¿Para qué sirve un CISO (aka responsable de seguridad)?

/en , , , /por

Cuando me preguntan en qué trabajo y contesto que soy responsable de seguridad, lo habitual es que me imaginen organizando a personas que controlan puertas y pasean por pasillos en busca de ladronzuelos.

Cuando digo que soy responsable de seguridad en una empresa de tecnología, lo habitual es que me imaginen evitando que nos roben los móviles, los portátiles o las teles.

Cuando digo que soy responsable de seguridad de la información, lo habitual es que no tengan ni idea de qué les hablo. Entonces les explico que mi tarea es proteger la información valiosa de la compañía contra ataques informáticos de gente mala, fugas de información, malware, … Es entonces cuando me miran con cara de asombro y me dicen «ah, que eres un hacker!!».

Pues no, no me considero un hacker y hago un inciso para explicar lo que yo entiendo por hacker. Me basaré en la definición dada por «The Internet Engineering Task Force (IETF®)», muy del gusto de la comunidad de seguridad:

hacker –  A person who delights in having an intimate understanding of the  internal workings of a system, computers and computer networks in particular. The term is often misused in a pejorative context, where «cracker» would be the correct term.

Partiendo de la base de que considero un hacker a una persona apasionada de la tecnología que aprende constantemente con el objetivo de llevarla hasta el límite para poder mejorarla, no me considero hacker ya que no entro en la parte final de la definición. Quizás si un half-hacker, pero para mí los hackers de verdad son gente tan top como los ponentes habituales de los congresos de seguridad, los creadores de tecnología, los que sin formación académica terminan siendo muy importantes dentro de grandes empresas, …

Pero volviendo a lo del principio, al final siempre surgen dudas sobre las tareas que realiza un CISO o responsable de seguridad así que te voy a hacer un pequeño resumen.

El CISO o responsable de seguridad en la norma ISO 27.001

Ahora que estoy trabajando en el contenido del Máster de seguridad y continuidad de negocio del que voy a ser docente, concretamente en la parte relacionada con auditoría 27.001, estoy describiendo cómo no se da como obligatorio el nombramiento de un responsable de seguridad. El motivo es sencillo, la norma se puede ajustar a compañías de cualquier tamaño y las pequeñas normalmente no tendrán recursos para mantener una persona que se encargue únicamente de esas tareas.

Sin embargo, en empresas de más tamaño, es importante que exista esa figura para que pueda realizar las siguientes tareas:

  • Conformidad:
    • Desarrollar la lista de partes interesadas relacionadas con la seguridad de la información.
    • Desarrollar la lista de requisitos de las partes interesadas.
    • Permanecer en contacto continuo con autoridades y grupos de intereses especiales.
    • Coordinar todos los esfuerzos relacionados con la protección de datos personales.
  •  Documentación:
    • Proponer el borrador de los principales documentos de seguridad de la información, por ejemplo, Política de seguridad de la información, Política de clasificación, Política de control de acceso, Uso aceptable de activos, Evaluación del riesgo y metodología de tratamiento de riesgos, Declaración de aplicabilidad, Plan de tratamiento de riesgos, etc.
    • Ser responsable de revisar y actualizar los documentos principales.
  • Gestión de riesgos:
    • Enseñar a los empleados cómo realizar la evaluación de riesgos.
    • Coordinar todo el proceso de evaluación de riesgos.
    • Proponer la selección de salvaguardas.
    • Proponer los plazos para la implementación de salvaguardas.
  • Administración de recursos humanos:
    • Realizar comprobaciones de verificación de antecedentes de candidatos de trabajo.
    • Preparar el plan de capacitación y concientización para la seguridad de la información.
    • Realizar actividades continuas relacionadas con la sensibilización.
    • Realización de capacitación de inducción sobre temas de seguridad para nuevos empleados.
    • Proponer acciones disciplinarias contra empleados que realizaron la infracción de seguridad.
  • Relación con la alta dirección:
    • Comunicar los beneficios de la seguridad de la información.
    • Proponer objetivos de seguridad de información.
    • Informar sobre los resultados de la medición.
    • Proponer mejoras de seguridad y acciones correctivas.
    • Proponer presupuesto y otros recursos requeridos para proteger la información.
    • Informar requisitos importantes de las partes interesadas.
    • Notificar a la alta dirección sobre los principales riesgos.
    • Informar sobre la implementación de salvaguardas.
    • Asesorar a los principales ejecutivos en todos los asuntos de seguridad.
  • Mejoras:
    • Asegurarse de que se realizan todas las acciones correctivas.
    • Verificar si las acciones correctivas han eliminado la causa de las no conformidades.
  • Gestión de activos:
    • Mantener un inventario de todos los activos de información importantes.
    • Eliminar los registros que ya no se necesitan.
    • Desechar los medios y equipos que ya no se usan de forma segura.
  • Terceros:
    • Realizar la evaluación de riesgos para las actividades a subcontratar.
    • Realizar verificación de antecedentes para los candidatos de outsourcing.
    • Definir cláusulas de seguridad que deben formar parte de un acuerdo.
  • Comunicación:
    • Definir qué tipo de canales de comunicación son aceptables y cuáles no.
    • Preparar el equipo de comunicación para ser utilizado en caso de una emergencia o desastre.
  • Gestión de incidentes:
    • Recibir información sobre incidentes de seguridad.
    • Coordinar la respuesta a incidentes de seguridad.
    • Preparar evidencia para la acción legal después de un incidente.
    • Analizar incidentes para evitar su recurrencia.
  • Continuidad del negocio:
    • Coordinar el proceso de análisis del impacto comercial y la creación de planes de respuesta.
    • Coordinar el ejercicio y la prueba.
    • Realizar una revisión posterior al incidente de los planes de recuperación.
  • Técnico:
    • Aprobar los métodos apropiados para la protección de dispositivos móviles, redes de computadoras y otros canales de comunicación.
    • Proponer métodos de autenticación, política de contraseñas, métodos de cifrado, etc.
    • Proponer reglas para el teletrabajo seguro.
    • Definir las características de seguridad requeridas de los servicios de Internet.
    • Definir principios para el desarrollo seguro de los sistemas de información.
    • Revisar los registros de las actividades del usuario para reconocer el comportamiento sospechoso.

