**La Brecha en las Habilidades del CISO: Contratado por una Función, Evaluado por Otra**
En el mundo contemporáneo de la ciberseguridad, el papel del Director de Seguridad de la Información, conocido como CISO (Chief Information Security Officer), ha adquirido una relevancia crítica. Sin embargo, una problemática latente se ha hecho evidente: las habilidades que conducen a la contratación de un CISO rara vez son las mismas que se utilizan para evaluar su desempeño una vez en el cargo. Esta discrepancia no solo afecta a los líderes de seguridad, sino que también tiene implicaciones significativas para las organizaciones que dependen de ellos para proteger su información más valiosa.
El proceso de selección de un CISO suele centrarse en competencias técnicas, como el conocimiento de normativas, la gestión de incidentes y la capacidad para implementar tecnologías de seguridad avanzadas. Sin embargo, una vez que asumen el puesto, estas habilidades técnicas pasan a un segundo plano. En lugar de ser evaluados por su capacidad para defender la infraestructura de una empresa frente a ciberamenazas, los CISO son juzgados en función de su habilidad para comunicarse con la alta dirección, gestionar el presupuesto y alinear la estrategia de seguridad con los objetivos comerciales de la organización. Este cambio en los criterios de evaluación genera una brecha que puede resultar problemática para ambos, los líderes de seguridad y sus empleadores.
Desde un punto de vista técnico, es crucial entender que la ciberseguridad no puede ser considerada una función aislada dentro de la organización. La interconexión entre diversas áreas, como recursos humanos, finanzas y operaciones, demanda que los CISO posean habilidades de liderazgo y comunicación excepcionales. La capacidad de traducir conceptos técnicos complejos en un lenguaje comprensible para los ejecutivos es fundamental para garantizar que la seguridad se convierta en una prioridad organizativa. Sin embargo, muchos CISO, contratados por su excelencia técnica, se encuentran luchando por ser escuchados en la mesa directiva debido a su falta de habilidades interpersonales.
La implicación de esta situación es doble. Por un lado, las organizaciones corren el riesgo de no aprovechar al máximo el potencial de sus CISO, ya que estos pueden tener ideas brillantes sobre cómo mejorar la postura de seguridad, pero carecen de los canales adecuados para comunicarlas. Por otro lado, los profesionales de la seguridad se enfrentan a un entorno laboral donde su éxito se mide por criterios que no fueron parte de su formación inicial. Esto puede llevar a una alta rotación de personal en el área de ciberseguridad, lo que a su vez afecta la continuidad y eficacia de los programas de seguridad.
Históricamente, hemos visto cómo la falta de alineación entre la ciberseguridad y los objetivos empresariales ha conducido a incidentes significativos. Por ejemplo, en 2017, el ataque de ransomware WannaCry afectó a miles de organizaciones en todo el mundo, destacando la importancia de una gestión de riesgos adecuada y una comunicación fluida entre los departamentos. Estos incidentes subrayan la necesidad de formar a los CISO no solo en aspectos técnicos, sino también en habilidades de gestión y comunicación.
Para abordar esta brecha, es fundamental que las organizaciones implementen programas de capacitación que no solo se centren en las habilidades técnicas, sino que también fortalezcan la capacidad de los CISO para interactuar efectivamente con otros líderes empresariales. Además, los consejos de administración deben reconocer la importancia de la ciberseguridad como un componente estratégico de la empresa, promoviendo una cultura que valore la colaboración y la alineación entre departamentos.
En conclusión, la función de un CISO es compleja y multifacética. Para cerrar la brecha entre las habilidades por las que son contratados y las que realmente se valoran, es esencial que tanto los líderes de seguridad como las organizaciones adopten un enfoque integral que contemple tanto la técnica como la gestión. Solo así podrán enfrentar los desafíos de un panorama de amenazas en constante evolución y proteger adecuadamente los activos más críticos de la empresa.