Blog
Explicar CTEM a un consejo de administración que no lo conoce
Se dispone de diez a quince minutos en el orden del día, encajados entre una actualización del comité de auditoría y una decisión inmobiliaria. Nadie en la sala ha oído el término CTEM, la mayoría ha oído «ciberseguridad» demasiadas veces como para querer oírla otra vez, y el trabajo no consiste en formarles sobre el panorama de amenazas. Consiste en conseguir que se apruebe un presupuesto, una contratación o la continuidad de un mandato. Son trabajos distintos, y el segundo tiene un guion más corto y más afilado.
Hablar el idioma del consejo de administración, no el del SOC
Los consejeros piensan en los términos que ya usan para cualquier otro riesgo del orden del día: qué procesos de negocio están expuestos, cuánto cuesta una interrupción y cómo evoluciona esa probabilidad. No piensan en CVE, puntuaciones CVSS ni nombres de herramientas, y traducir sobre la marcha en la sala es donde estas presentaciones se tuercen.
La traducción es mecánica una vez se tienen los datos. En lugar de un recuento de vulnerabilidades, diga cuántos de los procesos críticos del negocio carecen hoy de una ruta demostrada que un atacante pudiera usar para alcanzarlos. En lugar de una cadencia de parcheo, diga cuánto se tarda en cerrar algo una vez demostrado que es explotable. Es la misma traducción que el artículo sobre métricas CTEM desarrolla en detalle: ese artículo es donde se construye el informe; este trata de los diez minutos en los que se presenta su titular.
| En lugar de esto | Diga esto |
|---|---|
| «142 hallazgos abiertos, 12 críticos» | «Tres de nuestros siete procesos de negocio críticos no tienen hoy ninguna ruta de ataque demostrada, frente a uno el trimestre pasado» |
| «Desplegamos EDR en el 98 % de los endpoints» | «Podemos detectar a un atacante en los sistemas que ejecutan las nóminas y la gestión de pedidos» |
| «Cumplimiento del SLA de parcheo: 87 %» | «Una vez demostrado que algo es explotable, se cierra en una mediana de 9 días» |
Cada fila de la columna derecha es una frase que un consejero puede repetirle al CEO al día siguiente. Esa es la prueba de si algo pertenece a la sala.
Dos analogías, usadas con moderación
Las analogías se ganan su sitio cuando comprimen un mecanismo real, no cuando halagan a la audiencia. Dos resisten las preguntas.
La primera es el paso de la revisión médica anual a la monitorización continua. La gestión de vulnerabilidades, lo que el consejo quizá ya cree estar financiando, es el chequeo de una vez al año: una instantánea, útil ese día, obsoleta un mes después. CTEM es la versión continua, más cercana a un reloj inteligente que señala un problema real a medida que se desarrolla en lugar de esperar a la siguiente cita. Los consejeros que participan en otros comités normalmente ya han hecho exactamente esta elección en otra parte del negocio, y eso es lo que hace que la analogía funcione sin tener que explicarla dos veces.
La segunda es probar las cerraduras, no solo instalarlas. La mayor parte del gasto en seguridad hasta la fecha compró el equivalente a alarmas y puertas reforzadas. CTEM es la práctica continua de intentar abrir realmente las puertas, de forma segura, en el propio edificio, para averiguar cuáles podría abrir un intruso, en lugar de suponer que, porque se compró un control, funciona. Aquí es donde se puede señalar específicamente la fase de validación sin usar la palabra «validación».
Deténgase en dos. Una tercera analogía es donde la presentación empieza a sonar a discurso comercial en lugar de a informe.
La pregunta que no se puede esquivar
Alguien preguntará, directamente o con rodeos, «¿vamos a sufrir una brecha?». La respuesta honesta es que no se puede prometer que no, y un programa que dé a entender que puede perderá credibilidad la primera vez que un incidente salga en las noticias, en el propio sector o en la cadena de suministro.
La versión honesta es: ningún conjunto de controles reduce el riesgo a cero, la gestión de la exposición no cambia eso, lo que cambia es qué procesos puede alcanzar un atacante ahora mismo y con qué rapidez se cierra una carencia demostrada una vez encontrada. Dígalo con claridad y pase a la evidencia: el recuento de procesos críticos sin ruta demostrada, y su tendencia. Un número que se mueve en la dirección correcta es una respuesta más convincente que una palabra tranquilizadora, y es una que se puede defender ante preguntas de seguimiento.
Resista la tentación de suavizarlo con estadísticas sobre lo raras que son las brechas en empresas de ese tamaño. Se lee como una búsqueda de consuelo, y ese consejero que haya leído un titular sobre una empresa comparable lo notará.
Qué queda fuera de la sala
El tiempo del consejo es el más caro de la empresa. Tres cosas lo desperdician de forma fiable.
Jerga y nombres de herramientas. «Desplegamos una nueva plataforma ASM integrada con nuestro CAASM» no dice nada al consejo sobre el riesgo y todo sobre relaciones con proveedores que no necesita evaluar. Diga qué cambió en lo que se puede ver o corregir, no qué se compró.
Un muro de CVE o un gráfico circular de severidad. Parece rigor y se lee como ruido; nadie en la sala puede actuar sobre ello, e invita exactamente a la pregunta equivocada («¿por qué ese primero sigue en rojo?») sobre un elemento que quizá no importe.
Una promesa de riesgo cero. Es la forma más rápida de convertir una conversación sobre financiación en una conversación sobre responsabilidades, en el momento en que algo acabe saliendo mal.
Mostrar progreso sin exagerar
Los consejos financian trayectorias con más facilidad que estados. «Estamos en Definido en tres de las cinco fases de CTEM y En desarrollo en las otras dos, y nuestro plan lleva la validación a Definido este año» es una afirmación que se puede defender con evidencia, y una afirmación que sobrevive a que se vuelva a comprobar el año siguiente. El artículo sobre el modelo de madurez CTEM expone qué evidencia respalda cada nivel por fase: lleve la fase más débil y el plan para moverla, no una puntuación única que oculte qué partes del programa siguen siendo jóvenes.
Resista la tentación de redondear al alza. Un programa que está En desarrollo en validación y se presenta como «maduro» queda en evidencia la primera vez que un consejero hace una pregunta de seguimiento concreta, y el coste en credibilidad es mayor de lo que habría sido el crédito por un buen trimestre.
Este tipo de supervisión es ahora una expectativa explícita del consejo, no solo una buena práctica. El NACD and Internet Security Alliance Director’s Handbook on Cyber-Risk Oversight plantea la ciberseguridad como una cuestión de riesgo empresarial que merece tiempo del consejo dedicado y recurrente y un conjunto definido de actividades del consejo para supervisarla, no un informe de una vez al año. Un turno de diez minutos con una línea de tendencia y una respuesta honesta a la pregunta sobre la brecha es lo que esa supervisión parece en la práctica, y es también lo que hace que le sigan invitando.
Siguiente
Construya el informe que esta presentación resume con las únicas métricas CTEM que la dirección leerá. Use el modelo de madurez para respaldar la afirmación sobre la trayectoria con evidencia en lugar de adjetivos. Si necesita saber dónde está su programa antes de ponerse delante del consejo, haga primero la evaluación.