CISO Chat – Darran Rolls, director de tecnología y director de seguridad de la información de SailPoint

¿Alguna vez se preguntó qué abarca el papel de un director de seguridad de la información (CISO)? En pocas palabras, son los guardianes y protectores de todo lo relacionado con la seguridad de la información relacionada con una empresa. Sin embargo, las tareas están lejos de ser simples ya que sus equipos trabajan las 24 horas del día para responder a las incidencias que afectan directamente la seguridad de la empresa y sus datos. A medida que los problemas cibernéticos han evolucionado, también lo ha hecho el papel del CISO, que también implica consultar a los ejecutivos de nivel de sala de juntas sobre la multitud de riesgos potenciales que amenazan su negocio y estar preparados para un eventual ataque.

Para comprender mejor la vida de un CISO, el gurú de seguridad de TI conversará con los principales CISO para conocer sus pensamientos e ideas sobre el panorama cibernético de 2018 e incluirá consejos, orientación y problemas enfrentados. Dejaremos las preguntas sobre comida favorita y pasatiempos para otro momento.

Hablamos con Darren Rolls, director de tecnología y director de seguridad de la información en SailPoint, quien cree que a pesar de que siempre habrá nuevas amenazas y vulnerabilidades, los mismos viejos riesgos permanecerán.

Como CISO, ¿cuál es su objetivo? ¿Cuál es el objetivo de la seguridad de la información dentro de su organización?

Mis objetivos clave son proteger los activos de la empresa y los datos de los clientes, mejorar continuamente las operaciones de seguridad interna y adelantarme al adversario. Mucho de esto se reduce a lograr el equilibrio adecuado entre la comodidad del usuario y la eficiencia operativa para la empresa y proteger los datos confidenciales de nuestros empleados y clientes. Como proveedor de software de seguridad, estamos muy centrados en todos los elementos de nuestra postura de seguridad, desde la conciencia del usuario final hasta el cumplimiento de nuestra certificación ISO / IEC 27001: 2013 y la atestación SOC 2 Tipo 2. Adoptar un enfoque holístico es esencial para nuestro negocio como empresa de seguridad. Ser un proveedor de gobierno de identidad significa que también tenemos un fuerte enfoque en el uso de nuestra propia tecnología y las mejores prácticas para lograr estos objetivos.

¿Qué es más importante para que los profesionales de la ciberseguridad se concentren, las amenazas o las vulnerabilidades?

Tienes que considerar ambos. Centrarse en la vulnerabilidad sin una comprensión de las amenazas y los riesgos puede llevar a centrarse demasiado en el ruido. Por otro lado, la comprensión de las amenazas con procesos deficientes para administrar, detectar y mitigar la vulnerabilidad es nuevamente defectuosa. Es esencial comenzar desde una perspectiva sólida de evaluación y modelado de amenazas para ayudar a comprender una postura de riesgo empresarial. Todo esto se une para crear una evaluación de dónde enfocarse. Una vez que sepa dónde concentrarse, puede observar más de cerca las posibles vulnerabilidades en las áreas de mayor riesgo.

¿Cuáles cree que serán las mayores amenazas para 2018?

No veo un cambio importante en el panorama de amenazas para 2018. La realidad es que a diario se descubren y publican nuevas vulnerabilidades. Como descubrimos a fines del año pasado con las vulnerabilidades Meltdown y Spectre, incluso la CPU es vulnerable. No sabíamos que existía la vulnerabilidad, así que, ¿quién sabe qué será lo próximo? Siempre habrá una nueva amenaza y una nueva vulnerabilidad. Sigue habiendo los mismos viejos riesgos. El malware aumentará en sofisticación, se llevarán a cabo campañas de phishing más inteligentes y lo que alguna vez pensamos que era seguro, se conocerá como vulnerable. ¡Abróchate el cinturón, abróchate y prepárate para responder!

