Roles y equipos necesarios para implementar una estrategia de seguridad cibernética
Como veníamos comentando en anteriores publicaciones, implementar estrategias de defensa en ciberseguridad es una prioridad para cualquier organización. Sin embargo, para desarrollar y mantener una estrategia de seguridad efectiva, es crucial contar con un equipo organizativo bien definido, donde cada rol y función contribuya de manera integral a proteger sus activos.
A continuación, exploraremos en detalle los diferentes roles involucrados, sus funciones y responsabilidades:
CEO (Chief Executive Officer)
El CEO o Alta Dirección o Dirección es el más alto cargo de la organización, responsable de la implementación de la cultura en ciberseguridad, de la protección de la información y sus activos asociados. Además debe disponer los recursos necesarios y adecuados para implementar la estrategia de ciberseguridad (personal, tecnología y formación).
CSO (Chief Security Officer)
El CSO es el responsable de la seguridad física y tecnológica de la organización.
CISO (Chief Information Security Officer)
El CISO es el responsable de la seguridad de la información, y en algunos casos coincide con el rol del CSO. En algunos casos existe la obligatoriedad del rol del responsable de seguridad, como por ejemplo en la siguiente normativa:
- RD 311/2022 Responsable de la Seguridad del Esquema Nacional de Seguridad (ENS).
- Ley 8/2011 y RD 704/2011 Responsable de Seguridad y Enlace de las infraestructuras críticas (LPIC) y Directiva 2022/2557 relativa a la resiliencia de las entidades críticas.
- RD-Ley 12/2018, RD 43/2021, Responsable de la seguridad de la información (NIS/NIS2) Directivas UE 2016/1148 y 2022/2555,
- Ley 40/2015 Responsables de Seguridad de servicios o productos TIC de empresas proveedoras de infraestructuras críticas o de servicios esenciales (IC/SE).
CIO (Chief Information Officer)
El CIO es el responsable de los sistemas y de las tecnologías de la información de la empresa y de identificar y proveer las tecnologías necesarias para que los procesos de la empresa funcionen lo mejor posible. Persigue la eficiencia en los procesos empresariales. Es un rol estratégico de supervisión y optimización de las infraestructuras tecnológicas directamente relacionado con el CISO y con el CTO.
CTO (Chief Technology Officer)
El CTO es responsable de la tecnología y la innovación de la empresa, valorando y gestionando las innovaciones tecnológicas que proceden del exterior, y con cuya adopción se puede mejorar la propuesta de valor de la empresa. Propone nuevas alternativas de mejora tecnológica. Es el responsable de desarrollar la estrategia tecnológica de la empresa, y de impulsar el crecimiento tecnológico de la misma. Va muy alineado con la función del CIO, pero con un perfil más técnico.
DPD / DPO / CDO (Delegado de Protección de Datos, Data Protection Officer, Chief Data Officer)
Es la persona encargada de asegurar el correcto tratamiento de los datos personales dentro de la organización, es decir, se encarga de garantizar la protección de los datos personales y el cumplimiento de las leyes y regulaciones de aplicación correspondientes (RGPD, LOPDGDD…).
Equipos de PENTESTING o PENTESTERS
Son equipos que complementan al equipo de ciberseguridad, realizando pruebas y test de penetración para identificar vulnerabilidades, potenciales amenazas y riesgos de los sistemas de información de la organización. A su vez se apoyan en equipos de Red Team (seguridad ofensiva emulando atacantes) y Blue Team (seguridad defensiva).
Equipos de respuesta a incidentes (CERT/CSIRT)
Un CERT (Computer Emergency Response Team) o CSIRT (Computer Security Incident Response Team) está formado por un equipo de especialistas en seguridad dedicado a prevenir, detectar, recibir, revisar y responder de forma rápida y eficaz ante cualquier incidente de seguridad que pueda materializarse en los sistemas informáticos.
Responsable(s) de comunicación
Son profesionales de la comunicación y la gestión de personas durante una crisis cibernética, encargados de informar interna y externamente durante la gestión de una crisis. Tienen un papel fundamental en la reputación de la organización, en la gestión de la incertidumbre de las partes interesadas (empleados, clientes, autoridades de control, etc.), y en el cumplimiento de los requisitos legales.
Usuarios/Empleados
Es fundamental y un deber que todos los empleados conozcan y comprendan las políticas, normativas, procedimientos y buenas prácticas en ciberseguridad. En muchas normativas regulatorias y estándares, además es un requerimiento explicito que se debe cumplir.
Otros roles implicados en la Ciberseguridad
Entre otros roles podemos encontrar:
- Equipo de seguridad de la red/Administradores de red: se encarga de la implementación y monitorizar la infraestructura de seguridad de la red de la organización. Puede ser responsable de la implementación de controles de seguridad en la red y de la gestión de la prevención y detección de intrusiones.
- Equipo de seguridad de los sistemas/Administradores de Sistemas: es el encargado de la implementación y monitorización de los sistemas de seguridad de la organización. También puede ser responsable de la implementación de políticas de seguridad de los sistemas, la gestión de parches y actualizaciones, y la evaluación de vulnerabilidades.
- Equipo de gestión de identidades y accesos: A este equipo se le asigna de la gestión de los sistemas de autenticación y autorización de la organización, y suele ser responsable de la implementación y monitorización de las políticas de acceso a los sistemas y aplicaciones.
- Equipo de seguridad de los dispositivos móviles: una función también importante es la que realiza este equipo, encargándose de la implementación y monitorización de las políticas de seguridad de los dispositivos móviles de la organización y de los BYOD (utilización de dispositivos personales). También se encarga de la gestión de los dispositivos móviles y la implementación de la encriptación de los datos.
- Equipo Legal: este equipo está formado por profesionales jurídicos del área de compliance, por lo general expertos en derecho, y son los responsables de velar y garantizar que la organización actúa conforme a derecho dentro del marco legal con el cumplimiento de las normativas, regulaciones y obligaciones legales aplicables en el tratamiento de la información. Además son también los responsables de proteger los intereses ante posibles conflictos con las partes interesadas y alegaciones ante las medidas sancionadoras de las entidades de control.
- Diferentes Comités: Seguridad, Crisis, Riesgos, etc.
Para que una estrategia de seguridad sea efectiva, es fundamental que todos los roles y equipos dentro de la organización trabajen en estrecha colaboración. Cada persona tiene un papel específico que contribuye a la protección general, y es vital que estos roles estén claramente definidos y que la comunicación entre los miembros sea fluida. Una organización que establece con claridad las funciones y asegura una coordinación eficiente podrá fortalecer su postura de seguridad, reducir posibles riesgos y ofrecer una respuesta rápida y eficaz ante cualquier amenaza.
José Antonio Sánchez Durán, Senior Consultant & Advisor
Govertis, parte de Telefónica Tech
