Cuando me siento a escribir un artículo, encuentro muchas distracciones. Cada distracción parece querer nada más que evitar que escriba. Pero mi distracción no se limita a la escritura. También me encuentro con un flujo casi constante de distracciones cuando me siento a hacer cualquier tarea.
¿Qué tiene esto que ver con la seguridad? En seguridad, a medida que avanzamos en el negocio de proteger nuestras organizaciones, la mayoría de nosotros enfrentamos un flujo casi constante de distracciones. Si permitimos que esas distracciones impulsen nuestro trabajo diario, podemos perder rápidamente el enfoque, lo que a su vez debilita nuestras posturas de seguridad al evitar que abordemos los elementos que son más relevantes e importantes.
En este artículo, me gustaría compartir cinco pasos para mantener su programa de seguridad en el objetivo y en el camino:
Paso 1: crea un marco. En el transcurso de mi carrera, noté que las personas que parecen estar ocupadas y abrumadas todo el tiempo son las mismas que están extremadamente desorganizadas. Aunque organizarse y mantenerse organizado requiere una inversión en tiempo, a la larga, la inversión pagará enormes dividendos. Este es particularmente el caso con respecto a la evaluación de las actividades en las que debe participar su organización de seguridad. Construir un marco para formalizar cómo el equipo de seguridad encuentra nuevas thoughts y posibilidades, las evalúa y come to a decision si abordarlas y cómo hacerlo es esencial para mantenerse en el objetivo porque reduce la posibilidad de que la organización se desvíe por distracciones más atractivas.
Paso 2: Desarrollar buenos procesos y procedimientos. Es demasiado fácil desviarse: un analista de seguridad pasa demasiado tiempo en pistas sin salida durante el análisis y la investigación, o un miembro del equipo de gobierno, riesgo y cumplimiento está demasiado concentrado en un command o política específicos cuyo impacto es marginal Quizás el equipo de vulnerabilidades pierde tiempo descubriendo vulnerabilidades sin considerar el contexto necesario que les permitiría priorizar y abordar las más importantes con TI. Cualquiera sea el ejemplo, tener procesos y procedimientos maduros es una excelente manera de evitar muchas de estas posibles trampas de tiempo y asegura que el programa de seguridad se mantenga enfocado en lo que es importante.
Paso 3: mantener una dirección estratégica. Para garantizar que su programa de seguridad esté en curso, generalmente ayuda tener una visión bien definida y una dirección estratégica. Esta declaración puede sonar obvia, pero demasiados equipos de seguridad ignoran estas fuerzas guía esenciales. Si das un paso atrás y piensas en ello, parece una tontería esperar que los miembros de tu equipo elijan el camino correcto cuando carecen de los criterios fundamentales para evaluar cada dirección potencial. La junta, los ejecutivos y el liderazgo de seguridad deben tener una visión de cómo quieren que la organización se defienda de los riesgos más preocupantes. Esa visión debe documentarse y comunicarse, junto con la estrategia de la organización para hacer realidad la visión. Estos documentos deben ser fácilmente accesibles y estar en primer plano en el pensamiento de cada miembro del equipo. Esto garantiza que los miembros del equipo de seguridad tendrán una base sólida sobre la cual evaluar los puntos de datos cuando los encuentren y tomar las decisiones apropiadas.
Paso 4: apegarse a los objetivos y prioridades. La visión y la estrategia son excelentes herramientas a nivel estratégico, pero no nos ayudan a mantener el rumbo a nivel operativo y táctico, donde cada área funcional necesita objetivos y prioridades bien definidos para trazar y mantener un curso de acción. Es importante tomarse el tiempo para establecer objetivos y prioridades para cada área funcional en línea con la visión y estrategia más amplia de la organización de seguridad. Esos objetivos y prioridades deben documentarse en detalle y utilizarse como criterios para la toma de decisiones y la priorización de las actividades cotidianas. Antes de tomar cualquier decisión, los puntos de datos deben evaluarse en función de criterios específicos. ¿Ir en esta dirección distinct nos ayudará a alcanzar nuestros objetivos? ¿Es esta actividad un buen uso del tiempo y está en línea con nuestras prioridades? ¿El esfuerzo ayuda a mejorar la postura de seguridad de la organización? Si la respuesta a cualquiera de estas preguntas es no, lo que se propone probablemente no valga la pena.
Paso 5: Evaluar objetivamente el impacto. En casi todos los entornos de seguridad, las prioridades en competencia son una constante. Con recursos humanos, presupuesto y capacidades técnicas limitados, cada empresa potencial necesita ser evaluada contra su impacto potencial para la organización. Si una tarea, tarea o proyecto parece una gran strategy y un uso racional de los recursos, pregúntese si esa actividad impactará directamente en la organización de manera positiva. ¿Mejorará la empresa la postura de seguridad de la organización? Si es así, ¿cómo se puede medir ese impacto? ¿A qué costo vendrá ese impacto? Si las respuestas a cualquiera de estas preguntas parecen inciertas, es possible que necesite un análisis más detallado antes de tomar la decisión de participar.
Contenido relacionado:
Josh (Twitter: @ananalytical) es un líder experimentado en seguridad de la información que trabaja con empresas para madurar y mejorar sus programas de seguridad empresarial. Anteriormente, Josh se desempeñó como VP, CTO – Tecnologías emergentes en FireEye y como Director de seguridad de … Ver biografía completa
Más thoughts
