿Qué es un CISO?

CISO son las siglas de chief information security officer, que en español se conoce como «director de seguridad de la información y ciberseguridad». 

El CISO es la figura encargada de alinear la seguridad informática y ciberseguridad de una empresa u organización con sus objetivos principales. Protege a la organización de ciberataques y otros incidentes de seguridad, evitando además la pérdida de datos personales y empresariales.

Características principales

La figura del CISO debe contar con cierta formación para desempeñar su rol adecuadamente dentro de la estructura empresarial. Esto incluye formación en ingeniería informática o de telecomunicaciones, así como capacidad analítica y amplia experiencia en gestión de riesgos y seguridad de la información. Para ello, debe cumplir con una serie de características:

Presencia de ejecutivo

El CISO debe ser capaz de traducir los riesgos y vulnerabilidades de la seguridad de la información a un lenguaje que los directivos de la organización puedan comprender, y debe tener la habilidad de influir en ellos para tomar las decisiones que más beneficien a la empresa en materia de ciberseguridad.

Conocimiento comercial

Los objetivos de negocio de la empresa, así como sus operaciones comerciales y los datos confidenciales que derivan de estas son parte de los conocimientos que debe manejar un buen director de seguridad de la información. El CISO ve cada operación como un balance de riesgo y seguridad y debe llevar esos riesgos a su mínima expresión, evitando así interrupciones comerciales.

Conocimiento de seguridad y tecnología

Por supuesto, el CISO debe conocer la arquitectura de seguridad de la empresa, así como la configuración de sus sistemas de información. Debe ser capaz de convertir información técnica sobre los riesgos y vulnerabilidades de la organización en términos que el resto de los miembros de la misma pueda comprender.

Certificaciones 

El CISO debe conocer y dar cumplimiento a las normativas de seguridad de distintos índoles con la finalidad de obtener certificaciones de seguridad informática. Entre las certificaciones que puede poseer un CISO se encuentran:

• Certificado en seguridad de sistemas informáticos (CISSP)
• Auditor de sistemas de información (CISA)
• Gerente de seguridad de la información (CISM)
• Profesional certificado en seguridad en la nube (CCSP)
• Investigador forense de piratería informática (CHFI)
• Especialista certificado en cifrado (ECES)
• Certificaciones de hacking ético (CEH)

Diferencias entre CISO, CSO y CIO

Muchos puestos ejecutivos dentro de la organización de las empresas se denominan con siglas y es muy fácil confundirlas. Particularmente, es fácil confundir CISO con CSO y CIO, por lo que a continuación explicaremos las funciones de estas dos últimas figuras:

CSO (chief security officer)

Es el responsable de la seguridad corporativa de la empresa y sus funciones se enfocan en cumplir con la planificación estratégica establecida y realizar planes de continuidad del negocio. En este sentido, su visión debe ser mucho más amplia que la de un CISO. Sin embargo, en empresas pequeñas, muchas veces el cargo de CISO es absorbido por el CSO.

CIO (chief information officer)

Es el director de tecnologías de la información y se encarga de que las estrategias de la empresa estén alineadas con la transformación digital. Se asegura que se aprovechen los recursos tecnológicos para alcanzar las metas propuestas, balanceando esto con los costos de las nuevas tecnologías.

Funciones del CISO

A pesar de que cada empresa tiene su propio organigrama, las principales funciones que debe cumplir un CISO se basan en establecer y dirigir las estrategias de seguridad de la información y ciberseguridad de una organización. Para ello, debe: 

• Generar, implementar y supervisar el cumplimiento de políticas de seguridad de la información y ciberseguridad.
• Garantizar la seguridad y privacidad de los datos.
• Detectar y corregir vulnerabilidades.
• Supervisar la administración del control de acceso a la información.
• Asegurar una adecuada respuesta ante incidentes de seguridad cibernética de la organización.
• Supervisar la arquitectura de seguridad de la información de la empresa.
• Alinear la estrategia de ciberseguridad con los objetivos de la empresa.
• Educar a los miembros de la organización en materia de seguridad de la información.
• Crear e implementar una cultura de seguridad dentro de la organización.
• Continuamente realizar ejercicios de concientización dentro de la organización.
• Realizar ejercicios de simulaciones de phishing a los empleados.
• Encargarse de que los proveedores de la organización cumplan con ciertos estándares de seguridad de la información y ciberseguridad.
• Supervisar que los equipos de tecnología y desarrollo estén llevando a cabo estrategias de desarrollo seguro.
• Supervisar al equipo de DevOps (development operations u operaciones de desarrollo) o DevSecOps (development security operations u operaciones de desarrollo de seguridad) dentro de la empresa.
• Dar cumplimiento y seguimiento a cualquier certificación con la que cuente la organización (ISO 27001, ISO 27002, PCI DSS, SOC 2, etc.)

¿Por qué contratar un CISO?

La falta de un CISO nubla por completo la visión estratégica de la empresa, al no conocer el impacto real que puede ocasionar un incidente de ciberseguridad. Contratar un CISO permite:

• Crear un plan de ciberseguridad integral que se adapte a cada empresa, que permita prevenir los ciberataques y disminuir su impacto en el negocio.
• Evaluar periódicamente las medidas implantadas mediante análisis de vulnerabilidades, simulaciones de phishing y pentesting.
• Garantizar el cumplimiento normativo de seguridad de la información y adquirir certificaciones en materia de ciberseguridad.
• Crear conciencia dentro de la organización para priorizar las prácticas de seguridad cibernética.
• Dar cumplimiento a requerimientos de terceros, ya sea a nivel negocio o comercial y a nivel regulatorio (CNBV).
• Tener una ventaja competitiva con respecto a otras empresas.
• Dar más visibilidad a los ejecutivos e inversionistas de la organización en materia de ciberseguridad y seguridad de la información.

