La evolución de los CISO: cómo ha cambiado su función

En muchas organizaciones, los directores de seguridad de la información (CISO) se centran principalmente, y a veces exclusivamente, en la ciberseguridad. Sin embargo, con las sofisticadas amenazas actuales y el panorama de amenazas en constante evolución, las empresas están cambiando las responsabilidades de muchas funciones, y la ampliación de la función de los CISO está a la vanguardia de esos cambios. Según Gartner, la presión regulatoria y la expansión de la superficie de ataque darán lugar a que el 45 % de las competencias de los CISO se amplíen más allá de la ciberseguridad para 2027.

Dado que el alcance de las responsabilidades de un CISO está cambiando con tanta rapidez, ¿cómo se adaptará el puesto para hacer frente a los retos cibernéticos del futuro?

Steve Katz se convirtió en el primer CISO del mundo cuando asumió el cargo en Citicorp/Citigroup en 1995. Desde el comienzo de su trayectoria como CISO, Katz se dio cuenta de que su función no era solo un puesto de TI, sino que consistía en servir a la empresa reduciendo el riesgo. En los años siguientes, otras organizaciones añadieron este nuevo puesto, y el CISO pasaba a depender del CIO en la mayoría de las estructuras organizativas. Aunque muchos CISO reconocían la verdadera naturaleza de su función, el resto de sus organizaciones no siempre estaban de acuerdo.

Con el tiempo, los CISO se vieron gestionando cuestiones ajenas a sus organizaciones, como la creación de asociaciones, la colaboración con proveedores y la gestión de transmisiones de datos externas. Sin embargo, muchas organizaciones consideraban que el puesto seguía perteneciendo principalmente al ámbito de las TI, con la responsabilidad principal de evitar que la empresa apareciera en los titulares debido a una violación o un ataque grave de ciberseguridad. Esto significaba que muchos CISO se centraban principalmente en el cumplimiento y la gestión de riesgos.

En los últimos años, el papel de los CISO ha experimentado otro cambio significativo ante el aumento de los ciberataques y los crecientes riesgos de interrupción del negocio, multas y daños a la reputación. Según el informe The CISO Report de Splunk, el 86 % de los encuestados afirma que el papel ha cambiado tanto desde que se convirtieron en CISO que casi es un trabajo diferente. El papel ha pasado de ser principalmente técnico a ser más bien de liderazgo empresarial.

En lugar de implementar la ciberseguridad, los CISO se centran ahora en ayudar a los líderes de la organización a comprender la importancia de la ciberseguridad y a dirigir el pensamiento estratégico para la ciberestrategia de la organización. Los CISO tienden un puente entre el lenguaje técnico que resulta fácil para el departamento de TI y el lenguaje empresarial de los altos directivos.

Este cambio también ha provocado una reestructuración de la organización, ya que el 47 % de los CISO ahora dependen directamente del CEO, según el informe de Splunk. Al hacer que el CISO responda ante el CEO en lugar de ante el CIO, la organización demuestra la importancia de la ciberseguridad como prioridad clave. Además, los CISO ahora tienen una mayor influencia al ocupar un puesto en la mesa ejecutiva y, a menudo, incluso en el consejo de administración.

Los expertos en ciberseguridad debaten si el puesto de CISO debe centrarse en los negocios o en la tecnología. A medida que avancemos, la respuesta se situará claramente en un término medio. Hoy en día, más que nunca, los CISO de éxito deben poseer una combinación poco común de conocimientos técnicos y empresariales para triunfar realmente en su puesto.

En lugar de limitarse a ayudar a la organización a hablar un lenguaje común en términos de ciberseguridad y riesgos, el CISO asumirá un papel de liderazgo más importante, haciéndose cargo de la estrategia de ciberseguridad de toda la organización. Con el aumento de su perfil y responsabilidad, el resto de empleados también se darán cuenta de la importancia de la ciberseguridad en las organizaciones.

Como uno de los puestos ejecutivos más recientes, que solo existe desde hace unas décadas, el CISO ha evolucionado considerablemente desde que Katz saltó a la fama. A medida que las amenazas se vuelven más sofisticadas y las empresas se digitalizan cada vez más, la interrupción de la actividad empresarial que provocan los ataques de ciberseguridad suele afectar a todos los aspectos de una empresa. Las organizaciones que se dan cuenta de la creciente importancia de la ciberseguridad y hacen evolucionar el papel de su CISO pueden crear una cultura en la que todos los empleados y ejecutivos consideren la ciberseguridad como parte de su trabajo.