Alineando la ciberseguridad con las necesidades y requisitos empresariales

"La seguridad es nuestra máxima prioridad" es una de esas cosas que es como el nombre verdadero de un demonio en Warhammer: si todos en la organización supieran y entendieran qué era, entonces podrías realmente tener una ciberseguridad efectiva.

Dejando a un lado las referencias tortuosas, lo que intento decir aquí es que alinear la ciberseguridad con las necesidades empresariales es probablemente el principal requisito de una ciberseguridad eficaz que a menudo no cumplimos. Esto es algo con lo que la mayoría de los profesionales están íntimamente familiarizados - y pasan una buena cantidad de tiempo despotricando online. Ejemplos habituales:

• Ejecutivos que no desean que MFA esté activado para ellos y, a veces, sus equipos
• "No usaré una aplicación de autenticación en mi teléfono personal"
  • De acuerdo, aquí tienes una YubiKey
    • No quiero usar esta unidad USB, no me capacitaron para usar MFA, ¡desactívalo!

Podría seguir. Por supuesto, los responsables de la seguridad también somos culpables de hacer las cosas demasiado complejas para que todo el mundo las entienda. Los equipos de seguridad (¡o el administrador que lleva la gorra de seguridad esta mañana!) a menudo se centran demasiado en la "protección completa" tal y como ellos la definen, lo que provoca fricciones tanto con la empresa como con otros equipos de TI.

Las empresas existen para hacer negocios. La seguridad que ralentiza el negocio de ganar dinero se va a quedar lentamente relegada a un segundo plano. Esto podría ocurrir de varias maneras silenciosas pero efectivas:

• Recortando el presupuesto, haciendo imposible implementar algunas medidas de seguridad
• Reduciendo el alcance de los equipos de seguridad trasladando algunas responsabilidades a otras áreas de negocio
• Aumentando el enfoque en el cumplimiento, lo que lleva a seguridad de casillas de verificación

Todos estos cambios empresariales resultan en una postura de seguridad que no siempre protege a la empresa.

Cómo evitar errores comunes y mantenerse alineado

Alinear la ciberseguridad con los objetivos empresariales es fundamental. La seguridad tiene todo el derecho de proporcionar los quitamiedos que protegen a una empresa, pero debe evitar convertirse en un obstáculo o un freno que ralentice la búsqueda del crecimiento empresarial. En las grandes organizaciones, el éxito en los despliegues de seguridad a menudo depende de construir consenso y establecer políticas claras antes de implementar pruebas y recopilar comentarios. Es una lección que hemos escuchado repetidamente durante la última década, y sigue siendo válida: la seguridad nunca debe convertirse en un lastre para la velocidad del negocio. Eso significa trabajar de manera colaborativa con equipos de desarrollo reticentes y otras partes interesadas para alinearse con los objetivos antes de imponer controles sobre prácticas potencialmente arriesgadas.

Una vez que haya implementado la seguridad, la capacidad de desglosar su impacto en términos empresariales es una habilidad crítica. Ya sea el director financiero preguntando sobre el retorno de la inversión o un líder de línea de negocio tratando de redirigir el presupuesto de licencias hacia su herramienta preferida, poder cuantificar el valor de su solución implementada en términos monetarios hace que sea difícil cuestionarlo.

La publicación periódica de un informe de valor — mensual o trimestral — basado en registros y datos de tickets puede ayudar a traducir los logros técnicos en impacto empresarial. Por ejemplo, el bloqueo de correos electrónicos de phishing se puede presentar como "horas de productividad ahorradas a los empleados".

Sí, requiere esfuerzo y puede que no parezca un trabajo directo de seguridad, pero es esencial para demostrar su—valor a la empresa. Métricas como la reducción del tiempo de inactividad, la prevención de brechas y la protección de la confianza en la marca hacen que el liderazgo luzca bien durante las revisiones comerciales trimestrales (QBRs), y elevan su papel a largo plazo.

La ciberseguridad es vital para la supervivencia empresarial. No es solo un requisito de cumplimiento anual. Cuando los equipos de seguridad demuestran su retorno de inversión (ROI), ganan influencia y continúan recibiendo inversión.