Los CISO conocen su campo. Entienden el panorama de amenazas. Saben cómo crear un sistema de seguridad sólido y rentable. Saben cómo dotar de personal a su organización. Entienden las complejidades del cumplimiento. Entienden lo que se necesita para reducir el riesgo. Sin embargo, una y otra vez surge una pregunta en nuestras conversaciones con estos líderes de seguridad: ¿cómo hago que los responsables de la toma de decisiones empresariales tengan claro el impacto del riesgo?
Las juntas directivas quieren saber cómo el riesgo afecta a los ingresos, la gobernanza y el crecimiento. Tienen una capacidad de atención limitada para las listas de vulnerabilidades o los detalles técnicos. Cuando la historia se vuelve demasiado técnica, incluso las iniciativas urgentes pierden fuerza y no consiguen financiación.
Los CISO deben traducir los problemas técnicos en términos que la junta comprenda. Hacerlo genera confianza, obtiene apoyo y muestra cómo las decisiones de seguridad se relacionan directamente con el crecimiento a largo plazo. Fue la urgente necesidad de cerrar la brecha de comunicación entre los directores de TI y la junta directiva lo que nos llevó a crear un nuevo paradigma en la educación continua de los CISO: Informe de riesgos a la junta directiva para los CISO modernos .
La desconexión entre las juntas directivas y los CISO
Las juntas directivas son cada vez más responsables del riesgo cibernético. Reglas de la SEC exigir a las empresas públicas que divulguen los ciberincidentes en un plazo de cuatro días hábiles y que describan la supervisión cibernética de la junta directiva en los informes anuales. En la UE, NIS2 responsabiliza directamente a los órganos de dirección por las medidas de ciberseguridad, con sanciones de hasta 10 millones de euros o el 2% de la facturación mundial.
Las juntas hacen un seguimiento de la gobernanza, la responsabilidad y el valor empresarial. Los CISO presentan amenazas, vulnerabilidades y controles. Las encuestas confirman esta brecha: Encuesta de la junta directiva de Gartner para 2024 informa que el 84% de los directores clasifican la ciberseguridad como un riesgo empresarial, pero las investigaciones revelan que solo alrededor de la mitad de los consejos de administración consideran que su comprensión es lo suficientemente sólida como para una supervisión eficaz.
La alineación de la junta directiva de CISO nunca ha sido tan importante, pero las dos partes aún hablan idiomas diferentes. Este desafío surgió con tanta frecuencia en nuestras conversaciones con los líderes de seguridad que nos llevó a una conclusión sencilla: si tantos profesionales con experiencia necesitan esta habilidad, debe enseñarse.
Enseñar cómo cerrar la brecha en las salas de juntas
El objetivo estaba claro: las juntas directivas necesitan información que conecte el riesgo cibernético con los resultados empresariales. Informe de riesgos a la junta directiva para los CISO modernos se creó desde cero para ayudar a los líderes de seguridad a satisfacer esa necesidad.
El curso enseña a los CISO cómo reformular su mensaje de manera que repercuta en los directores. Se centra en las habilidades prácticas: ir más allá de las métricas basadas en la vanidad y pasar a crear paneles que respondan a la pregunta «¿Y qué?» pregunta, crear presentaciones concisas sobre las que las juntas directivas puedan actuar, anticipar y gestionar las preguntas difíciles y formular las solicitudes de presupuesto en términos financieros y estratégicos. El curso también presenta la gestión continua de la exposición a las amenazas como modelo para presentar el riesgo de una manera estructurada y con visión de futuro.
Cada una de las cinco lecciones está diseñada para ser práctica y fácil de aplicar. Los participantes se van con métodos y plantillas que pueden usar en su próxima reunión de junta. Las áreas clave de enfoque incluyen:
- La visión del riesgo de la Junta : En qué se centran los directores y cómo enmarcar la seguridad como un factor que posibilita la innovación segura y la ventaja competitiva.
- Comunicación clara de los riesgos : Superar las métricas de vanidad mediante la creación de paneles que cuenten una historia de riesgo que vincule los hallazgos técnicos con el impacto empresarial.
- Presentaciones de alto impacto : Crear presentaciones concisas y eficaces para la junta directiva, alinearse con los ejecutivos clave con antelación y gestionar las preguntas difíciles con confianza.
- Casos de negocios más sólidos : Traducir las necesidades de seguridad a un lenguaje financiero y estratégico. Desarrollar las solicitudes en torno al valor de la reducción del riesgo, el costo total de propiedad y la alineación con los objetivos de la empresa.
- Operacionalización del CTEM : Aplicar las cinco etapas de la gestión continua de la exposición a las amenazas para reforzar la postura de seguridad y estructurar la presentación de informes con visión de futuro.
El curso está dirigido por el Dr. Gerald Auger, cuya carrera abarca más de veinte años tanto en la industria como en el mundo académico. Se desempeñó como arquitecto de ciberseguridad en un importante centro médico y ha enseñado a decenas de miles de estudiantes a través de su plataforma Simply Cyber. Su combinación de experiencia práctica y docente hace que el curso sea sólido, relevante y directamente útil para los CISO en la sala de juntas.
El resultado final
La ciberseguridad está en el centro de la supervisión empresarial. Las juntas directivas esperan una visión clara y práctica, y los CISO deben presentar el riesgo en términos que se relacionen directamente con la gobernanza, las finanzas y la estrategia. Informe de riesgos a la junta directiva para los CISO modernos se diseñó teniendo en cuenta estos desafíos. El curso brinda a los líderes de seguridad herramientas prácticas para traducir su experiencia a un lenguaje que permita a la junta tomar medidas.
Cuando los CISO desarrollan estas habilidades, pasan de hablar de métricas técnicas a explicar el riesgo en términos que se vinculan con los objetivos empresariales y muestran cómo la seguridad impulsa el crecimiento a largo plazo. Esto se traduce en conversaciones más claras con los directores, en un apoyo más firme a los programas de seguridad y en un papel más importante de la ciberseguridad en la estrategia general de la empresa.
Nota: Este artículo fue escrito de manera experta por Tobi Trabing, vicepresidente de ingeniería de ventas globales de XMCyber.