¿Qué es el CISO? Funciones y tareas del responsable de seguridad de la información

Definición de CISO

El director de seguridad de la información de una compañía, o CISO por sus siglas en inglés (Chief Information Security Officer), es el encargado de proteger y mantener la seguridad de la información y Ciberseguridad ante posibles fugas o ciberataques. Se trata de un rol desempeñado a nivel ejecutivo cuya función principal es la de alinear la seguridad de la información con los objetivos de negocio, garantizando la adecuada protección de la información de la empresa dentro de las posibilidades humanas, técnicas y económicas de cada una. Continúa leyendo nuestro post para conocer en detalle ¿qué es el CISO?.

Requisitos del Responsable de la seguridad de la información en la empresa

Considerando el incremento de amenazas, riesgos y oportunidades digitales (IT/OT/IoT) que sufren las empresas a diario, no es de extrañar que en las compañías surjan nuevos roles continuamente. Si a eso le sumamos que hoy en día la información es el activo más importante para las empresas, comprenderemos más fácilmente que el papel del CISO para cualquier organización es fundamental

Principales Tareas del Director de seguridad de la Información. CISO

Generalmente, el rol del CISO incluye las siguientes responsabilidades:

• Generar e implantar políticas de seguridad de la información / Ciberseguridad.
• Garantizar la seguridad y privacidad de los datos.
• Supervisar la administración del control de acceso a la información.
• Supervisar el cumplimiento normativo de la seguridad de la información.
• Responsable del equipo de respuesta ante incidentes de seguridad de la información de la organización.
• Supervisar la arquitectura de seguridad de la información de la empresa.
• Alinear la estrategia de ciberseguridad con los objetivos de la empresa.

• Definir la normativa de seguridad y procurar que se cumpla.
• Prevenir, detectar y analizar vulnerabilidades.
• Informar y reportar a dirección cualquier cuestión relacionada con la ciberseguridad.
• Dar respuesta rápida ante cualquier incidente de ciberseguridad.
• Formar, concienciar y sensibilizar a la organización en materia de seguridad de la información.
• Establecer e implementar políticas relacionadas con la seguridad de la empresa.
• Garantizar la privacidad de los datos de la empresa.
• Llevar a cabo el descubrimiento electrónico y las investigaciones forenses digitales.

Certificaciones CISO. Acreditación oficial como Chief Information Security Officer

La formación básica o general no es suficiente para el desempeño del puesto. La mayoría de los aspirantes a CISO poseen un gran conocimiento técnico, pero no la habilidad de gestión necesaria para el rol.

De ahí surgieron algunas certificaciones internacionales como Certified Chief Information Security Officer (CCISO), con el objetivo de suplir sus carencias y potenciar sus fortalezas.

Desde Bidaidea Academy impartimos el Curso CISO proporcionando los conocimientos que todo responsable de seguridad y aspirantes a este rol deberían tener para preparar y defender sus sistemas IT / OT / IoT, tanto tecnológica como de negocio.

Con esta formación acreditada por Bidaidea, eres capaz de:

• Conocer el rol de un CISO en una compañía.
• Alinear las necesidades de seguridad de la información con los objetivos y riesgos del negocio.
• Conocer las características del dominio de Gobierno.
• Conocer las características del dominio de auditoría y controles.
• Conocer las características del dominio de gestión de proyectos, tecnología y operaciones.
• Conocer las características del dominio de competencias clave de seguridad de la información.
• Conocer las características de planificación estratégica y financiera.

¿Cuál son las principales funciones de un Responsable de Seguridad en la empresa?

Para ampliar la definición, qué es el CISO, deberemos tratar su rol en la empresa. Se trata de un rol que se desempeña a nivel ejecutivo y cuya función es alinear la seguridad de la información / Ciberseguridad con los objetivos que tiene un negocio.

A pesar de que la función del CISO ha sido meramente técnica hasta hace poco, hoy en día es mucho más que eso, ya que está más integrado en los procesos de negocio, realizando labores de organización, coordinación, supervisión y definición de todos los aspectos de la seguridad de la información en la organización.

Cabe destacar que, a consecuencia del aumento de ciberataques y vulnerabilidades en los últimos años, los directivos de todo tipo de compañías han tomado conciencia sobre la importancia de la ciberseguridad y, conscientes de que el empleado en muchas ocasiones es la puerta de entrada a ciberataques, han implantado formaciones en materia de ciberseguridad, consiguiendo así que sus profesionales pasen de ser la puerta a ser la barrera de entrada.

Sin embargo, no debemos olvidar que esta no es la única amenaza posible y, por ello, es necesario que las organizaciones cuenten con la figura del CISO, ya sea mediante la contratación de nuevos especialistas o mediante la reorganización de la compañía.

¿Es lo mismo Virtual CISO que CISO?.

¿Qué es el Virtual CISO?

El CISO virtual desempeña prácticamente la misma función que un CISO, la única diferencia radica en la procedencia de esta figura. El CISO (no virtual) es un profesional de la propia empresa, mientras que el Virtual es contratado de forma externa, ya sea un freelance o una empresa subcontratada, siendo normalmente en este último caso, un conjunto de personas que operan de forma remota a tiempo parcial. El medio más común a la hora de comunicarse con estas empresas subcontratadas son las videoconferencias.

