Los directores de seguridad de la información no poseen pleno control sobre sus dominios, pero se les sigue pidiendo cuentas cuando las cosas van mal. Por consiguiente, un desequilibrio de poder que puede salir caro.

El título de director de seguridad de la información sugiere que el cargo conlleva un nivel de autoridad similar al que disfrutan otros “directores”, como puede ser el caso del consejero delegado o el director financiero. En este caso, la autoridad se refiere al mando sobre las operaciones de seguridad, la estrategia y la asignación de recursos de una organización.

Pero para la mayoría de los CISO, el verdadero mando supone una ilusión que puede dar lugar a frustraciones. Está claro que tienen la tarea de proteger la información más sensible de la organización, pero carecen de la influencia real para tomar decisiones esenciales de forma autónoma.

Para muchos, el concepto de mando —disponer de control sobre las decisiones, los recursos y el personal— es fundamental para un liderazgo eficaz. En sectores como el militar, el mando es sinónimo de responsabilidad; los líderes pueden ser considerados responsables porque están facultados para actuar.

Para el CISO, esta falta de mando, más que un reto, es un defecto fundamental. La realidad de su papel es que, a pesar de su condición de “jefe”, muchos carecen de poder para tomar decisiones unilaterales que afectan a la postura de seguridad de la organización. La autoridad para aprobar presupuestos, desplegar mitigaciones críticas y aplicar cambios de política suele estar fragmentada entre otros líderes ejecutivos.

0 seconds of 9 minutes, 1 secondVolume 0%

Las decisiones sobre inversiones en ciberseguridad, políticas e incluso dotación de personal suelen ser competencia del director financiero, el director de información o incluso el director general. Para los CISO, esta dinámica es similar a que se les pidiera proteger un castillo sin disponer del pleno control sobre sus defensas. Identifican riesgos, proponen soluciones y trazan planes estratégicos, pero la ejecución depende de la aprobación, los plazos y las prioridades de otras personas.

Los CISO se atascan “vendiendo” la importancia de la seguridad a sus superiores

La ausencia de mando convierte la toma de decisiones en materia de ciberseguridad en un proceso tedioso y a menudo lleno de frustraciones para los CISO. De ellos se espera de ellos que actúen con rapidez, que prevean y aborden los problemas de seguridad antes de que sean una realidad. Pero sin mando, están atrapados en un ciclo de “venta” de la importancia de las inversiones en seguridad, esperando la aprobación y confiando en otros para priorizar esas inversiones.

La necesidad constante de aceptación ralentiza los tiempos de respuesta y da lugar a oportunidades para que ocurra algo malo. En ciberseguridad, donde el tiempo lo es todo, estos retrasos pueden ser realmente costosos.

Más allá del tiempo, el concepto de mando es fundamental para la alineación estratégica y la capacitación. En las organizaciones en las que el CISO carece de verdadero mando, esta figura se ve obligada a actuar de forma reactiva en lugar de proactiva.

Por ejemplo, un CISO puede reconocer la necesidad de un software avanzado de detección de amenazas o para ampliar la formación del personal, pero no puede aplicar estos cambios de manera directa sin controlar el presupuesto y la asignación de recursos. En su lugar, debe justificar el gasto, convencer a las partes interesadas de su importancia y esperar que se alinee con otras prioridades empresariales. Por consiguiente, una dependencia que socava su capacidad de ser estratégicos y les obliga a validar constantemente por qué esta figura es necesaria.

A esta carga se añade el reto de hacer que el riesgo cibernético sea comprensible y tenga relación con otros miembros del equipo ejecutivo. El riesgo cibernético no es tan sencillo como el financiero u operativo, que pueden cuantificarse y evaluarse a partir de métricas e indicadores de rendimiento bien establecidos. Dicho riesgo no deja de ser abstracto o estar envuelto en nieblas, de ahí que de la noche a la mañana aparezcan nuevas vulnerabilidades, pues las amenazas evolucionan de manera constante y las repercusiones de un ciberataque pueden variar mucho.

