Por qué el responsable de seguridad IT es un incomprendido

En este divertido post que hemos encontrado en un blog de IBM, su autor hace un guiño a los responsables de seguridad IT de las empresas y justifica la necesidad de darles un abrazo (como mínimo) para reconocer su labor. No en vano, se encargan de combatir violaciones de datos, atentados contra la propiedad intelectual y ataques dirigidos, entre otras cosas, a diario.

En resumen, que el trabajo del CISO (o responsable de seguridad IT) no es un trabajo fácil y sobre todo por estos motivos:

1 – «La gente no nos entiende»

«La seguridad es difícil y la gente de seguridad es única. Tienen una manera diferente de ver las cosas». Tratamos de escapar del fenómeno «techno», que no es importante para el negocio. La empresa necesita cosas blancas o negras, nada de teoría», CTO del sector seguros.

2 – Las habilidades y la fuerza de trabajo están en continuo cambio

No solo existe una escasez de los conocimientos necesarios para combatir las amenazas de hoy en día y un equipo de seguridad eficaz, sino que la propia industria se consideraba que no estaba lista para la profesionalización, ya que el espacio está en continuo cambio y las habilidades, necesidades y perfil de los trabajadores son impredecibles en un contexto estandarizado y profesionalizado.

3 – Es difícil demostrar el ROI

En nuestra propia evaluación del CISO, nos dimos cuenta que 2 de cada 3 profesionales de seguridad no tenían indicadores de impacto económico, ya que «o bien carecen de recursos o del requerimiento del negocio para hacerlo, o es demasiado complejo para calcular». También es muy difícil estimar los costes globales de las brechas de seguridad, pero la gente parece creer que es una cantidad alta.

4 – Todo el mundo los necesita

El equipo de seguridad tiene que tener la habilidad de influir en una empresa más allá de su gestor directo. Es decir, que tienen que encontrar la manera que obligar a la gente que no tienen nada que ver con la seguridad a seguir una serie de «mejores prácticas», y esta no es la tarea más fácil del mundo.

5 – La gente no quiere cambiar

El cambio de mentalidad, a menudo, puede ser uno de los elementos más difíciles para cualquier líder empresarial a la hora de impulsar a su equipo hacia adelante. El equipo de seguridad no solo tiene el reto de construir una cultura distinta dentro de su propia organización, sino impulsar la idea de que hay muchos riesgos en toda la empresa. Esta es una ardua tarea pero muy importante ya que los hackers utilizan con frecuencia «spear phishing» (suplantación de identidad) a la hora de comenzar sus ataques.

6 – Mucha gente está tratando de sabotearlos

Cada negocio ha de enfrentarse a su competencia, pero los que trabajan en seguridad están en otro nivel, ya que no solo tiene que hacer frente a sus competidores sino a otros perfiles como oportunistas, activistas sociales, delincuencia organizada, atacantes «patrocinados por el Estado» o incluso, terroristas. Y esto sin tener en cuenta a sus propios compañeros, ya sea por amenazas internas (es decir, quienes hacen clic en cosas prohibidas) o por gente que admite violar las políticas destinadas a prevenir infracciones.

7 – Todo el mundo les odia

No sorprende que los principales frenos al cloud y a la movilidad siguen siendo los riesgos asociados a la pérdida de datos y a la seguridad de la información pero eso es solo el principio. A los empleados no les gusta tener una formación obligatoria, no les gusta que les prohíban cosas y a nadie le gusta estar repitiendo estas cosas una y otra vez. Y por supuesto, cuando algo sale mal, todos aquellos que han admitido haber actuado mal desde el punto de vista de la seguridad, ya sabéis a quién van a culpar….

8 – Nunca van a ganar

«¿Qué has hecho por mí últimamente?». La mayoría de las empresas tendrán en mente esta pregunta centrándose en el siguiente producto o en el próximo trimestre, pero cuando tu trabajo consiste en resultados diarios, estos no se verán de forma tan espectacular como en otros departamentos. Y eso si tienes la suerte de detectar a la persona u organización infiltrada en tus sistemas.

9 – Nada puede ir mal

Y no solo en lo referido a los incidentes de seguridad. Intenta bloquear el tráfico de los ingresos y nóminas y a ver qué sucede.