Los CISO y los consejos de administración afrontan una brecha de comunicación a medida que aumentan los riesgos de seguridad

A medida que las ciberamenazas se convierten en un riesgo empresarial más visible, cada vez se pide más a los consejos de administración que desempeñen un papel más activo en la supervisión de la seguridad. Sin embargo, una mayor atención no necesariamente significa una mejor alineación con los directores de seguridad de la información (CISO) y sus equipos.

La relación suele describirse como un conflicto entre los responsables de seguridad, que buscan inversiones, y los consejeros, centrados en el rendimiento financiero. En la práctica, la división puede tener menos que ver con prioridades enfrentadas que con la comunicación. Los equipos de seguridad pueden tener dificultades para explicar la exposición técnica en términos de impacto empresarial, mientras que los consejos pueden carecer del contexto necesario para evaluar si los controles y recursos existentes son adecuados.

Preocupaciones compartidas, perspectivas diferentes

Los consejos y los responsables de seguridad coinciden en la necesidad de contar con más apoyo para cerrar esta brecha. Los CISO necesitan personal, financiación y respaldo ejecutivo suficientes para gestionar unas amenazas cada vez más complejas. Por su parte, los consejeros necesitan información clara y coherente que les ayude a comprender el perfil de riesgo de la organización y a tomar decisiones informadas.

Esta información resulta más útil cuando va más allá de las listas de vulnerabilidades o los detalles sobre las herramientas de seguridad. Los informes que relacionan el riesgo cibernético con las operaciones críticas, las obligaciones regulatorias, la confianza de los clientes y las consecuencias financieras pueden proporcionar a los miembros del consejo una base más práctica para la supervisión.

Construir un diálogo más sólido

Mejorar la relación puede requerir una comunicación periódica, en lugar de sesiones informativas limitadas a incidentes importantes o a los ciclos anuales de planificación. Los responsables de seguridad pueden contribuir presentando las prioridades en un lenguaje empresarial y explicando las consecuencias de aceptar determinados riesgos. Los consejos pueden aportar preguntando cómo los objetivos de seguridad respaldan la estrategia general de la organización y garantizando que las responsabilidades estén claramente asignadas.

El creciente interés por la ciberseguridad no elimina los desafíos entre los consejos y los CISO. Sin embargo, puede crear una oportunidad para sustituir las suposiciones sobre intereses enfrentados por un debate más productivo sobre la responsabilidad compartida. Una supervisión eficaz depende de que ambas partes dispongan de la información, la autoridad y los recursos necesarios para gestionar el riesgo.