CISO as a service o CISO virtual: ¿Qué es y cómo ayuda a tu empresa?

En un mundo ideal, el CISO sería parte de los recursos humanos de toda empresa, independientemente de su tamaño o de su función. Sin embargo, es posible que las pequeñas y medianas empresas no puedan permitirse el gasto que esto implica.

Aquí es cuando es de gran ayuda optar por un CISOaaS (CISO as a service) o CISO como servicio, también llamado CISO virtual o vCISO, donde podrás contratar el servicio solo cuando lo necesite tu empresa en lugar de contratar el rol de un CISO.

CISO a tiempo completo vs. CISO as a service

Un CISOaaS es un profesional certificado en materia de seguridad informática, tal como un CISO a tiempo completo, pero que es subcontratado por una empresa para generar estrategias, tomar decisiones e implementar medidas de ciberseguridad. Usualmente operan de forma remota como parte de empresas que ofrecen servicios de ciberseguridad.

Al buscar mejorar las prácticas de seguridad de una empresa, se deben poner en la balanza las ventajas de contratar un CISO virtual en comparación a invertir en un CISO a tiempo completo. Ambas pueden ser opciones viables para algunas empresas, pero a continuación te desglosamos las principales ventajas de contratar un CISOaaS:

No debes preocuparte por retener ni entrenar personal

Evaluar y entrenar personal para que forme parte de un equipo de CISO a tiempo completo en la empresa puede ocupar mucho tiempo del personal de recursos humanos. Si tienes una PYME o una startup, quizás no sea factible hacer esa inversión de esfuerzos. En este contexto, la responsabilidad de entrenar nuevos empleados recae en el equipo del CISOaaS y no en tu empresa.

Costos más accesibles

Contratar a un CISO a tiempo completo implica, además de todo el proceso de reclutamiento, entrevistas y entrenamiento, el pago de salarios elevados (por tratarse de un puesto de la directiva) y otros beneficios de empleo, como seguro médico y vacaciones pagadas.

Por el contrario, al contratar un servicio de CISO virtual, sólo debes pagar el costo del servicio, que suele ser considerablemente menor que los honorarios de un CISO a tiempo completo, pues la empresa de ciberseguridad que ofrece el servicio se hace cargo del resto.

Experiencia y conocimientos en ciberseguridad

Conseguir profesionales de alto nivel y formar un equipo de respuesta eficiente puede ser un reto mayor si el personal de recursos humanos no tiene conocimiento sobre el área. Las organizaciones que ofrecen servicios de CISO se especializan en ciberseguridad y por ello tienen los conocimientos necesarios para llevar a cabo el trabajo y su experiencia con múltiples empresas les otorga gran capacidad analítica para entender las necesidades particulares de sus clientes.

Mayor flexibilidad 

Las PYMEs y Startups no siempre necesitan múltiples expertos en ciberseguridad en su nómina. Es más sencillo y eficiente contratar un servicio de CISO virtual, poner en marcha sus propuestas y luego, cuando el negocio crezca, se puede considerar contratar a un CISO a tiempo completo o realizar un acuerdo de varios años con la empresa del servicio.

De esta forma, se evita el tener que pagar salarios elevados cuando el negocio no tiene mayores requerimientos. Los CISOaaS se acoplan muy bien a los tiempos y necesidades de la empresa que los contrata.

Contacto con especialistas de distintas áreas

Tener un CISO a tiempo completo implica tener un equipo con un conjunto de habilidades en ciberseguridad que, aunque pueden ser amplias, están limitadas a sus conocimientos. Muchas empresas no serían capaces de pagar salarios de expertos a tiempo completo y necesitarían ayuda externa de cualquier forma.

Los CISOaaS no se limitan a su propia experiencia académica o técnica, sino que suelen tener contactos en múltiples industrias con conocimientos y experiencias que complementan las suyas. Por ello, tienen mayor facilidad en mantenerse actualizados en su campo y aportar los beneficios que eso implica.

CISOaaS en Delta Protect

El servicio de CISO que ofrecemos en Delta Protect resuelve el problema de las empresas que no tienen el presupuesto suficiente para contratar un CISO de tiempo completo, o que por ser una empresa muy pequeña no requieren de esta figura a tiempo completo.

Nuestro servicio también está disponible para empresas que ya cuentan con un CISO a tiempo completo, pues CISOaaS ayuda a tener una visión mucho más objetiva de la empresa, evitando sesgos laborales y cegueras de trabajo.

¿Cómo ayudamos a tu startup o PYME?

Nuestro servicio de CISO virtual incluye:

• Plan de continuidad del negocio o business continuity plan (BCP)
• Plan de recuperación de desastres o disaster recovery plan (DRP)
• Análisis de impacto del negocio o business impact analysis (BIA)
• Plan director de ciberseguridad
• Cumplimiento y certificaciones
• Sistema de gestión de seguridad de la información
• Políticas y manuales de ciberseguridad
• Concientización interna
• Simulaciones de phishing
• Reportes de evaluación
• Controles y procedimientos
• Análisis de vulnerabilidades mensuales y RECONs.

¿Qué beneficios ofrece nuestro CISOaaS?

¿Cómo empezar?

CISOaaS nos convierte en el brazo derecho de las empresas que necesitan dar cumplimiento a un tercero (regulador, corporación, inversionistas) o simplemente las empresas donde la alta dirección (dueños o ejecutivos) quieren llevar su ciberseguridad al siguiente nivel.

En Delta Protect simplificamos y automatizamos la ciberseguridad y el cumplimiento de tu empresa. Si quieres saber más sobre los beneficios de nuestra solución CISOaaS, agenda una demo de Apolo con nuestros expertos.