El CISO en la empresa del siglo XXI

A medida que la empresa española da pasos más grandes en cuanto a innovación y adaptación a las nuevas Tecnologías de la Información, se van originando nuevos perfiles profesionales para hacer frente a las necesidades que la revolución digital ha generado. De sobra son conocidos los términos de figuras empresariales actuales como los CEOs, COOs, CMOs, CIOs, (CDO de forma mas reciente), etc. todos creados por sus siglas en inglés. Pero, a veces, resulta muy confuso conocer a la perfección cuál es exactamente la labor que desarrolla cada uno de ellos.

Una de las grandes preocupaciones actuales en el seno de cualquier corporación es la relativa a la protección de datos en Internet, bien sean datos de clientes o los que genera diariamente la propia organización. Es en estos momentos cuando la búsqueda de sistemas que nos aporten la máxima seguridad se convierte en una cuestión prioritaria. De aquí que surgiera hace años un perfil profesional como el CISO -Chief Information Security Officer-, más conocido en nuestro país por ser el director de seguridad de la información. Un rol que en la actualidad está adquiriendo vital importancia, ya que la relevancia de las TIC en la vida cotidiana es tal que los riesgos y las amenazas han crecido exponencialmente. Esta tesitura ha llevado, incluso, a empujar al Gobierno a tomar medidas; tanto que el 5 de diciembre de 2013 La Moncloa presentó la Estrategia de Ciberseguridad Nacional (ECSN), que define su objetivo global en “lograr que España haga un uso seguro de los Sistemas de Información y Telecomunicaciones, fortaleciendo las capacidades de prevención, defensa, detección y respuesta a los ciberataques”. De forma ligada con la ECSN, en estos últimos años se ha desarrollado un plan de protección de infraestructuras críticas en España (siguiendo la directiva de la EU 2008/114/CE) lo que obliga (la norma es vinculante) de forma directa a que las grandes empresas de los grandes sectores establezcan un modelo de seguridad standard y trazable por terceros. Esta área de actividad se gestiona y dirige desde el CNPIC.

En este contexto actual, la figura del CISO debe velar por la protección de la valiosa información que encierra en sí misma una compañía (propia o de sus clientes), implantando una firme estrategia de seguridad a la vez que supervisa las iniciativas y los nuevos programas de seguridad, a la vez que se van adaptando los requerimientos de seguridad a las necesidades cambiantes de la empresa.

La principal responsabilidad de un CISO es, en definitiva, salvaguardar la integridad de la estructura de las TI, así como la información propiedad de la compañía. Pero esta figura no tiene sentido si no se rodea de un personal sobresalientemente especializado que le ayude al seguimiento de posibles riesgos y brechas en la seguridad de la compañía. Una vez identificados estos aspectos, este camino puede empezar con la propuesta de soluciones: primero físicas, con la adquisición de hardware; para más tarde pasar al software y recursos de ciberseguridad. También es importante rastrear los incidentes de seguridad sufridos para establecer estrategias que mejoren lo establecido.

Por último, conviene recordar que la figura del CIO y la del CISO no están enfrentadas, todo lo contrario. Ambos deben trabajar conjuntamente para conseguir el mejor funcionamiento posible de la compañía. Los CIOs se encargan de gestionar y mejorar la infraestructura TI para que los empleados dispongan de mayor funcionalidad y mejor acceso. En cuanto a la actividad del CISO, bien es cierto que es habitual que la funcionalidad esté reñida, en muchas ocasiones, con la seguridad, por lo que se hace mucho más necesaria una colaboración entre ambos.

En un siglo XXI en el que el área de CyberSecurity será una de las grandes partidas presupuestarias de las empresas (y uno de sus principales preocupaciones), el papel de CISO se torna como el jugador clave para el cumplimiento de los objetivos de negocio de forma eficaz.