Diseñaría la ciberseguridad desde las decisiones que suelen atascarse entre áreas. Seguridad detecta una exposición, finanzas controla los fondos y operaciones, la ventana de cambio. Como CEO, reuniría esas facultades en un foro periódico.
El foro
Presidiría una revisión mensual con el CISO, líderes de tecnología, finanzas y operaciones y responsables del negocio afectado. La agenda: disyuntivas pendientes, dependencias comunes y compromisos que exigen intervención. Los delegados gestionarían la rutina; los incidentes urgentes seguirían una vía de respuesta inmediata.
Cada propuesta traería plazo de decisión, pruebas, opciones viables y su consumo de capacidad. Exigiría que asistieran quienes pueden comprometer recursos o suplentes autorizados. El debate acabaría con un decisor identificado y una instrucción ejecutable. El consenso no condicionaría la acción.
La vía de decisión
Haría tres preguntas. ¿Está dentro de la autoridad y los recursos de un responsable? Devolverlo para su ejecución. ¿Deben equipos con demandas contrapuestas cambiar prioridades? Decidirlo en el foro. ¿Rebasa un límite de riesgo aprobado o es competencia reservada del consejo? Solicitar la decisión pertinente del consejo, con protección provisional a cargo de la dirección.
Compararía opciones por daño al cliente, coste de la demora, viabilidad operativa y exposición restante. Sin pruebas suficientes, pediría qué comprobación podría cambiar la elección y el último momento seguro para decidir. Adelantar los plazos exigiría adelantar la decisión.
La supervisión
El NIST CSF 2.0 sitúa estrategia, funciones, políticas y supervisión en su función Govern. Usaría esos resultados para examinar nuestra organización; el foro mensual es mi propuesta de implementación.
Pediría al consejo aprobar límites estratégicos de riesgo y examinar si la dirección actúa dentro de ellos. La dirección elegiría controles, asignaría tareas y respondería de ejecutarlas. El consejo necesitaría conocer desvíos relevantes, disensos pendientes y pruebas de ejecución. El CISO tendría acceso directo al consejo para cuestionar mi relato.
Ejemplo hipotético
Supongamos que nóminas y facturación de clientes necesitan los mismos ingenieros para separar accesos privilegiados. Ambos departamentos piden prioridad. Reuniría a sus responsables para comparar las próximas obligaciones de pago, los permisos expuestos y las restricciones provisionales viables. El foro podría reservar la primera ventana para nóminas y restringir el acceso de facturación hasta su turno. Finanzas debería aceptar la carga de trabajo resultante. Si el acuerdo rebasara un límite aprobado, lo elevaría antes de proceder.
El seguimiento
En la próxima revisión comprobaría fondos, programación y eficacia de las salvaguardas. Incumplir una dependencia reabriría la asignación. Juzgaría el modelo por si los conflictos reciben una decisión autorizada antes de que los plazos impongan el resultado y si el consejo puede rastrear esa decisión hasta la acción.