Si la recesión económica ha demostrado algo es que muchos CISO todavía luchan por articular el valor de sus programas de seguridad y justificar el gasto ante la dirección ejecutiva de su empresa. Muchos han visto reducir sus presupuestos, postponer sus proyectos y despedir sus empleados. Estas son las cinco erres a las que deberían responder si quieren estar bien preparados: reputación, regulación, rentabilidad, resiliencia y recesión.

Muchos CISO están experimentando un entorno de rápidos cambios donde el negocio demanda más de la organización de seguridad, el consumo de la tecnología está usurpando el control al responsable y las nuevas arquitecturas tienen que responder a las demandas de reducción del perímetro, virtualización y tecnologías web 2.0.

Aunque algunos de los despidos y recortes presupuestarios pueden ser necesarios, muchos CISO se preguntan si habría sido distinto de haber mejores relaciones con la dirección de la empresa o mejor comunicación de sus mensajes. La consultora Forrester ha trabajado con algunos de los CISO de grandes organizaciones y ha desarrollado estas cinco categorías que ayudan a articular el valor de la seguridad para el negocio.

Dependiendo del destinatario, es recomendable que utilice todas o sólo una combinación de estas categorías para conseguir que su empresa siga invirtiendo en seguridad.

Reputación

El impacto de las brechas de seguridad en las marcas consolidadas y conocidas durante los últimos años ha provocado grandes pérdidas a estas compañías. No sólo por culpa de amenazas externas procedentes de la comunidad hacker, que cada vez son más sofisticadas y dirigidas, sino por el daño provocado por amenazas internas. Las acciones perjudiciales, intencionadas o no, de los propios usuarios están incrementándose en los últimos años. (Vea también Protección de marcas: una nueva responsabilidad para el CSO).

Los CISO deben subrayar la importancia de la seguridad para la reputación de la compañía protegiéndola contra un paradigma de amenazas internas y externas cada vez más complejas, y evitar el abuso por parte de terceros y socios empresariales.

Una compañía farmacéutica con la que habló Forrester había comenzado a recibir quejas de reacciones adversas de pacientes procedentes de un área geográfica en la que apenas tenían ventas. El equipo de seguridad trabajó junto con el departamento de fraude para descubrir que un socio comercial había accedido a detalles de fabricación y especificaciones de empaquetado de ese producto unos meses atrás. Además, este socio había monitorizado sospechosamente los planes de negocio y marketing desde un servidor centralizado. Tras investigarlo, se descubrió que se habían fabricado medicamentos falsos para venderlos en ese área geográfica bajo la misma marca.

Regulación

Según avanzan las regulaciones se incrementan exponencialmente los requisitos que hay que cumplir. La organización de seguridad tiene la tarea de gestionar la conformidad con múltiples regulaciones, y hacerlo de forma eficiente para que una misma auditoría o valoración pueda utilizarse múltiples veces. Los CISO deben centrarse en las siguientes áreas cuando articulen el valor de la regulación: conformidad con múltiples regulaciones simultáneamente mediante el desarrollo de un marco de trabajo común de seguridad y auditoría, no sólo cumplir la letra de la ley, sino también incorporar la perspectiva empresarial, y evitar denuncias y multas por falta de conformidad. Como ejemplo, un establecimiento comercial pudo evitar multas de 30.000 euros diarios gracias a un firewall de aplicaciones que le costó unos 70.000 euros.