Ciberseguridad no se trata solo de tecnología

La dirección de cualquier organización se enfrenta a la tarea de garantizar que su organización comprenda los riesgos y establezca las prioridades correctas. Esta no es una tarea fácil a la luz de la jerga técnica involucrada y el ritmo del cambio. No basta con centrarse únicamente en la tecnología para abordar estos problemas.

Gestionar eficazmente el riesgo cibernético significa poner en marcha la gobernanza adecuada y los procesos de apoyo adecuados, junto con la tecnología habilitadora adecuada.

Esta complejidad, sin embargo, no puede ser una excusa para que la dirección de la empresa transfiera la responsabilidad al área técnica. Es esencial que los líderes tomen el control de la asignación de recursos para lidiar con la seguridad cibernética, gestionar activamente la gobernanza y la toma de decisiones sobre la seguridad cibernética, y construir una cultura organizacional informada y bien informada.

Las organizaciones pueden reducir los riesgos para su negocio al desarrollar capacidades en tres áreas críticas: prevención, detección y respuesta.

Prevención: inicia con la gobernanza y la organización. Se trata de definidor e implementar indicadores fundamentales, incluida la asignación de la responsabilidad de hacer frente a las amenazas dentro de la organización y el desarrollo de la formación de concienciación para el personal clave.

Detección: a través de procesos claros y claves para el monitoreo de eventos e incidentes críticos, una organización puede fortalecer sus medidas de detección tecnológica. El monitoreo y la colección de datos forman un excelente instrumento para detectar patrones extraños en el tráfico de datos, encontrar la ubicación en la que se concentran los ataques y observar el rendimiento del sistema.

Respuesta: se refiere a la activación de un plan bien ensayado tan pronto como se presente la evidencia de un posible ataque. Durante un ataque, la organización debería poder desactivar directamente toda la tecnología afectada. Al desarrollar un plan de respuesta y recuperación, una organización debe percibir la seguridad cibernética como un proceso continuo y no como una solución tecnológica única.

Vivimos en un mundo imperfecto y, fundamentalmente, la confianza se trata de personas. La forma más efectiva de aumentar la confianza en todo su ecosistema es reconocer que siempre será un trabajo en progreso.

En mi experiencia, la forma más eficaz de generar confianza es escuchar, aprender y liderar con empatía. Cuando las personas le digan que los protocolos de seguridad son difíciles de seguir, no les demos lecciones, busquemos comprender y encontrar soluciones que se puedan adoptar. Animando a las personas a hablar sobre los errores y recompensando el comportamiento proactivo. La confianza dentro de una organización se multiplica cuando se da con generosidad y sabiduría, y cuando las personas se sienten escuchadas.

Desafortunadamente, algunos aspectos de la práctica de seguridad se han ganado una mala reputación a lo largo de los años, ya que los equipos de TI bien intencionados implementaron soluciones de seguridad que colocaron barreras entre las personas y la información que necesitan para hacer su trabajo. El hecho es que las personas encontrarán una manera de evitar las medidas de seguridad que no se alinean con sus necesidades comerciales. Siempre que los usuarios finales vean la seguridad como algo que se interpone en su camino, siempre enfrentaremos riesgos innecesarios. La seguridad efectiva proviene de tener herramientas y soluciones fáciles de implementar y seguir.

Finalmente, podemos concluir con que los puntos clave adicionales a las soluciones tecnológicas son: la conciencia de los riesgos en toda organización, el establecimiento del nivel de riesgo, la gobernanza y los procesos claramente definidos que permitan aplicar las medias de prevención, detección y respuesta apoyados algunos de estos con soluciones tecnológicas.