¿Cómo cree que podemos mejorar la brecha de habilidades cibernéticas? ¿Qué consejo le daría a cualquiera que quiera entrar en la industria de la ciberseguridad?

En SailPoint, tenemos la suerte de estar en la industria de la seguridad, por lo que toda nuestra gente se ve a sí misma como profesionales de la seguridad, sin importar cuál sea su función. Es difícil encontrar buenas personas de seguridad, pero afortunadamente para nosotros, los profesionales de la seguridad están entusiasmados de trabajar para empresas de seguridad. Amamos y creemos en la seguridad, por eso trabajamos para encontrar personas que encajen en ese molde. También estamos trabajando para ayudar con la educación y la certificación en nuestra propia área del ecosistema de seguridad, la gestión de identidades. Estamos orgullosos de ser miembros fundadores y patrocinadores de IDPro, una nueva asociación que busca establecer un cuerpo profesional para los profesionales de IAM. Creemos en el apoyo y el avance de los organismos profesionales que pueden crear un estándar conocido y comprendido para la educación y la conciencia en nuestra industria. Internamente, también intentamos que la seguridad sea divertida e interesante para nuestro personal en todos los ámbitos. Esto no significa carteles de motivación cursis en la pared. Significa organizar eventos como horas felices para abrir cerraduras, clubes de lectura de seguridad y hackatones que hacen que la seguridad sea una prioridad para todo nuestro personal.

Mi consejo para alguien que desee ingresar a la industria de la ciberseguridad es que se convierta en un entusiasta. Algunos de los mejores profesionales de la seguridad que conozco fueron, en primer lugar, aficionados. Es imperativo interesarse en la seguridad desde cero. Soy un gran defensor de eventos como Defcon que se enfocan en interactuar con una comunidad diversa que juntos pueden aprender y amar la ciberseguridad. Si tiene interés en la ciberseguridad, intente piratear algo y no tiene que ser un simple software antiguo. Vaya a la ingeniería social o la selección de cerraduras o vaya a piratear un procedimiento escrito: desglosarlo, comprender cómo funciona y buscar una forma de evitarlo. Si quiere entrar en seguridad, adopte la mentalidad de un hacker.

Hoy en día, la IoT y la IA se han convertido en un gran foco de atención para las organizaciones con casi todos los dispositivos, juguetes y aparatos creados con esta tecnología incorporada. Es preocupante que la seguridad parezca ser una ocurrencia tardía. ¿Por qué es así y cómo se puede cambiar?

La seguridad es una idea de último momento en la mayoría de los dispositivos de consumo porque la mayoría de las personas hoy en día no los compra por seguridad. Cuando alguien compra una computadora portátil, la seguridad pasa a un segundo plano frente a cosas como el precio, el tamaño de la pantalla o la capacidad de memoria. Cuando alguien compra un monitor de video para bebés, lo que más le preocupa es cómo se ve la imagen y si pueden o no ver las imágenes en sus teléfonos. Para que la seguridad gane prominencia en los dispositivos de consumo, tiene que convertirse en una característica que la gente valore y por la que esté dispuesta a pagar. La única forma en que podemos cambiar la falta de enfoque en la seguridad en los dispositivos de consumo es que los consumidores lo exijan.

Con GDPR a menos de cinco meses, ¿qué tan preparada está su organización? ¿Cuál es su mayor preocupación o preocupación con respecto a la regulación?

El RGPD exige seguridad desde el diseño, que es un enfoque que hemos estado defendiendo durante mucho tiempo en nuestros productos y soluciones. Estamos listos para ayudar a nuestros clientes a abordar los desafíos de GDPR ayudándolos a controlar el acceso a datos confidenciales almacenados en sus aplicaciones y en archivos.

¿Cuál es tu peor pesadilla de seguridad? ¿Cuál sería su plan para prevenirlo y mitigarlo?

