CISO: Cómo Comunicar Efectivamente la Ciberseguridad a la Alta Dirección

Los CISO comprenden que el riesgo cibernético es, en esencia, un riesgo empresarial. Sin embargo, las juntas directivas no siempre lo perciben de esta manera. Durante años, los CISO han enfrentado desafíos para que las juntas comprendan la seguridad más allá de las palabras de moda. Muchos se sienten ignorados o malinterpretados. Pero con el aumento de las amenazas y el endurecimiento de las regulaciones, esto está cambiando. Las juntas directivas ahora esperan que los CISO hablen su idioma: riesgo, inversión e impacto.

1. Traducir el Riesgo a Términos Financieros

La mayoría de los miembros de la junta provienen de finanzas, derecho u operaciones, y piensan en términos de rendimiento empresarial y valor para los accionistas. Por lo tanto, es crucial que los CISO presenten los riesgos cibernéticos en términos financieros. Por ejemplo, explicar cómo un ataque de ransomware podría detener los ingresos durante una semana o cómo una infracción podría generar multas regulatorias.

James Turgal, vicepresidente de riesgo cibernético global y relaciones con la junta directiva de Optiv, sugiere utilizar modelos de cuantificación de riesgos como FAIR (Análisis Factorial del Riesgo de la Información) para expresar las amenazas en términos comprensibles para la junta. Esto implica estimar la frecuencia de ocurrencia de un evento adverso, su costo y el impacto en el negocio en términos de marca, ventas o cuota de mercado.

2. Enfocarse en Tendencias y Usar Lenguaje Claro

Las juntas directivas no necesitan todos los detalles técnicos, pero sí desean saber si la situación está mejorando o empeorando. Es útil mostrarles el progreso a lo largo del tiempo mediante métricas como la tendencia trimestral de intentos de phishing y tiempos de respuesta, o un cuadro de mando que compare los niveles de riesgo actuales con los del trimestre pasado.

Es importante evitar la jerga técnica. Por ejemplo, decir “delincuentes entraron ilegalmente” en lugar de “acceso no autorizado”. Además, respaldar la información con gráficos sencillos puede ser más efectivo que presentar hojas de cálculo llenas de números.

3. Alinear la Seguridad con los Objetivos Empresariales

Para alinear la ciberseguridad con los objetivos empresariales, los CISO deben comprender la misión principal de la empresa e identificar cómo la seguridad contribuye a dicha misión. Por ejemplo, si una empresa se está expandiendo a mercados internacionales, los CISO pueden apoyar ese objetivo obteniendo certificaciones de ciberseguridad como la ISO 27001 o alineándose con los marcos de privacidad del RGPD.

Además, relacionar las iniciativas de ciberseguridad con el valor para los accionistas es clave. Esto puede implicar aumentar la ciberresiliencia mediante copias de seguridad inmutables, planes de recuperación ante desastres y respuesta a incidentes, lo que ayuda a mitigar ataques que podrían dañar la marca y prevenir la volatilidad del precio de las acciones.

4. Anticipar las Preguntas de la Junta

Antes de cada reunión, los CISO deben preguntarse qué riesgos preocuparán más a la junta en ese momento, si habrá titulares recientes sobre los que les preguntarán y qué decisiones necesitan que tomen. Es útil planificar las actualizaciones teniendo esto en cuenta y practicar respuestas a preguntas como: “¿Estamos haciendo lo suficiente?”, “¿Cómo nos comparamos con nuestros pares?” o “¿Podría pasarnos esto a nosotros?”.

Después de cada reunión, presentar un resumen escrito de lo discutido, la retroalimentación recibida y las decisiones tomadas fomenta la responsabilidad y demuestra profesionalismo.

5. Construir Relaciones Fuera de la Sala de Juntas

Algunas de las conversaciones más productivas no ocurren en reuniones formales, sino en interacciones informales como tomar un café o llamadas individuales con miembros de la junta. Programar reuniones individuales para explicar los riesgos clave y entender cómo prefieren recibir información puede fortalecer la relación y facilitar futuras discusiones.

Colaborar con aliados clave en la junta, como el director financiero y el jefe de asuntos legales, puede ayudar a definir y refinar el mensaje, asegurando que las preocupaciones de ciberseguridad se comprendan y se aborden adecuadamente.

Al implementar estas estrategias, los CISO pueden mejorar significativamente la comunicación con la alta dirección, asegurando que la ciberseguridad se integre de manera efectiva en la estrategia empresarial y se tomen decisiones informadas para proteger los activos de la organización.