Ahora ya tenemos claro, qué es el CISO y qué es el Virtual CISO.

Tareas fundamentales del Responsable Virtual de la Seguridad de la Información

Los Virtual CISO son profesionales con gran experiencia en el sector y en multitud de escenarios, funcionando como un consultor de dirección para todo lo que tenga que ver con la seguridad de la información. Entre sus tareas encontramos:

• Diseñar y establecer la Visión de Ciberseguridad de las organizaciones.
• Establecer, diseñar y priorizar la estrategia de Ciberseguridad para cumplir con la visión y los objetivos de la organización.
• Establecer Planes de Acción priorizados para disminuir los riesgos, y evaluar de manera continua los nuevos peligros y vulnerabilidades, generando un proceso de mejora continua en Ciberseguridad.

Puesto que la demanda de esta solución va en aumento, cada vez son más las empresas que ofrecen el servicio de Virtual CISO, ayudando a otras compañías a desarrollar, implementar y mantener un programa efectivo de seguridad de la información.

Funciones de las empresas que contempla la figura del Virtual Chief Information Security Officer

Estas empresas normalmente ayudan a:

• Desarrollar e implementar políticas y procedimientos de seguridad de IT/OT/IoT.
• Ayudar a mantener el cumplimiento de la diferente normativa legal y estándares de seguridad aplicables en la organización. De esta forma, con un único servicio, y aprovechando las sinergias y similitudes entre la distinta normativa, se podría abarcar el cumplimiento normativo de seguridad de la información de una forma homogénea e integral. Estas normativas pueden ser:
• Normativa de protección de datos personales (soporte al DPO).
• Esquema Nacional de Seguridad (ENS).
• Sistema de Gestión de la Seguridad SGSI (ISO 27001).
• Continuidad del Negocio y Sistema de Gestión de la continuidad SGCN (ISO 22301).
• Normativa sectorial de seguridad (PCI-DSS, solvencia II…).
• Asistir en el desarrollo, implementación y mantenimiento del Programa de Seguridad de la Información de una organización:
• Realización de análisis de riesgos de seguridad.
• Diseño de planes de seguridad.
• Soporte a la gestión de vulnerabilidades.
• Control y seguimiento de proyectos de seguridad.
• Informar al liderazgo ejecutivo de las amenazas actuales y las actualizaciones de cumplimiento para ayudarlos a tomar decisiones comerciales más inteligentes:
• Realización de auditorías técnicas y hacking ético.
• Formación.
• Soporte a la certificación de estándares.

 Diferencia entre la figura del CISO Virtual (vCISO) y el CISO

La gran diferencia entre ambas figuras está relacionada con el coste para la empresa, y es que, hay estimaciones que señalan que el coste de los vCISO constituye entre un 30 y un 40 % de ahorro respecto al coste de un CISO.

Otra ventaja de los vCISO es que no requieren formación. Están plenamente capacitados para comenzar el trabajo de inmediato, sin tener, además, que seguir la política interna de la empresa. En este modelo, se trata únicamente de resultados, y los vCISO que valen la pena proporcionarán KPI e informes razonables.

Las startups y las empresas en crecimiento son los candidatos perfectos para el modelo de recursos externos, y son la mejor opción para las pequeñas y medianas empresas (PYMES), para complementar el equipo de gestión existente o simplemente como una solución provisional. Estas empresas suelen contar con profesionales muy cualificados para el desarrollo del negocio, pero es altamente probable que en algún momento necesiten ayuda para comprender la multitud de amenazas, riesgos y oportunidades a las que se enfrentan día a día, así como para comprender cuestiones relacionadas con la legalidad o la definición de estrategias y planes de acción adecuados para las necesidades de esta nueva era digital.

Más ventajas de la figura Virtual Ciso en la empresa

Como hemos comentado, la mayor ventaja de contratar un CISO virtual radica en la rentabilidad, pero existen muchas otras:

• Expertise: los vCISO poseen grandes conocimientos y experiencia en materia de negocios y seguridad, lo cual les permite comenzar a trabajar de manera inmediata desde el momento de su contratación.
• Flexibilidad: poseen una alta capacidad de adaptación de sus servicios para complementar las capacidades internas de la empresa, con grandes habilidades especializadas para cubrir áreas específicas que no cuenten con las capacidades o habilidades disponibles a tiempo completo.
• Ahorro de costes: muchas empresas no precisan de un CISO a tiempo completo. De esta manera, el vCISO se puede contratar para un servicio específico acorde con las necesidades de seguridad de la organización, sin tener que contar con personal interno con el conocimiento especializado que requiere cada norma estándar.
• Escalabilidad: adaptación del servicio en función de la carga de trabajo de la empresa.
• Conocimiento: al tratarse de un equipo de personas, cada miembro aporta su conocimiento, consiguiendo así el conocimiento técnico necesario para dar medidas, políticas y procedimientos que deben implementarse.
• Relaciones consolidadas: a menudo, el equipo que conforma el servicio de vCISO tiene una red de contactos integrada y poseen muchas conexiones con proveedores y profesionales de la industria, lo cual posibilita que el crecimiento sea más eficiente y rentable.
• Continuidad: el servicio vCISO de una organización cuenta con varios especialistas experimentados como respaldo mutuo, por lo tanto, no hay rotación de personal o períodos en los que no se tiene a un CISO a bordo.