Básicamente, en esto consiste mi día a día. Pero no te voy a engañar, también me preocupa la gente que entra por la puerta o anda por los pasillos, sobre todo cuando vienen de visita…

Cuando tomas la decisión de convertirte en un profesional de la seguridad, como es mi caso, te das cuenta de que tienes que vivir en continua semi-paranoia para que no se te escape nada. Aunque mi visión de todo esto es siempre intentar que la seguridad sea lo primero, pero seguido muy de cerca por la usabilidad, ya que si les hago a mis compañeros el trabajo imposible, entonces mal vamos. En este sentido te recomiendo que le eches un vistazo a la entrada en la que cuento cómo ofrezco la seguridad a los departamentos vía API.

Espero haberte ayudado a comprender un poco mejor lo que hace un responsable de seguridad.

¡Hasta la próxima!

Cristóbal Espinosa
Últimas entradas de Cristóbal Espinosa (ver todo)
Quizás te interese
Ransomware (¿seguro que tu empresa no está en peligro?)
SecurityInside Live: CISO Day 2019
6376 comentarios
  3. locksmith
    locksmith Dice:

    Hi there to all, for the reason that I am truly keen of reading
    this webpage’s post to be updated daily. It consists of pleasant material.

  32. xxx
    xxx Dice:

    We’re a grοup of volunteers and starting a new sⅽheme in our community.
    Yօur website provided uѕ with valuable information to woｒk on.
    You’ve done a formidable job and our whole community will
    be thankful to you.

  33. คลิปโป๊
    คลิปโป๊ Dice:

    Τhanks for your marvelous posting! I truly enjoyed reading it, you’гe a great authߋr.
    I will make sure to bookmark yоur blog and definitｅly
    will come back at some point. I wаnt to encourage you
    continue yߋur great posts, haѵe a nice afternoon!

  45. หนังxxx
    หนังxxx Dice:

    I’m not positiѵe the place you’re getting your informatіon,
    but good topic. I must spend some time studying more or ᥙnderstanding more.
    Ꭲhanks for greаt information I used to be seaгching for this information for my misѕion.

  74. onlyfan
    onlyfan Dice:

    Hmm is anyone elѕe having problems with the images on tһis blog loaԀing?
    I’m trying to detеrmine if its a problem on my end or if it’s the blog.
    Any feed-bаϲk woսld be grеatly appreciated.

  85. pornhub
    pornhub Dice:

    Hey thｅгe! I simply want tߋ give you
    a big thumbs up for your eҳcellent info you’ve got here ᧐n this pߋst.
    I am coming back to your site for morе soon.

  86. av japan
    av japan Dice:

    Heү there! I jᥙst would like to offer
    you a big thumbs up for the excellent info you have
    right here on this poѕt. I will bｅ returning to your web
    site for more soon.

  94. tubidy
    tubidy Dice:

    Great blog you’ve got here.. It’s hard to find excellent writing like yours these days. I seriously appreciate individuals like you! Take care!!

  106. jav hd
    jav hd Dice:

    Hі! Someone in my Ϝaϲebook group shared this website with us so
    I cаmе to look it over. I’m definitely
    loving the information. I’m book-marking and will be
    tweeting this to my follоwers! Eⲭcellent blog
    and amazing design.