La vida de un CISO está llena de miedo, incertidumbre y duda. Esa es la naturaleza del trabajo. El trabajo del CISO es comprender todas estas amenazas y tomar decisiones comerciales viables con ellas. Este es un trabajo de noches de insomnio, pero la mejor manera de conseguir algo de paz es tener un plan de respuesta a incidentes bien ejercitado, porque la realidad es que algo malo va a suceder con el tiempo. Tener la tecnología adecuada, buenas personas y procedimientos bien definidos y bien ejercitados es lo mejor que puede hacer. Los incendios comenzarán y es nuestro trabajo apagarlos. Hacer esto de manera efectiva requiere práctica. Es importante hacer sonar la alarma contra incendios con regularidad, ver cómo responde la gente y averiguar si las mangueras son lo suficientemente largas para llegar al fuego.

¿Con qué frecuencia tiene que presentarse ante la sala de juntas? A la luz de los principales ataques de 2017, ¿se han vuelto más receptivos y han demostrado una mejor comprensión del trabajo que hacen usted y su equipo?

Somos muy afortunados como empresa de seguridad, porque la ciberseguridad es realmente una preocupación a nivel de directorio para nosotros. Este no es siempre el caso. Existe una creciente conciencia de la importancia de la ciberseguridad, pero muchas juntas no comprenden realmente los riesgos de seguridad en términos de resultados comerciales. Las operaciones de seguridad son inherentemente técnicas y demasiados profesionales de ciberseguridad de nivel C lo describen de esa manera a la junta: toda la tecnología y todo el presupuesto. Pero la conversación debe ser sobre el riesgo administrado. En SailPoint, nuestra junta está comprometida con nuestra postura de ciberseguridad, así que soy un tipo afortunado. No tengo que depender de la legislación para captar la atención o el enfoque de la junta. Afortunadamente, muchas juntas ahora se están dando cuenta de que el riesgo de reputación y el costo de las violaciones de seguridad son algo que se puede entender y administrar como cualquier otro riesgo comercial en términos de inversión y rendimiento.

Las redes sociales están en todas partes. Entonces, ¿cuánto de esto es un problema de seguridad en el lugar de trabajo? ¿Ha tenido que ejecutar planes de ejercicios de formación para los empleados de su organización?

La seguridad es el principio del eslabón más débil y las redes sociales pueden ser solo eso. Puedo hacer un trabajo fantástico para proteger mis sistemas internos, pero si uno de mis empleados publica algo inapropiado, estamos en problemas. Por supuesto, la educación es clave, pero debe complementarse con una buena gobernanza y supervisión. Tenemos que ver las cuentas de redes sociales tanto de los empleados como de la empresa como activos valiosos que deben protegerse. El control de estas cuentas y su uso debe verse como un gobierno corporativo crítico, porque el daño a la reputación puede estar a solo 128 caracteres de distancia.

¿Cuál sería su consejo de seguridad cibernética número uno al comenzar el 2018?

Poniendo la identidad en el centro de la estrategia de ciberseguridad de su organización. Sí, esto está sacado de nuestro libro de estrategias de soluciones, pero realmente creo que es lo correcto. Avanzar hacia una visión de la ciberseguridad centrada en la identidad debería ser un mandato impulsor para todas las organizaciones en 2018.

Rollos de Darran dirige el desarrollo continuo y la comunicación de la estrategia y visión de la tecnología de SailPoint. Su larga trayectoria en seguridad de la información ha ayudado a SailPoint a emerger como una empresa con la que se debe contar en todas las áreas de la gestión de identidades, desde el cumplimiento y gobernanza, gestión e ingeniería de funciones, gestión y aprovisionamiento del ciclo de vida de los usuarios. Él cree que la clave de ese éxito ha sido encontrar el equilibrio entre esforzarse por ser un innovador líder en el mercado y actuar de manera pragmática para asegurarse de que se satisfagan las necesidades de los clientes.