¿Qué necesita saber o entender la gerencia sobre la seguridad de TI?

Los consultores pagados en exceso a menudo presentan una respuesta tonta para atraer a la gerencia a comprar sus servicios, aprecio mucho más el enfoque pragmático.

• La seguridad cibernética completa es un mito inalcanzable. Las personas que te dicen lo contrario no tienen experiencia real.
• Cuanto más se acerque a la “seguridad completa”, más dinero le costará, especialmente a medida que crezca. Este paseo no será divertido para el pincher centavo.
• Primero arregle a su gente y luego a su tecnología. Tu gente apesta.
• PCI es como la Biblia, hay cerca de un millón de formas de interpretarlo, la mitad de ellas en detrimento de su bienestar. Los auditores son fundamentalistas violentos para comer a sus hijos en el desayuno. No pongas a tu ingeniero junior en el caso.
• Los malos son mejores que tú en todas las formas imaginables. Tienen más dinero, más recursos, más conocimientos y más novias modelo. También huelen mejor. No intentes competir, solo asegúrate de tener suficientes barreras para que no te consideren un objetivo viable a largo plazo.

Puntos de bala adicionales para mierdas y risas:

• Tenga cuidado con los consultores con certificaciones elegantes.
• La privacidad en línea es un concepto defectuoso que es bonito en el papel y divertido de bloguear.
• Si no necesita tráfico desde China, Rusia y los estados bálticos, considere bloquearlos de inmediato.
• El firewall de Barracuda por el que viste un anuncio en SFO probablemente no sea tu bala de plata, amigo.

Nota: sarcasmo

1. La seguridad es un problema de gestión, no solo un problema tecnológico. La gerencia establece el tono de cómo se trata la seguridad para toda la organización.
2. La seguridad abarca tecnología, procesos, organizaciones y cultura. No es “el departamento de seguridad de TI”.
3. Todo se reduce a riesgo y costo. Si no gasta el dinero, entonces tiene un gran apetito por el riesgo. El riesgo puede ser transferido, evitado, reducido o aceptado.
4. La política de seguridad es de suma importancia. Necesita conducir esta política a través de toda la compañía.
5. Necesita un comité directivo sólido y un plan de gobierno para administrar la estrategia de seguridad y necesita un proceso sólido para cerrar las brechas mediante la asignación de acciones a los propietarios.