COMENTARIO
Los líderes en ciberseguridad buscan constantemente herramientas y estrategias para navegar en el complejo panorama de las amenazas digitales. Pero a pesar de ser constantemente responsables de salvaguardar los activos digitales, los directores de seguridad de la información (CISO) han luchado durante mucho tiempo con una deficiencia evidente en su arsenal de gestión: carecen de la supervisión de todas sus operaciones que les permitiría captar el panorama general y, al mismo tiempo, poder para ampliar rápidamente lo que es crítico.
La primera versión del Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología se desarrolló en 2014 en respuesta a una orden ejecutiva presidencial (EO 13636, Mejora de la ciberseguridad de la infraestructura crítica) destinado a ayudar a las organizaciones de infraestructura crítica a mitigar el riesgo de ciberseguridad. La orden ordenó al NIST que trabajara con las partes interesadas de la industria y el gobierno para crear un marco voluntario basado en estándares, pautas y prácticas existentes. El Marco de ciberseguridad 2.0 amplía sus cinco funciones básicas existentes (Identificar, Proteger, Detectar, Respondery Recuperar) y describe la función recién incluida, Regir.
Integral al CISO
La introducción de la función de gobierno significa un reconocimiento crucial de la industria de que la gestión eficaz es una parte integral del papel del CISO. En términos prácticos, la función de Gobernar cierra una brecha crítica en el conjunto de herramientas del CISO, permitiendo un enfoque más integral de la gestión. Anteriormente, los CISO enfrentaban desafíos al abordar preguntas e inquietudes clave que cruzaban sus escritorios, lo que generaba brechas en su capacidad para administrar de manera efectiva. No tenían forma de responder qué tan bien estaban aplicando las políticas, si estaban progresando o si su última inversión tuvo un impacto significativo en el desempeño general.
Por ejemplo, ¿cuál es el nivel de preparación frente a una amenaza específica? Hoy en día, comprobar la aplicación de las políticas y el estado de los controles suele estar impulsado por el rumor de que una amenaza es tendencia. Se trata de un enfoque reactivo que probablemente dé resultados demasiado tarde. Un enfoque más proactivo significa que los líderes de seguridad tienen visibilidad continua del desempeño de una variedad de controles y programas y pueden obtener fácilmente indicaciones tan pronto como se infringe una política. Hoy en día, el proceso de recopilar estos datos de varios propietarios de productos es tan frustrante que la mayoría de los CISO simplemente se dan por vencidos y viven sin ellos. Pero tenga la seguridad de que en el momento en que una amenaza toque a su puerta, buscarán estos datos con urgencia. Incluso si es demasiado tarde.
El proceso de adquisición de nuevos productos es otro ejemplo de dónde la gestión eficaz ha sido limitada. Por ejemplo, una vez que un CISO compra una nueva herramienta de protección de código, no hay una manera fácil de confirmar su inscripción, a menos que le pidan al equipo que asigne tiempo para enviar un informe. El rendimiento es un grupo de varias medidas: ¿la herramienta escanea correctamente? ¿Cubre todos los entornos relevantes? ¿Es suficiente el tiempo medio de resolución (MTTR)? ¿La mayoría de los eventos se manejan de forma automática o manual? ¿El equipo enfrenta desafíos no resueltos?
Considere que la protección de código es sólo una herramienta, dentro de una amplia gama de capacidades, sólo dentro del mundo de las vulnerabilidades. Multiplique esto por docenas de herramientas y preguntas en múltiples programas. Un proceso de gestión deficiente le cuesta a una organización decenas de meses y horas de trabajo. No es fácilmente repetible ni escalable.
Empoderar a los ejecutivos con transparencia y visibilidad
Esta falta de visibilidad de los aspectos operativos significa que los CISO esencialmente gestionan en la oscuridad, lo que dificulta la toma de decisiones informadas y la planificación estratégica. Se quedan con muchas herramientas, muchas narrativas de datos aisladas y todas las piezas que deben ensamblar para contar una narrativa más amplia.
La función de gobierno en NIST CSF 2.0 aborda directamente estas deficiencias, proporcionando un marco para una gestión eficaz. Para que el gobierno empodere a los CISO en sus funciones de gestión, debe incorporar varios atributos clave.
En primer lugar, la transparencia debe ser primordial, permitiendo a los CISO obtener información sobre el estado de implementación de los controles y evaluar el nivel de protección brindado por sus medidas de seguridad como una historia y una tendencia general, no herramienta por herramienta. Por ejemplo, la oficina del CISO define una nueva política según la cual un usuario sin autenticación multifactor (MFA) que continuamente no pasa la capacitación sobre phishing será bloqueado de los correos electrónicos corporativos. Para ver si la política se está aplicando, el CISO necesitaría puntos de datos de tendencias continuas de dos herramientas diferentes, y estos puntos deberían correlacionarse de forma continua.
En segundo lugar, esta capa de sabiduría debe ser impulsada por un sistema de métricas automatizado, no basado en hojas de cálculo. Este sistema trascendería los diversos lenguajes y mediciones asociados con diferentes herramientas y diferentes programas, asegurando un enfoque holístico sin perderse en la jerga técnica.
En tercer lugar, se necesita un método sencillo para traducir la intrincada pila de seguridad en términos comprensibles para las juntas ejecutivas. Esto aborda la creciente necesidad de que los CISO justifiquen las inversiones en curso en medio de restricciones presupuestarias.
Finalmente, el monitoreo continuo y en tiempo real del desempeño es esencial, lo que permite una visión perpetua de las tendencias de aplicación de políticas y garantiza que los CISO no solo sean reactivos sino proactivos en la gestión y mejora de sus medidas de ciberseguridad. Las hojas de cálculo son momentos estáticos en el tiempo y no operativos. Los CISO deben dar un gran paso adelante hacia una gestión simplificada y automatizada, tal como lo hizo Monday.com con los gerentes de proyectos.
En esencia, la función de gobierno es un reconocimiento de que la gestión eficaz no es sólo una expectativa sino una necesidad para los CISO. Con CSF 2.0, los CISO obtienen su sexto sentido para gobernar, gestionar y medir sus operaciones de ciberseguridad con un nuevo tipo de conocimiento y visión, y de manera más hábil, marcando el comienzo de una nueva era de liderazgo proactivo e informado.
- Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
- PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
- PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
- PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
- PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
- Fuente: https://www.darkreading.com/cybersecurity-operations/ciso-sixth-sense-nist-csf-2-govern-function
