La ciberseguridad no existe en el vacío. Un equipo de seguridad puede identificar una vulnerabilidad crítica, señalar a un tercero riesgoso o detectar una brecha de cumplimiento.  

Pero alguien en la organización todavía tiene que decidir qué sucederá después. ¿Puede el proyecto seguir adelante? ¿Cuánto costará abordar el riesgo ahora? ¿Qué pasa si la organización espera? ¿Cómo podría una decisión de seguridad afectar a los clientes, las operaciones o los ingresos? 

Esas preguntas requieren tanto experiencia técnica como comprensión del negocio. Ahí es donde entra un Business Information Security Officer (BISO). El rol de BISO (a veces abreviado como BSO) es un concepto y puesto relativamente nuevo, pero ayuda a una organización a avanzar hacia una seguridad proactiva para mantenerse al día con la velocidad de la tecnología y el auge de la IA.  

¿Qué es un BISO?

Un BISO es un líder de ciberseguridad que trabaja estrechamente con una unidad de negocio, función, grupo de productos o región en particular para alinear la ciberseguridad con las prioridades del negocio. 

El rol a menudo se describe como un puente entre la ciberseguridad y el negocio. Eso es parte del trabajo, pero subestima lo que hace un BISO eficaz. 

Un BISO necesita conocimientos fundamentales tanto de seguridad como de negocios. Debe comprender conceptos de ciberseguridad como amenazas, gestión de vulnerabilidades, protección de datos, cumplimiento y respuesta a incidentes, al tiempo que comprende las preocupaciones del negocio como ingresos, operaciones, clientes, inversiones en tecnología y tolerancia al riesgo. 

Esa combinación le permite al BISO realizar una evaluación estratégica entre los requisitos de seguridad y el impacto en el negocio. 

Por ejemplo, un BISO podría ayudar a una empresa a responder:

• ¿Cuánto podría costarnos este riesgo si no lo abordamos? 

• ¿Cuál es el beneficio de implementar la medida de seguridad ahora? 

• ¿Qué sucede si la implementamos más tarde? 

• ¿Podemos reducir el riesgo sin ralentizar innecesariamente el negocio? 

• ¿Quién debe participar en la toma de decisiones? 

El trabajo del BISO no es necesariamente tener todas las respuestas. Se trata de saber qué preguntas hacer, entender los balances o concesiones y conectar a las personas adecuadas para llegar a una decisión informada. 

El papel del BISO en la seguridad proactiva 

Las organizaciones están desarrollando productos, adoptando servicios en la nube, implementando IA, integrando plataformas de terceros y cambiando procesos de negocio más rápido que nunca. Si la seguridad no forma parte de esos esfuerzos desde el principio, las organizaciones pueden descubrir problemas de seguridad o cumplimiento después de haber invertido mucho tiempo y dinero. 

Ahí es donde un BISO puede marcar una diferencia significativa. 

Un BISO puede involucrarse al inicio de un producto, proyecto, adquisición o iniciativa tecnológica, ayudando a garantizar que los requisitos de seguridad se consideren desde el principio en lugar de añadirse al final. 

Esto puede evitar el escenario familiar en el que un proyecto está casi listo para lanzarse cuando el área de seguridad identifica una brecha que requiere rediseño, inversión adicional o retrasos. 

El BISO ayuda a llevar la seguridad hacia una posición de fortaleza, pero también ayuda a acelerar el negocio.  

En ese sentido, el BISO puede actuar como una autoridad de seguridad dentro del negocio, mientras ayuda a los líderes empresariales a comprender cómo las decisiones de seguridad afectan sus objetivos.

BISO frente a CISO 

Un BISO es diferente de un Chief Information Security Officer (CISO). 

Un CISO suele ser responsable de la estrategia y el programa general de ciberseguridad de una organización. Un BISO opera más cerca del negocio, aplicando esa estrategia dentro de una parte particular de la organización. 

Los dos roles deben complementarse entre sí. 

Un CISO puede establecer las prioridades, políticas y programas de seguridad corporativos. El BISO ayuda a determinar cómo aplicar esas prioridades dentro de un entorno de negocio específico y transmite las necesidades e inquietudes del negocio a la organización de seguridad. 

Una forma útil de entender la distinción es que el CISO a menudo mira "hacia arriba y hacia afuera" en toda la organización, mientras que el BISO impulsa la seguridad "hacia abajo y hacia adentro" del negocio.

¿Por qué necesita su organización un BISO? 

Las decisiones de ciberseguridad afectan cada vez más las operaciones centrales del negocio. Los servicios en la nube, los proveedores externos, la IA, los productos digitales y los sistemas de datos complejos pueden introducir riesgos difíciles de entender de forma aislada. 

Un BISO aporta el contexto de negocio necesario para esas decisiones. 

Considere una vulnerabilidad que afecta a dos sistemas diferentes. Uno podría respaldar una aplicación interna no esencial. El otro podría respaldar un servicio crítico orientado al cliente. La vulnerabilidad técnica puede parecer similar sobre el papel, pero el impacto en el negocio podría ser muy diferente. 

Un BISO eficaz ayuda a la organización a reconocer esa diferencia y priorizar en consecuencia. 

El rol también ayuda a las organizaciones a navegar las exigencias regulatorias y de cumplimiento. Según la industria y la geografía, es posible que un BISO deba comprender los requisitos derivados de regulaciones y marcos como el RGPD, los requisitos del sector financiero u otras normas de privacidad y ciberseguridad aplicables. El BISO puede traducir esas obligaciones en acciones prácticas para el negocio y coordinar las respuestas a los hallazgos de auditoría y las brechas identificadas. 