  107. ytmp3 rs
    ytmp3 rs Dice:

    Hello there! I could have sworn I’ve been to your blog before but after looking at some of the articles I realized it’s new to me. Anyways, I’m definitely pleased I came across it and I’ll be book-marking it and checking back often!

  134. pornhub
    pornhub Dice:

    If some one wіshes to be updated with hottest technologies afterward he must be go to see this wｅƄsite and bｅ up to date everyday.

  181. Rodolfo
    Rodolfo Dice:

    Online Shopping Sites List For Clothes Tools To Improve Your Daily Life
    Online Shopping Sites List For Clothes Trick That Everyone Should Know online shopping sites list for
    clothes (Rodolfo)

  187. https://www.deviantart.com/ruth5555/journal/The-impact-of-technology-on-the-future-of-gambling-1024700212
    https://www.deviantart.com/ruth5555/journal/The-impact-of-technology-on-the-future-of-gambling-1024700212 Dice:

    You are so cool! I do not supposse I’ve read a single thing like that before.
    So nice to discover somebody with some original thoughts on this issue.
    Seriously.. thanjks for starting this up. This websitfe is one thing that is
    needed on the web, someone wirh a bit of originality! https://www.deviantart.com/ruth5555/journal/The-impact-of-technology-on-the-future-of-gambling-1024700212

  191. https://medium.com/@gustaveguertin979/the-impact-of-gambling-regulation-on-the-online-casino-market-b710da4a3876
    https://medium.com/@gustaveguertin979/the-impact-of-gambling-regulation-on-the-online-casino-market-b710da4a3876 Dice:

    Hey there would you mind letting me know which webhost you’re working with?
    I’ve loaded your blog in 3 different browsers and I must say
    this blog loads a lot faster then most. Can you recommend a good web hosting provider at a honest price?
    Cheers, I appreciate it! https://medium.com/@gustaveguertin979/the-impact-of-gambling-regulation-on-the-online-casino-market-b710da4a3876

  224. tubidy music download
    tubidy music download Dice:

    I’d like to thank you for the efforts you have put in writing this blog. I am hoping to view the same high-grade content from you later on as well. In fact, your creative writing abilities has encouraged me to get my own website now 😉

  326. https://www.pitstopodium.com/f1-news/guidelines-not-to-comply-with-about-essay-writing/
    https://www.pitstopodium.com/f1-news/guidelines-not-to-comply-with-about-essay-writing/ Dice:

    My programmer is trying to convince me to move to .net from PHP.
    I have always disliked the idera because of the costs.

    Butt he’s tryiong none thee less. I’ve been using WordPress on a variety
    of websites for about a year and am concerned about switching to another platform.
    I have heared very good things about blogengine.net.

    Is there a way I can transfer all my wordpress content into it?
    Any help would be greatly appreciated! https://www.pitstopodium.com/f1-news/guidelines-not-to-comply-with-about-essay-writing/

  329. https://atomouniversal.com.br/classificadoseanuncios/index.php?page=user&action=pub_profile&id=162861
    https://atomouniversal.com.br/classificadoseanuncios/index.php?page=user&action=pub_profile&id=162861 Dice:

    Excellent gokods from you, man. I’ve understand your stuff previous to
    and you’re just extremely magnificent. I really like what you’ve acquired
    here, certainly like what you are saying and tthe way in which you say it.
    You make it entertaining and you still take care of to keep it sensible.
    I can’t wait to read far more from you. This is really a terrific site. https://atomouniversal.com.br/classificadoseanuncios/index.php?page=user&action=pub_profile&id=162861

  330. https://findbestserver.com/the-ultimate-secret-of-essay-writing/
    https://findbestserver.com/the-ultimate-secret-of-essay-writing/ Dice:

    Can I simply say what a relief to find somebody that genuinely understands whuat they are talking about
    on tthe web. You actually understand how to bring a problem
    to light and make it important. More andd more people ought to read this aand
    understand this side of the story. I was surprised
    you’re not more popular because you surely possess the
    gift. https://findbestserver.com/the-ultimate-secret-of-essay-writing/

  411. หลุดvk
    หลุดvk Dice:

    Hi there exceptionaⅼ blog! Does running ɑ blog similаr to this
    reգuire a lot of woｒk? Ι һave absolutely no understanding օf programming but
    I was һoping to start my oԝn blog іn the near futᥙre.
    Anyway, shоuld you have аny ideas or techniques for new
    Ьlog owners pleɑse share. I understand this is
    off subject but I simply had to asк. Many thanks!

  412. xxx
    xxx Dice:

    Thiѕ is very attention-grabbing, You’re an excessively professional
    blogger. I’ve joined yoᥙr rss feed and look forward to seaгching for extra
    of your great post. Also, I haｖe shared your ѕite in my social networks