Las 10 principales preguntas que todos los consejos directivos deberían hacerle a sus CISOs

¿Cuánto perdería la empresa en un día si las operaciones fueran interrumpidas por un ataque de ransomware? ¿Cuáles son las probabilidades de que eso ocurra en función de la madurez cibernética actual? Cuando los CISOs (Chief Information Security Officers) inician las discusiones de ciberseguridad en el consejo directivo con un análisis de exposición financiera basado en datos reales de las ganancias trimestrales y el presupuesto operativo de la empresa, se enciende una luz que ilumina la sala. El consejo directivo comprende rápidamente el impacto porque los CISOs están hablando su idioma.

Al intentar abordar el riesgo cibernético y cómo se alinea con los objetivos estratégicos de la empresa, los desafíos de comunicación no son diferentes en los niveles más altos de la organización, especialmente entre el CISO, el CEO y/o el consejo directivo. A continuación se presentan 10 preguntas que los miembros del consejo desean que los CISOs conozcan y aborden en las reuniones de consejo en un idioma que entiendan: números y porcentajes respaldados por datos de la industria.

1. ¿Qué está haciendo para proteger a la empresa y las inversiones de los accionistas? Necesitamos evitar convertirnos en un titular de noticias. ¿Qué me quita el sueño? ¡Los titulares! Especialmente aquellos que resultan en caídas del precio de las acciones.

1. ¿Cuál es nuestra hoja de ruta para la ciberseguridad? Necesito ver un plan respaldado por métricas con un camino claro para medir, priorizar y dar seguimiento a los recursos, a fin de demostrar valor y ROI a lo largo del tiempo. ¿Dónde estamos ahora y dónde necesitamos estar? ¿Cómo vamos a llegar allí? ¡Muéstrame el camino, no solo me lo cuentes!

1. ¿Cuál es nuestro plan para defendernos de las últimas amenazas emergentes? ¿Cuál será el próximo SolarWinds? ¿Cómo sabemos que estamos seguros cuando una puerta trasera a la red puede abrirse a través de una actualización de software de confianza y pasar desapercibida por muchos? Necesitamos inteligencia de amenazas que agregue y analice el riesgo cibernético para informar nuestra estrategia.

1. ¿Cómo puede proporcionarnos una evaluación basada en hechos de los riesgos cibernéticos de nuestra organización y hacer un seguimiento de cómo cambian con el tiempo ante las últimas amenazas? Necesito que articule el valor reductor de riesgo del programa de ciberseguridad de la empresa a través de informes que nos indiquen qué significa para nuestro negocio.

1. ¿Cómo impacta nuestro riesgo cibernético en el riesgo empresarial? Necesitamos capturar los cambios en el panorama de amenazas cibernéticas y alinearlos con nuestro propio perfil empresarial único. ¿Están todas las divisiones y segmentos operativos adecuadamente preparados? Si es así, ¿en qué medida? ¿Dónde y cómo podemos mejorar nuestra estrategia de gestión de riesgos para apoyar nuestros objetivos empresariales?

1. ¿Cuál será el ROI si aprobamos esta inversión en ciberseguridad? ¿Cuánto podemos ahorrar implementando esta herramienta de ciberseguridad? ¿Puede mostrarme en dólares cuánto podríamos perder si no lo hacemos? ¿Cómo crecerá el ROI de esta inversión con el tiempo? Los números cuentan una historia más convincente.

1. ¿Puede cuantificar en dólares nuestro riesgo? ¿Qué podemos perder? ¿Necesitamos mitigar o transferir el riesgo? Necesito una calculadora de riesgos muy buena en términos de cifras monetarias. Quiero entender nuestra estrategia cibernética en términos financieros.

1. ¿Cómo podemos evitar sanciones y demandas importantes? No quiero enterarme de una posible vulnerabilidad cuando ya sea demasiado tarde. Dígalo tal como es. Necesitamos una estrategia de mitigación que sea compartida y adoptada por todas las divisiones empresariales para que nadie tenga que enfrentarlo solo.

1. ¿Cómo podemos evitar el daño reputacional de una brecha de seguridad? La confianza en nuestra marca es el fundamento de nuestro negocio. Trabajamos cada día para construirla. Todo lo que se necesita es un clic incorrecto en un correo electrónico de phishing por parte de cualquier empleado de la empresa para deshacer y destruir años de arduo trabajo. Identifique el eslabón más débil, evalúe el riesgo y cree un plan de mitigación compartido.

1. ¿Cómo se comparan nuestro riesgo y estrategia de ciberseguridad con los de nuestros pares? Al igual que muchos de nuestros competidores, hemos adoptado el Marco NIST y nos aseguramos de cumplir con los requisitos de informes de seguridad. Hemos invertido en herramientas de ciberseguridad, ejecutado análisis de vulnerabilidades y predicado mediante capacitación la importancia de mantenerse vigilantes ante las amenazas cada día.

Pero existe una forma de adelantarnos a nuestros pares reuniendo todo esto a través de un sistema de informes que mida, priorice, mitigue y dé seguimiento al riesgo para todos los activos de la empresa. El resultado de estos informes conduce a mejores discusiones en la sala del consejo que afectan, dirigen y alinean la estrategia empresarial.

¿Cómo puede mejorar la comunicación entre el consejo y los CISOs para alinearse y gestionar el riesgo cibernético de manera efectiva? La Asociación Nacional de Directores Corporativos (NACD) avala a X-Analytics como la solución preferida de informes de riesgo cibernético para la sala del consejo para sus más de 23,000 miembros. X-Analytics proporciona un programa vivo de ciberseguridad y gobernanza que opera desde el primer día a la velocidad de su negocio. Involucre a los líderes empresariales en el idioma que entienden. Comience hoy programando una demostración para responder preguntas y ver cómo X-Analytics puede transformar su negocio asignando dólares al riesgo.