0
0
Nesta entrevista da Help Net Security, Attila Török, CISO da GoTo , discute como equilibrar experiência técnica e liderança e como ele navega no cenário tecnológico em rápida evolução.
Também nos aprofundamos nos principais desafios enfrentados na comunicação de questões complexas de segurança às partes interessadas e na manutenção da confiança em meio ao declínio da confiança nas instituições.
Na sua opinião, quais são as principais características de um CISO eficaz? Como você equilibra conhecimentos técnicos e habilidades de liderança?
Um CISO precisa assumir vários cargos em toda a empresa e conciliar muitas prioridades conflitantes. Eles precisam ser um representante de suporte ao cliente, um parceiro de produto, um gerente, um visionário, um estrategista e, claro, um especialista em segurança.
Descobri que algumas das características mais importantes são ser amigável, honesto e enfático. Ser amigo da organização e das pessoas com quem você trabalha, em vez de liderar apenas com políticas e demandas, é fundamental para fazer mais e para o sucesso de sua equipe.
Pode parecer contra-intuitivo, mas um bom CISO deve sair de trás da tecnologia e entender as pessoas que está atendendo. É claro que você deve manter um alto nível de conhecimento de tecnologia, mas se estiver apenas sentado em frente a um console de firewall, provavelmente está no emprego errado.
Dada a rápida taxa de mudança tecnológica, como os CISOs devem abordar a construção da postura de segurança de uma organização?
Com o ambiente em mudança mais rápida do que nunca, você raramente pode confiar apenas em estratégias de vários anos ou roteiros de vários trimestres. Você deve estar pronto para mudanças constantes e se adaptar rapidamente a elas.
Os CISOs devem criar uma estratégia de segurança baseada na antecipação de resultados e um ciclo de feedback para coletar informações durante incidentes, avaliações, análises de ameaças e pesquisas. As informações coletadas devem então ser transformadas em métricas que darão insights sobre se a estratégia está funcionando e, se necessário, como evoluir a estratégia.
No ambiente de negócios atual, um CISO deve comunicar questões de segurança complexas. Como você pode garantir que será compreendido por todas as partes interessadas, incluindo aquelas que não são tão experientes em tecnologia
Embora os CISOs desempenhem um papel de liderança no gerenciamento da postura de segurança de uma organização, é importante que os esforços de segurança cibernética se manifestem como uma responsabilidade compartilhada em toda a organização. De novas contratações ao C-suite, a segurança cibernética deve ser uma prioridade comunicada para todos os funcionários. Todos devem se preocupar com a segurança, e se não o fazem é porque não entendem algo da situação ou perguntam.
Tanto quanto um CISO precisa aprender sobre o negócio, ele também deve educar outros líderes de negócios sobre o que está por aí e o cenário de ameaças em evolução. Então, é importante conectar essas ameaças e as soluções de volta aos objetivos dessa parte do negócio para que as equipes possam entender totalmente o papel que podem desempenhar na mitigação de riscos.
Com o declínio da confiança nas instituições, como os CISOs podem ajudar as organizações a construir e manter a confiança entre clientes, funcionários e partes interessadas?
É importante priorizar a segurança e comunicar proativamente as iniciativas com as partes interessadas. No entanto, construir e manter a confiança não é uma abordagem única para todos. Os CISOs devem possuir a capacidade de comunicar e educar com eficácia todas as partes interessadas sobre os riscos cibernéticos específicos relevantes para sua organização, ao mesmo tempo em que descrevem proativamente como ela está preparada para lidar com esses riscos. Implementar medidas de segurança robustas e proativas e enfatizar a proteção de dados confidenciais garantirá aos clientes, partes interessadas e funcionários que suas informações estão seguras. Atuar rapidamente em ameaças de segurança emergentes e existentes também reforça a confiança e demonstra os esforços proativos de uma organização para lidar com as ameaças antes que elas se tornem prejudiciais.
A função de um CISO abrange uma ampla gama de responsabilidades, incluindo conformidade, recuperação de desastres e gerenciamento das partes interessadas. Como um CISO pode gerenciar com eficiência um portfólio tão diversificado de tarefas?
Existem três maneiras de gerenciar prioridades conflitantes: foco, transparência e responsabilidade. Um CISO deve se concentrar nas tarefas que têm os maiores ROIs e não se distrair com o barulho. Liderar com transparência deixará claro para todos dentro da organização por que estamos fazendo mudanças ou perguntas. E, finalmente, a postura e a resposta de segurança só podem ser aprimoradas quando a responsabilidade é clara. E não apenas a responsabilidade da equipe de segurança, mas a responsabilidade de toda a organização, onde todos entendem a responsabilidade.
Ao tomar decisões baseadas em dados e conduzir avaliações de risco contínuas, os CISOs podem alocar estrategicamente recursos para tarefas de alta prioridade. O delicado equilíbrio está em liderar esses vários aspectos, aproveitando a experiência de uma equipe qualificada para garantir proteção de segurança abrangente em toda a organização. Ao contratar uma equipe experiente de especialistas em segurança e capacitá-los para assumir suas responsabilidades diárias, os CISOs podem concentrar seu tempo em fornecer supervisão estratégica e de nível executivo sobre questões importantes.
Dado o cenário de ameaças em constante evolução, como um CISO pode manter seu conhecimento tecnológico enquanto se concentra na liderança e na colaboração?
Do ponto de vista da liderança, o CISO é muito mais do que apenas segurança. É realmente uma posição de líder de negócios, eles estão colaborando com outros líderes de negócios para compartilhar os mesmos recursos. Os CISOs devem entender os objetivos organizacionais, as necessidades do cliente e a capacidade de cada equipe de priorizar a segurança em colaboração com o gerenciamento de produtos, líderes de TI, CTO etc.
Os CISOs devem manter o conhecimento fundamental da tecnologia, mas contar com a experiência da equipe no assunto para aspectos técnicos mais profundos. É importante encontrar o treinamento certo , como CISSP, e certificações específicas do fornecedor, sem se sobrecarregar.
FONTE: HELP NET SECURITY