6 preguntas que toda junta directiva debería plantear a su CISO

Tener una cultura de propiedad que priorice la seguridad puede desempeñar un papel importante en la reducción del riesgo cibernético para la organización. Considere si toda la organización tiene claro que la seguridad es un imperativo empresarial. ¿Existe un sentido de responsabilidad hacia la seguridad en todos los empleados, independientemente de su función? ¿La dirección refuerza una cultura de seguridad al tomar decisiones motivadas por la seguridad?

Como miembro de la junta directiva, ¿conoce las amenazas de ciberseguridad actuales y que tan preparada está la empresa para defenderse de ellas? De lo contrario, puede que sea el momento de desarrollar una relación más estrecha con el CISO. Si aún no lo han hecho, pídanle al CISO que informe a la junta con regularidad sobre las prioridades en materia de ciberseguridad de la organización. El CISO debe venir preparado para analizar estas prioridades en términos comerciales que enfaticen el riesgo, la resiliencia y la reputación de la organización, en lugar de ahondar en detalles técnicos.

Los datos son el recurso más valioso de la organización. Si no se protegen los datos adecuadamente en todo momento y en todos los lugares, tanto los clientes como los empleados podrían estar en riesgo. Por eso es fundamental que la empresa supervise y administre los permisos de acceso, de modo que garantice que los empleados solo puedan acceder a los datos que son esenciales para su función. La administración del acceso reduce la cantidad de personas que podrían dejar datos confidenciales expuestos, mientras que la supervisión del acceso permitirá a la organización de seguridad detectar las exposiciones de datos antes y con mayor precisión.

La administración del acceso de privilegio mínimo depende totalmente de cómo la organización clasifique sus datos. La empresa debe evaluar sus activos de forma regular para garantizar que los datos de mayor confidencialidad se clasifiquen correctamente y se restrinja su acceso solo a aquellas personas con los permisos de seguridad más elevados.

Para que sea eficaz, la seguridad debe ser un programa multifacético con muchas capas de protección. Tenga en cuenta de qué manera la organización protege su infraestructura, datos, aplicaciones, correos electrónicos, edificios físicos y centros de datos, e incluso los modelos de desarrollo y formación de IA. Todos estos elementos son capas de seguridad que pueden aumentar la resiliencia de la empresa si están bien protegidas o ponerla en peligro si no lo están.

Las pruebas periódicas de respuesta a los incidentes son esenciales para garantizar que todos sepan cómo reaccionar en caso de que ocurra un evento real. ¿Estará su organización preparada para un evento real? ¿Los planes de respuesta a incidentes ya están en marcha o aún deben crearse? ¿Los empleados han practicado lo suficiente el plan de respuesta a incidentes? ¿Cuál es el papel de la junta en esos planes?