¿Cuál es el papel del CISO en términos de seguridad de los datos?

La seguridad y la protección de los datos se han convertido en grandes desafíos para las empresas de todos los tamaños y en todos los sectores. Virus, solicitudes de rescate, suplantación de identidad... Hoy en día, las organizaciones están siendo atacadas por todos lados, y el auge del trabajo remoto no ha ayudado en nada. Según un Estudio Proofpoint publicado en diciembre de 2020, el 91% de las organizaciones francesas han sufrido al menos un ciberataque importante en los últimos doce meses.

Ante la multiplicación de los ataques informáticos, demasiadas empresas no están suficientemente preparadas. De hecho, solo el 14% de los CISO (gerentes de seguridad de la información) entrevistados piensan que su empresa está preparada para hacer frente a un ciberataque. Es imperativo que todas las organizaciones refuercen su estrategia de ciberseguridad para poder hacer frente a las ciberamenazas cada vez más virulentas y proteger mejor sus datos. Esta es la función del gerente de seguridad de los sistemas de información.

La RSSI: garante de la seguridad de los datos

Hoy en día, el transformación digital de las empresas es una realidad en la que el CISO desempeña un papel estratégico. Si bien sus misiones pueden variar de una empresa a otra, su función es proteger a la empresa y sus datos mediante la implementación de un enfoque de seguridad de los sistemas de información y la gestión de riesgos. Por lo tanto, debe garantizar la confidencialidad, la integridad, la disponibilidad y la trazabilidad de los datos de la empresa.

Esto implica la implementación de varias acciones en colaboración con todos los empleados.

Estas son sus distintas misiones.

Defina la política de seguridad de la información

El gerente de seguridad de los sistemas de información lidera el desarrollo, la implementación y el monitoreo de la política de seguridad. El objetivo es proteger todos los datos e información de la empresa frente a los múltiples riesgos de TI.

Para cumplir esta misión, debe:

• realizar auditorías y comprobar periódicamente el sistema de seguridad;
• analizar los riesgos, los fallos y las oportunidades para mejorar los sistemas de seguridad;
• desarrollar la política de seguridad de los sistemas de información;
• definir un plan de prevención de riesgos informáticos y participar en la redacción de un plan de continuidad empresarial (PCA) y/o un plan de reanudación empresarial (PRA), así como el mantenimiento operativo (MCO, que cubre principalmente la estrategia de respaldo de datos);
• desarrollar medidas y estándares de seguridad basados en la actividad de la empresa y su exposición a los riesgos de TI (teletrabajo, BYOD (traiga su propio dispositivo), transferencias y almacenamiento de datos, etc.);
• elegir e implementar las herramientas y dispositivos más adecuados para gestionar la seguridad de la empresa (antivirus, antispam, firewalls, sistema de respaldo, cifrado de datos, autenticación, etc.).

Implemente y supervise la aplicación de la política de seguridad

Una vez definida la política de seguridad del sistema de información, el CISO debe asegurarse de que se implemente y aplique correctamente en todos los departamentos de la empresa.

Para ello, debe:

• garantizar que los empleados cumplan con las normas y estándares de seguridad establecidos;
• comprobar que la empresa respete el Reglamento General de Protección de Datos (GDPR);
• gestionar todos los incidentes de seguridad y proponer soluciones para restablecer rápidamente el funcionamiento de los servicios;
• determinar las medidas que deben tomarse para reparar los daños causados por un incidente de seguridad e implementar el plan de recuperación empresarial (PRA);
• establecer y analizar las causas de los incidentes y reforzar las medidas ya en vigor;
• garantizar el correcto funcionamiento de las medidas de seguridad vigentes sometiéndolas a pruebas periódicas para detectar puntos débiles;
• verificar que los subcontratistas y proveedores cumplen con las normas de seguridad impuestas por la empresa mediante la realización de auditorías;
• evaluar la eficacia de todas las medidas de seguridad implementadas e informar a la administración.

Aumente la conciencia de los empleados sobre los riesgos cibernéticos

La protección de los datos de la empresa implica necesariamente aumentar la conciencia del personal sobre los riesgos cibernéticos. Esta misión es una parte importante del papel del CISO.

De hecho, el CISO debe saber cómo comunicarse con todos los empleados para explicarles qué son las ciberamenazas y su impacto en la empresa. Debe popularizar los términos técnicos y ayudar a los empleados a implementar buenas prácticas.

Para ello, diseña y actualiza los estándares de seguridad para el personal de la empresa, como la política de seguridad de los sistemas de información (PSSI), la carta de uso de los sistemas de información, los diversos procedimientos a seguir en caso de un ciberataque, así como una guía de mejores prácticas. También puede organizar o incluso realizar cursos de formación internos para informar a los empleados, prepararlos y hacerlos más vigilantes ante las diversas amenazas (suplantación de identidad, rescate, virus, etc.) a las que están expuestos y así permitir reducir o incluso eliminar las conductas de riesgo.

Mantente al día

El mundo de la ciberseguridad, ya sea en términos de medios de protección o ciberataques, progresa constantemente y a gran velocidad. Por lo tanto, es imperativo que el administrador de seguridad de los sistemas de información se mantenga constantemente informado sobre los múltiples avances en la seguridad y la protección de las redes.

Por lo tanto, debe recibir una formación regular a lo largo de su carrera y garantizar el seguimiento tecnológico, reglamentario y legal. El objetivo es conocer los nuevos riesgos, las últimas soluciones en el campo de la seguridad de los sistemas de información y la evolución de la legislación y las leyes francesas y europeas en materia de protección de datos.

Conclusión

El gerente de seguridad de los sistemas de información desempeña un papel clave en la protección de los datos de la empresa porque es quien define, coordina, monitorea y mejora la política de seguridad de los sistemas de información.

De acuerdo con Jean-François Louapre, vicepresidente del Club de Expertos en Seguridad de la Información (CESIN), el papel del CISO ha evolucionado. Ya no es una función puramente técnica, sino que ahora tiene «una función de influencia, apoyo y facilitación dentro de las empresas». Debe saber cómo convencer y explicar a los directores de empresas cómo lograr el equilibrio adecuado entre la innovación y la gestión de riesgos para garantizar la seguridad de los datos.