Incluso sin plena autoridad, los CISO siguen cargando con la culpa

Para muchos ejecutivos no familiarizados con la ciberseguridad, la urgencia en torno al riesgo cibernético en ocasiones es difícil de entender, lo que deja al CISO es un estado perpetuo de tener que justificar sus estrategias. Este “convencimiento” no es una exigencia típica de otras funciones de la C-suite, y puede hacer que el trabajo del CISO parezca una continua batalla cuesta arriba.

Lo que hace que esta situación sea especialmente difícil es que, al final del día, los CISO siguen siendo responsables de los fallos. Cuando se produce una brecha o se expone una vulnerabilidad, la mayor parte de la culpa recae sobre ellos. Se espera que gestionen y prevengan estos incidentes, pero están abocados al fracaso sin la autoridad para hacer cumplir las medidas necesarias.

Una situación que pocos otros líderes de la C-suite experimentan es la siguiente: un CEO, por ejemplo, normalmente tiene el control sobre las decisiones relacionadas con la dirección estratégica y los recursos de la empresa, pero espera que los CISO prevengan las infracciones sin el mismo nivel de control. En definitiva, una figura con responsabilidad sin mando, lo que supone un modelo que no prepara a nadie para el éxito.

Esta falta de mando no sólo afecta a la seguridad de la organización, sino también a las relaciones del CISO, tanto internas como externas. A menudo tienen que relacionarse con miembros de la junta directiva, compañeros y partes interesadas para explicar iniciativas de seguridad, abordar posibles amenazas y debatir estrategias de mitigación de riesgos.

Una visible falta de autoridad puede erosionar la confianza en el CISO

Sin mando, sólo pueden asesorar, pero no imponer. A ojos de sus compañeros, puede hacer que el CISO no sea más que un mando intermedio en lugar de un líder; y para la junta directiva, puede parecer que el CISO es incapaz de cumplir plenamente su mandato. Con el tiempo, esto erosiona tanto la confianza en su función como su capacidad para obtener el apoyo que necesita de su organización.

Desde un punto de vista interno, la ausencia de autoridad de mando también puede afectar a la relación del CISO con su propio equipo. Lo que se espera es que los equipos de seguridad trabajen con urgencia, respondan a las amenazas en tiempo real e implementen nuevos protocolos según la necesidad del momento. Incluso puede ocurrir que la moral del equipo se resquebraje si se encuentran con que el CISO no tiene autoridad para tomar las decisiones finales sobre los recursos o imponer los cambios necesarios.

Esto es así porque los equipos prosperan con líderes que pueden tomar decisiones seguras y sin ambigüedades. ¿Qué ocurre cuando un CISO depende continuamente de otros cargos? El resultado es una disminución de la fe del equipo tanto en el CISO como en el mismo compromiso de la empresa con la seguridad.

Las consecuencias de esta falta de mando tienen repercusiones reales y tangibles en la postura general de seguridad de la organización. Si un CISO sabe que existe una necesidad crítica de herramientas de seguridad actualizadas o cree que se necesita personal adicional, pero se enfrenta a constantes obstáculos para garantizar esos recursos, puede dejar a la organización vulnerable a las amenazas. En ciberseguridad, esperar una aprobación o convencer a las partes interesadas puede ser la diferencia entre prevenir un ataque y hacer frente a una brecha.

Los CISO deben estar preparados para el éxito con un verdadero mando

Si las organizaciones quieren protegerse de verdad, el primer paso es reconocer que los CISO han de tener un verdadero mando. Los más eficaces son aquellos que pueden operar con plena autoridad sobre su dominio, libres de constantes obstáculos internos.

A medida que las empresas consideran cómo proteger sus datos de la mejor manera, deben preguntarse si están preparando de verdad a sus CISO para el éxito. ¿Les dotan de los recursos, la autoridad y la autonomía necesarios para actuar? ¿O simplemente les asignan una responsabilidad de alto riesgo sin el poder para cumplirla?
Hasta que las organizaciones no empiecen a tratar a los CISO como verdaderos líderes con mando sobre su dominio, la ciberseguridad seguirá siendo un campo precario y lleno de desafíos, y que se define tanto por sus barreras como por sus responsabilidades.