Cómo los CISO y los ejecutivos de ciberseguridad pueden prepararse para la junta

Los directores de seguridad de la información generalmente trabajan para cultivar la seguridad de las computadoras, el sitio web y las aplicaciones de su organización, trabajando junto con los miembros del equipo de ciberseguridad y TI. El papel de un CISO solía ser principalmente táctico, con los oficiales completamente responsables de la protección contra las amenazas cibernéticas, pero hoy en día el puesto se trata más de realizar y alinear la planificación estratégica para que toda la organización pueda prevenir adecuadamente las amenazas como colectivo.

Aunque las empresas que cotizan en bolsa no se están moviendo para agregar expertos cibernéticos a sus directorios, existe evidencia de que los CISO en realidad se destacarían en los directorios. Este mes, IANS Research, Artico Search y The CAP Group publicaron un informe que evalúa las calificaciones de los CISO en el Índice Russell 1000 (R1000), enumerando las características clave de los candidatos creíbles.

Los resultados indican que el 14% de los CISO R1000, o aproximadamente 1 de cada 7, se destacan por poseer las características necesarias para un puesto en una junta directiva. Cabe destacar que este informe se produce cuando la Comisión de Bolsa y Valores (SEC) está trabajando para finalizar nuevas reglas sobre la experiencia cibernética y la transparencia.

Por supuesto, una de las razones por las que la SEC y otros están pidiendo más CISO en los directorios es precisamente para que puedan aportar su experiencia de dominio única a debates comerciales más amplios en los directorios. Pero también queda claro a partir de la investigación que los mejores candidatos podrán aportar otros conjuntos de habilidades a la mesa.

"La experiencia en tecnología y seguridad cibernética por sí sola es insuficiente para las juntas directivas", afirmó Brian Walker, director ejecutivo y asesor de la junta cibernética de The CAP Group, en un comunicado de prensa. "Los directores de la junta operan a un nivel estratégico y en la mayoría de las juntas, no hay espacio para 'ponis de un solo truco' ya que agregar un nuevo director para cada dominio complejo de experiencia no es escalable".

Algunos criterios clave que un CISO debe tener para tener éxito en una junta incluyen, entre otros factores: tenencia en seguridad informática, experiencia interfuncional, capacidad de escalar y educación avanzada.

Tener un puesto en seguridad de la información significa que la persona se jactaría, como dice el informe, de una "experiencia profunda en el dominio" de aproximadamente cinco años como CISO y 10 o más años de experiencia en seguridad de la información. Poseer este conocimiento ayuda tanto a hacer las preguntas correctas como a desafiar suposiciones arraigadas.

En relación con esto, una experiencia comercial más amplia es un requisito clave adicional. El informe establece que los CISO que tienen experiencia en roles funcionales no cibernéticos, como ser el fundador de una empresa o asesorar sobre estrategia, son buenos candidatos para puestos en la junta, ya que sus habilidades son muy variadas.

Esto lleva directamente al siguiente requisito previo: tener escala. Digamos que un CISO tiene experiencia como jefe de seguridad de la información en una gran organización global, eso podría demostrar que tiene una perspectiva integral e inclusiva y es capaz de navegar una amplia gama de partes interesadas.

Para tener éxito en un asiento en la junta directiva, un CISO también necesitaría educación avanzada, ya que este factor "mejora la credibilidad de la junta con las partes interesadas externas", según el informe, y es "indicativo de pensamiento crítico y habilidades analíticas" que sin duda ayudar a un individuo en un tablero.

La diversidad es otro rasgo, y quizás el más importante, que debe tener un CISO si está buscando unirse a una junta directiva.

Como Steve Martano, socio y reclutador ejecutivo en la práctica cibernética de Artico Search, dijo en el informe: "Para servir como miembro aditivo de la junta, uno debe traer una combinación única de experiencia en el dominio y gobierno estratégico, así como un pedigrí que avance en el prestigio y diversidad de la composición del consejo”.

De hecho, como afirma el informe, la razón de ser de los criterios de diversidad es que cada miembro de la junta traiga a la mesa sus propias perspectivas diferentes o nuevas, lo que ayudaría al grupo a identificar los puntos ciegos y evitar posibles escollos. La diversidad en un nuevo miembro de la junta podría significar que tal vez se identifique como mujer, una persona de color o de otro grupo subrepresentado (y esto se alinea con la regla 5605 (f) de la SEC). "En el mundo actual, las juntas buscan diversidad de experiencias y pensamientos, y expanden las oportunidades de juntas a grupos subrepresentados", agregó Martano.

Si bien el informe de junio establece que la "preparación de los CISO para los roles de la junta varía ampliamente", los datos muestran que, como lo expresó Martano, "hay una gran parte de la población de CISO que podría emerger como lista para la junta en los próximos años ." Tanto las juntas como los CISO "se beneficiarían de alinearse con las expectativas de un experto cibernético listo para la junta", preparando a la comunidad de CISO para ayudar a satisfacer las necesidades de la junta a largo plazo.

Para prepararse mejor para unirse a las juntas, el informe recomienda que los CISO identifiquen los cinco rasgos clave antes mencionados en ellos mismos. También deben evaluar sus habilidades blandas, analizar cualquier brecha en sus currículos y fortalecer sus narrativas de carrera trabajando en el mantenimiento de marcas personales y cultivando redes diversas. , además de lanzar una amplia red de búsqueda, asegúrese de priorizar la diversidad y no exigir la certificación de la junta, ya que solo alrededor del dos por ciento de los 1000 principales CISO están certificados por la junta, por lo que eso puede excluir talentos prometedores.

La periodista independiente Jessica Beebe es la autora de este artículo.