¿Cómo pasa los primeros 100 días un CISO (director de seguridad de la información) recién nombrado?
El desempeño de un director de seguridad de la información en sus primeros 100 días es fundamental para el éxito del CISO.
Después de comunicarme con CISO de muchas empresas, encontré algunas similitudes: los CISO exitosos son principalmente líderes, gerentes y comunicadores, más que expertos técnicos. La razón por la que la mayoría de los CISO que fracasan hacen resumen es que no comprenden ni satisfacen las necesidades y expectativas del negocio, o no comunican de manera efectiva cómo cumplen con las expectativas. El éxito del CISO dependerá de dos logros complementarios: (1) establecer una marca personal fundamental de credibilidad y liderazgo y (2) sentar las bases para un programa de seguridad sólido; Los nuevos directores ejecutivos que tengan un plan sólido para sus primeros 100 días probablemente tendrán éxito en el puesto.
Algunas sugerencias para usted: en sus primeros meses como CISO, puede mejorar en gran medida sus posibilidades de éxito si desarrolla un plan de actividades detallado y una buena comunicación. Establezca cuidadosamente sus prioridades, identifique los cinco problemas más urgentes con los que debe lidiar y luego elija dos de ellos para concentrarse durante los primeros tres meses. Manténgase alejado de los detalles técnicos tanto como sea posible y céntrese en la relación entre seguridad y negocio. Evite criticar las acciones y estrategias de su predecesor frente al equipo o las partes interesadas.
Hoja de ruta de planificación para los primeros 100 días:
Tareas principales: estar preparado antes de asumir el cargo, comprender la cultura corporativa, el entorno de trabajo y alcanzar un entendimiento básico con todas las partes interesadas *** conocimiento. Centrarse en cuestiones prioritarias e impulsar acciones para mejoras a corto plazo. Comunicarse externamente para transmitir el valor de la seguridad de la información y la ejecución de operaciones de seguridad interna. Establezca relaciones sólidas con personas clave (clientes, TI, alta dirección, equipo de seguridad, proveedores, socios). La evaluación establece una línea de base del estado actual que se convierte en la base para la mejora continua. Establecer y comunicar una visión de seguridad de la información que destaque las oportunidades futuras y fomente el aprendizaje de los errores del pasado. Establezca objetivos basados en principios SMART y establezca un sistema de seguimiento. Mejorar la credibilidad personal y potenciar la imagen organizacional del equipo.
Los objetivos deben alcanzarse en cada etapa Etapa de preparación: (Días -10 a 15) Establezca una comprensión clara de sus responsabilidades, conceptos y métodos entre usted, su gerencia, las partes interesadas de alto nivel y los nuevos empleados. Lograr * conocimiento y comprensión. Busque puntos en común reservando diferencias menores. Si hay grandes diferencias de responsabilidades y conceptos con la dirección, el trabajo posterior será muy difícil de realizar. Considere formas de detener las pérdidas de manera oportuna. Comunicar bien los conceptos y métodos de trabajo con su equipo. Fase de evaluación: (Días 0 a 30) Comprensión profunda del estado actual de la seguridad de la información Señales tempranas de lo que funciona y lo que no Enumere los cinco desafíos principales que priorizará durante los primeros tres a seis meses Fase de planificación: (Días 15 a 45 días) Borrador de la visión del plan de seguridad (debe prepararse para comunicarse con la alta dirección) Plan para los próximos dos o tres meses Presupuesto de seguridad operativa Estrategia de planificación provisional para los primeros 6 a 12 meses de su mandato, que identifica lo que hará durante los próximos 3 meses Dos temas clave de preocupación Fase de acción: (Días 30 a 80) Publicar un borrador de la agenda de seguridad de la información empresarial y una estrategia de plan provisional, incluidos dos temas clave en los que se concentrará en los próximos dos a cuatro meses para resolver los dos que ha identificado Problemas de alta prioridad o lograr un progreso sustancial Inicie otros trabajos necesarios para construir su credibilidad y sentar las bases para un nuevo programa de seguridad (esto incluye el presupuesto de su primer programa de seguridad) Establezca una relación de trabajo más estrecha con el equipo ejecutivo Medición Fase de evaluación: (días 45 a 100) Informe de estado inicial de la dirección ejecutiva y el comité directivo Evidencia de los primeros avances y logros Base para un marco eficaz de informes de seguridad Informe de estado del primer trimestre
Cómo se requiere cada fase Qué acciones se requerido, qué comunicación hacer, qué recursos usar, pueden seguirme y comunicarse juntos.