ROLES DENTRO DE CIBERSEGURIDAD

CEO

El rol del CEO (Chief Executive Officer) es fundamental para impulsar y sostener las estrategias que protegen la integridad en una organizacion

Responsabilidades principales del CEO

1. Recursos humanos calificados: el CEO es quien aprueba y supervisa las contrataciones relacionadas con el personal que trabajara en ciberseguridad. el equipo debe estar debe estar debidamente calificado
2. Garantizar el cumplimiento de los controles de seguridad: Asegurarse de que se cumplan con precision todos los controles establecidos es esencial. Esto implica evaluar y medir de manera efectiva el cumplimiento dentro de toda la organización y vulnerabilidades
3. Gestion de riesgos: El ceo define como prioridad la gestión de riesgos, asegurando que esté completamentre alineada 
4. Cultura organizacional en ciberseguridad: Promover una cultura sólida de ciberseguridad es otra responsabilidad del CEO. Esto inclute establecer canales de comunicación eficientes que permiten a todo el equipo comprender y valorar la importancia de la seguridad de la información.

CISO

Es el responsable de la seguridad de la información, y por lo tanto, de la ciberseguridad de la empresa.

Es el encargo de:

• Generar politicas de seguridad
• Garantizar la privacidad de los datos
• Auditar los procesos de seguridad, identificando riesgos y vulnerabilides para mitigarlos
• El CISO actúa como el primer auditor de procesos de seguridad
• Acompañar los procesos de certificacion e implementacion de frameworks de seguridad
• El ciso no solo identifica y mitiga riesgos, sino que tambien juega un papel crucial en la certificación de la empresa, esto puede incluir en la obtencion de certificaciones como la ISO 27001 y la implementacion de buenas prácticas y controles basados en la norma 27002

CSO (Chief Security Officer)

Es el encargado de la seguridad física y tecnologica de la empresa, comparte responsabilidad con el CISO

Responsabilidades:

• Riesgos
• Detecta los ciber-riesgos a los que se enfrentan los activos de TI
• Gestionar proyectos
• Realiza labores de project management sobre proyectos de ciberseguridad aplicada
• Conocimiento legal
• Investiga y tiene claridad sobre cibersecurity compliance
• BCP & DRP
• Ejecuta planes de continuidad del negocio y recuperacion ante desastres o incidentes de ciberseguridad
• Canal de comunicación con la gerencia
• Su ubicacion en la jerarquia organizacional permite directo con el CEO

CIO (Chief Information Officer)

Encargado de las tecnologias de la informacion en la empresa y aplica la ciberseguridad en sus desiones.

Responsabilidades:

• Mantenerse actualizado sobre las tecnologias de informacion y la ciberseguridad
• Gestionar ciber-riesgos al adquirir hardware, software u contratar servicios.
• Promover la ciberseguridad en la empresa
• Agregar el requerimiento de seguridad en las inversiones de tecnologia.

CIO en accion

Ejemplo:

Necesita crear cultura de ciberseguridad a los desarrolladores y envia un requerimiento.

Al ver una necesidad de requierimiento eleva un requerimiento al equipo de seguridad donde se encuentra el CISO y CSO estos roles analisa los requerimientos.

En funcion de la OWASP 10.

Penetration tester (Red and Blue Team)

Auditos interno o externo en ciberseguridad.

Simula ciberataques hacia activos de TI de la organizacion

Responsabilidades

• Estado de ciberseguridad
• Reporta fallas en la ciberseguridad de la empresa y propone un nivel de riesgo orientado a la empresa y sugiere soluciones
• Ciber-orientador
• En algunos casos propone soluciones y posibles controles a fallas detectadas

Metodologia

Existen diferentes metologias para realizar la auditoria, pero en general se puede resumir en:

1. Acuerdo para auditar: solicitar permisos y firmar un acuerdo de confidencialidad
2. Inteligencia: Capturar información para concer la organizacion y sus objetivos
3. Modelar la amenza: Diseñar como se va auditar
4. Analizar las vulnerabilidades: Identificar las tecnologias usadas en los puntos criticos
5. Explotacion: ejecutar el ataque
6. Post-explotacion: Intentar realizar movimientos laterales para acceder a mas recursos
7. Entregar un reporte ejecutivo y técnico con las vulnerabilidades encontradas.

Tambien existen diferentes tipos de pentesting

• Blackbox: El auditor no posee acceso ni detalles del objetivo, solo conoce URL's o IP's publicas
• Graybox: El auditor si tiene acceso a la red interna para una mejor exploracion
• Whitebox: El auditor tiene acceso solo a una parte de la red interna

Stakeholders

Son todos los interasados (personas, empresas o aliados) que aportan al cumplimiento de la ciberseguridad, existen dos tipós:

• Sector privado: son los proveedores de tecnologia o soluciones de ciberseguridad que aportan controles y ayudan a mitigar, ejemplo
• aws
• Google
• Microsoft
• Sector publico: esta contegoria incluye entidades gubernamentales y organizaciones que establecen directrices o norma de ciberseguridad dentro de un territorio nacional. son responsables de hacer obligatorio el cumplimiento de ciertas medidas de proteccion en el ambito tecnologico
• La NSA (Agencia Nacional de Seguridad) en estados unidos
• Ministerios relacionados con tecnologia de la informacion en latinoamerica

Responsabilidades

1. Aplicar controles
2. Promover el cumplimiento de normas estandres
3. Auditar las buenas practicas de cibersguridad
4. Aplicar sanciones multas por incumplimientos