CEO, CISO y CIO responsabilidades y comunicación dentro de la empresa

Cuando se habla de un problema dentro de la empresa, derivados del escenario de la ciberseguridad, salen a figurar personajes como el CIO y el CISO quienes se exponen a ser despedidos por un incidente de este tipo.

La realidad es que en muchos casos no sería así. El CIO y el CISO tienen el mismo porcentaje de responsabilidad para atender los elementos de riesgo que se puedan relacionar con la información de la empresa, así como de los sistemas a través de los cuales se gestionan, proponiendo planes de acción, programas y estrategias con el objetivo de resguardar bien la información.

De la misma forma deben trabajar con los altos directivos, para estar preparados de la mejor manera delante de los cuestionamientos de un comité ejecutivo o directivos, si alguna situación llegará a presentarse.

En el caso de un CEO, la probabilidad de que sea despedido de su organización es más alta cuando se presenta un incidente de ciberseguridad y por supuesto los clientes y su información quedan expuestos o son filtrados.

Aunque el mayor responsable de minimizar los riesgos en ciberseguridad internamente es un CISO y/o un CIO, en el tema de la práctica quien sufre las consecuencias puede llegar a ser un CEO.

CSO (Chief Security Office)

Su principal función es más de seguridad en tecnología y puede estar reportando al CIO en el organigrama, mientras el CISO está más enfocado en el negocio. Las reglas dictan que éste último debería estar reportando al CEO en el organigrama, ya que la letra I de su acrónimo (CISO) determina que trabaja más en la perspectiva de la información corporativa que solo en lo tecnológico.

Existen ocasiones en las que la forma en que un CIO/ CISO manejan su gestión del riesgo dentro de sus áreas de responsabilidad, lejos de ayudar a un alto directivo a entender lo que realmente sucede a nivel tecnológico dentro de la empresa que dirige puede hacerlo más difícil de entender.

El CIO debe funcionar como el punto de equilibrio entre el desempeño de los sistemas y la necesidad de la organización para gestionar sus procesos y sus negocios en tecnología. Un CIO debe:

• Cuidar los factores de riesgo que impactan a la organización.
• Busca siempre minimizar los incidentes de ciberseguridad para proteger los sistemas y la información.
• Debe entender la naturaleza del negocio para ofrecer soluciones costo-eficientes, adaptadas al presupuesto, a los objetivos estratégicos del negocio y a la realidad financiera de la empresa.

El CISO debe involucrarse y entender los objetivos estratégicos del negocio para que implementen políticas y procedimientos sobre los sistemas de información que los usuarios de esos sistemas puedan seguir sin que por ello obstaculicen, retrasen o impidan la consecución de los objetivos financieros.

Durante muchos años, el área de TI era señalada como responsable de los problemas de ciberseguridad, fue hasta hace poco que empezó a ser considerado como un problema del negocio lo que deriva en ser un problema para el Comité Ejecutivo, CEO y accionistas.

Las pérdidas millonarias que los fraudes cibernéticos han ocasionado son las principales evidencias.

El resultado de esos fraudes, puede no sólo se reduce al departamento de TI, también afecta de forma directa a los activos de la empresa afectada y que finalmente se reducen en pérdidas de rentabilidad o en un daño a la reputación de la empresa, la cual puede verse abruptamente afectada en negocios, imagen y credibilidad en el mercado del cual forma parte.

Es muy importante remarcar y definir la importancia que tiene la comunicación entre las figuras que tienen responsabilidad en la dirección de una empresa. Es decir el CIO con su liderazgo en el área de tecnología y el CISO con su aporte al resguardo y uso adecuado de la información, así como de la dirección de una apropiada estrategia de la información basada en alguna de tantas metodologías y marcos de referencia dentro de los cuales puede destacar el SGSI, alineándose al ISO27000 y al Comité Ejecutivo, entiéndase el director general de la empresa y accionistas.

En conclusión la comunicación entre estas figuras corporativas es vital para lograr el balance entre la tecnología, los objetivos del negocio y el riesgo cibernético.

Los CIO ́s, los CSO’s y los CISO ́s deben crear, como parte de sus responsabilidades y preferiblemente de forma conjunta, estrategias que permitan disminuir brechas de ciberseguridad, pero solo un bajo porcentaje de ellos considera que tales estrategias son lo suficientemente robustas como para detener los embates del cibercrimen.

Es en ese momento cuando la comunicación entre áreas funcionales se hace fundamental en el resguardo de la información y de los sistemas informáticos de una empresa.

Para los altos directivos de cualquier empresa, representa un riesgo muy alto no contar con una estrategia clara y precisa de ciberseguridad o, mejor aún, con un Sistemas de Gestión de Seguridad de la Información (SGSI), para sus organizaciones, que cuente con un plan de comunicación recurrente y con una política de revisión y auditorías constantes.

Una empresa menos preparada e indefensa es más susceptible para los ciberdelincuentes.

Los delincuentes informáticos buscan una falla de ciberseguridad, las cuales se refieren a la tecnología, y errores en los procesos de la organización, que se refieren más a la seguridad de los datos y/o fallas u oportunidades de equivocarse o mal obrar por parte de los colaboradores.

Si su personal en general no es consciente de los riesgos cibernéticos, entonces su empresa no está segura.

Quiénes funcionan como responsables de la tecnología deben tener la capacidad de poner el riesgo cibernético en un contexto empresarial para que se entiendan de mejor forma las decisiones que debe toma con la finalidad de lograr los objetivos del negocio al tiempo que minimiza tales riesgos.