Contratar a un CISO virtual para ayudar a tu equipo de seguridad

A medida que los ciberataques se vuelven más frecuentes, las organizaciones empiezan a comprender la importancia de contar con medidas de seguridad eficaces. Incorporar un director de seguridad de la información (CISO) virtual a la organización puede impulsar considerablemente ese objetivo.

¿Qué es un CISO virtual?

Un CISO virtual es un profesional o proveedor de seguridad que trabaja a tiempo parcial o de forma remota y ofrece su tiempo y experiencia a una organización de manera temporal o continua.

Un CISO virtual puede ser una buena opción para las empresas que quieren implementar controles de seguridad, pero no pueden contratar a un CISO a tiempo completo. Si tienes una pequeña o mediana empresa y quieres implementar todos los controles de seguridad necesarios, contratar a un CISO virtual puede ser una buena forma de empezar. A medida que las empresas contratan a más personas para puestos de consultoría en toda la organización, los cargos de CISO virtual a tiempo parcial son cada vez más comunes.

Una empresa que ofrece sus servicios —como una agencia de talentos— puede asignar a profesionales que trabajan como CISOs virtuales, o estos pueden trabajar como freelancers. En ambos casos, las organizaciones pueden contratar a un CISO virtual sin agregar a una persona a tiempo completo en sus instalaciones y, aun así, beneficiarse del acceso a conocimientos especializados en seguridad.

Es muy difícil contratar CISOs. Esto se vuelve cada vez más complicado a medida que más empresas reconocen el valor de tener un CISO en su equipo, sobre todo si se tiene en cuenta que un CISO puede ayudar a reducir el costo de una filtración de datos.

vCISO vs. CISO: ¿cuál es adecuado para tu empresa?

Las empresas quieren crecer a toda velocidad, pero al mismo tiempo deben tener en cuenta y cumplir con las normas de seguridad. Un vCISO puede ayudarlas a lograr ambas cosas. Las empresas que quieren una segunda opinión sobre su postura de seguridad pueden recurrir a un vCISO.

En muchos casos, un CISO virtual puede ser una excelente opción para las organizaciones cuya actividad principal no es la tecnología. Un CISO a tiempo completo quizá tenga pocas oportunidades de crecimiento profesional en estas empresas y, con el tiempo, busque otras opciones. Esto podría dejar a la organización sin conocimientos especializados en seguridad. En estos casos, contar con un CISO virtual puede ser muy beneficioso. Incluso en las grandes organizaciones que tienen un CISO a tiempo completo, la ayuda adicional de un CISO virtual —que puede hacerse cargo de parte del trabajo cuando el responsable de seguridad está sobrecargado— puede ser muy útil.

Casos de uso de un vCISO

Un CISO virtual puede ser responsable de cumplimiento, de evaluación de riesgos o especialista en seguridad de aplicaciones. En muchos casos, el CISO está ocupado atendiendo a líderes empresariales o clientes y puede necesitar ayuda con algunas tareas más especializadas. En estos casos, un vCISO es la solución ideal.

Los vCISO están disponibles a pedido y, por lo general, no necesitan capacitación ni un plan de 30, 60 o 90 días. Empiezan a trabajar desde el primer día, mientras que un CISO a tiempo completo necesitaría tiempo para alcanzar su máximo rendimiento en una nueva organización. Aunque cada vCISO tiene distintas habilidades, muchos pueden encargarse de una amplia variedad de tareas, desde las tácticas hasta las estratégicas. Pueden ayudar a desarrollar políticas, pautas y normas de seguridad. Algunos también pueden colaborar en la contratación de personal, el desarrollo de estrategias de seguridad, la adquisición de soluciones, la resolución de incidentes y la preparación para cumplir con las normas ISO 27001 e ISO 9001.

Duración del cargo de vCISO

El cargo de CISO virtual puede ser de corto o largo plazo, según las necesidades de la organización. Una vez que se completa el trabajo principal de arquitectura de seguridad o de configuración del programa de cumplimiento, solo se necesitan cambios muy graduales en toda la arquitectura de seguridad. Cuando el proceso se estabiliza, el trabajo del CISO virtual termina. Entonces, puede comenzar una nueva etapa en otra organización, aunque algunas empresas querrán mantener el contacto con el vCISO para futuros proyectos.

El CISO virtual Rohit Srivastwa: «Muchas empresas han vuelto a contactarnos para preguntarnos si podemos establecer un modelo de retención, de modo que les brindemos nuestros conocimientos especializados en seguridad cuando los necesiten. Pero sí, el plazo es limitado».

Este cargo puede definirse de distintas maneras y con diferentes modalidades para adaptarse a las necesidades de una organización. Imagina un bufé de servicios que ofrece una agencia de vCISO: las empresas pueden elegir los servicios que más les convengan.

La influencia ejecutiva del CISO y del vCISO

Como empleados permanentes de la organización, los CISOs a tiempo completo deben convencer e influir en la junta directiva para que adopte sus recomendaciones sobre prácticas de seguridad. En cambio, los CISOs virtuales son seleccionados y designados por el equipo ejecutivo, por lo que sus recomendaciones se implementan de forma predeterminada (ya que los ejecutivos los reconocen como autoridades en la materia).

Si las prácticas básicas están bien definidas y son sólidas en una organización, es fácil poner en marcha un programa de vCISO. Muchas organizaciones reconocen el valor de un programa de vCISO apenas empiezan a considerarlo. Por ejemplo, al inicio de la pandemia de COVID-19, muchas empresas adoptaron un modelo de trabajo remoto basado en la nube con muy pocos requisitos establecidos. Esto generó importantes preocupaciones de seguridad. Las juntas directivas de muchas organizaciones optaron por contratar los servicios de un vCISO y quedaron conformes con su calidad. Cuando una junta directiva confía en un programa de vCISO, lo sigue utilizando.

Aspectos empresariales que debes tener en cuenta al contratar a un vCISO:

• Tu acuerdo de confidencialidad debe estar vigente. Aplica a un vCISO contratado para un proyecto el mismo acuerdo de confidencialidad que aplicarías a un CISO contratado a tiempo completo. El acuerdo debe incluir una política de privacidad adecuada.

• Verifica debidamente al personal. Debes verificar tanto a la agencia de vCISO como a la persona que prestará los servicios de vCISO.

Un vCISO podría ser tu mejor opción

Un programa de CISO virtual permite que una organización se beneficie de los conocimientos especializados de un CISO sin agregar a un empleado a tiempo completo a la nómina permanente. Esto puede ser beneficioso para todas las partes involucradas. Todas las organizaciones deberían considerar la opción de un vCISO para alcanzar sus objetivos de seguridad.