El objetivo no es el cumplimiento por el simple hecho de cumplir. Se trata de entender qué debe hacer la organización, qué riesgos persisten y cómo encajan esos requisitos en las operaciones del negocio.

¿Qué hace un BISO? 

Las responsabilidades específicas varían según la organización, pero se espera que un BISO eficaz logre:

• Alinear la ciberseguridad con las prioridades del negocio. Entender lo que el negocio intenta lograr e identificar las consideraciones de seguridad que podrían afectar esos objetivos. 

• Gestionar la seguridad y la velocidad del negocio. Involucrar a la seguridad con la suficiente antelación para evitar sorpresas de última hora, al tiempo que ayuda al negocio a mantener los proyectos en marcha. 

• Traducir el riesgo cibernético a términos de negocio. Explicar los riesgos técnicos en términos de costos, operaciones, clientes, obligaciones regulatorias y el posible impacto comercial. 

• Impulsar la seguridad hacia el interior del negocio. Integrar los requisitos de seguridad en los productos, proyectos, procesos y decisiones tecnológicas en lugar de tratar a la seguridad como un punto de control final. 

• Navegar por los requisitos regulatorios. Entender las leyes, regulaciones, estándares y expectativas de auditoría aplicables, y traducirlos en acciones prácticas para el negocio. 

• Ayudar a gestionar el riesgo de terceros. Trabajar con los equipos de negocio y de seguridad para entender los riesgos generados por proveedores y socios. 

• Clarificar la titularidad del riesgo. Ayudar a determinar quién es responsable de tomar y aceptar las decisiones de riesgo. 

• Apoyar la respuesta a incidentes. Aportar el conocimiento de las prioridades y dependencias del negocio a los incidentes de seguridad y a las decisiones de recuperación. 

• Construir conexiones organizacionales. Mantener relaciones entre ciberseguridad, TI, legal, privacidad, cumplimiento, riesgos, arquitectura, adquisiciones y el liderazgo empresarial. 

Esa última responsabilidad es fundamental.  

Un BISO debe ser una persona con amplias conexiones dentro de la organización, alguien que sepa a quién llamar cuando un problema cruza los límites de los departamentos. El BISO no necesita ser un experto en cada disciplina de seguridad. En cambio, su valor proviene en parte de saber dónde existe esa experiencia e incorporar a las personas adecuadas a la conversación. 

Un BISO ayuda al negocio a tomar mejores decisiones 

No piense en un BISO como un vendedor de seguridad, un coordinador de cumplimiento o simplemente la persona que procesa excepciones. 

El rol es más efectivo cuando el BISO tiene suficiente credibilidad y acceso para desafiar tanto al equipo de seguridad como al negocio cuando sea necesario. 

A veces, la decisión de seguridad correcta introducirá fricción o retrasos. Eso es parte de la gestión de riesgos. 

El trabajo del BISO no es hacer que cada decisión de seguridad sea más fácil. Es hacer que esas decisiones sean informadas, transparentes y responsables. 

La mayoría de las decisiones de seguridad implican cierto nivel de compromiso entre los imperativos del negocio y los de seguridad. Un BISO ayuda a la organización a entender esas concesiones antes de que se conviertan en problemas. 

A medida que la tecnología sigue avanzando rápidamente, ese rol se vuelve cada vez más importante. La seguridad no siempre puede esperar hasta el final de un proyecto para preguntar si algo es seguro, cumple con las normas o es resiliente. 

El BISO incorpora la seguridad a la conversación desde antes, para que el negocio pueda avanzar con rapidez sin descubrir problemas de seguridad una vez que ya está en marcha. 

Al final, el valor de un BISO no se mide por la frecuencia con la que dice sí o no. 

Se mide por si ayuda a la organización a tomar mejores decisiones sobre seguridad, riesgo y velocidad empresarial. 

Este artículo fue escrito con aportes del Grupo de Trabajo de BISO de la NCA. Para obtener más información sobre el Grupo de Trabajo de BISO y cómo puede unirse, comuníquese con Max McKenna en max@staysafeonline.org. 

Preguntas frecuentes sobre los BISO 

¿Qué significan las siglas BISO? 

BISO significa Business Information Security Officer. Un BISO conecta la estrategia de ciberseguridad con las prioridades, riesgos y operaciones de una unidad o función de negocio específica. 

¿Cuál es la diferencia entre un BISO y un CISO? 

Por lo general, un CISO supervisa la estrategia general de ciberseguridad de una organización, mientras que un BISO trabaja en estrecha colaboración con las unidades de negocio para aplicar esa estrategia dentro de su entorno específico y aportar el contexto del negocio a la organización de seguridad. 

¿Todas las organizaciones necesitan un BISO? 

No necesariamente. Las organizaciones más pequeñas o menos complejas pueden no necesitar un BISO dedicado. El rol puede volverse particularmente valioso a medida que las organizaciones se vuelven más complejas, adoptan nuevas tecnologías, enfrentan requisitos regulatorios significativos o necesitan una alineación más estrecha entre la seguridad y las operaciones del negocio. 

¿Por qué es importante un BISO para la ciberseguridad? 

Un BISO ayuda a las organizaciones a integrar la seguridad más temprano en las decisiones de negocio y tecnología, comprender el riesgo cibernético en un contexto empresarial, navegar por los requisitos regulatorios y mantener la velocidad del negocio mientras se abordan los riesgos de seguridad.