¿Gestionar la ciberseguridad en la empresa actual? Probablemente esté haciendo malabarismos con varias unidades de negocios, entornos de nube y equipos de desarrollo mientras intenta mantener algo parecido a estándares de seguridad consistentes. Si todavía está operando con un modelo de seguridad centralizado de comando y control, es posible que esté librando una batalla cuesta arriba.
Ahí es donde entra en juego la seguridad federada. Es el equilibrio entre supervisión y autonomía: permitir que las unidades de negocios tengan la flexibilidad que necesitan mientras mantienen los estándares de seguridad que su organización requiere. Sin este enfoque, uno se verá obligado a tomar una decisión: reprimir la innovación o crear brechas de seguridad. Ninguna opción es particularmente atractiva.
La realidad: por qué los modelos tradicionales se están resquebrajando
La mayoría de los CISO con los que hablo se enfrentan al mismo dolor de cabeza: las decisiones tecnológicas han pasado de la TI central a las líneas de negocio individuales. ¿Ese modelo de seguridad ordenado y organizado que construiste? Está siendo golpeado por unidades de negocios que necesitan moverse rápido, innovar constantemente y responder a los cambios del mercado antes que los competidores.
Esto es lo que sucede cuando los modelos de seguridad tradicionales se hacen realidad:
- Compensaciones entre velocidad y seguridad: las unidades de negocios evitan los procesos de seguridad porque los plazos no esperan a nadie
- Shadow IT en todas partes: los equipos adoptan herramientas sin preguntar porque obtener la aprobación lleva una eternidad
- Caos en la interpretación de políticas: cada división lee la misma política de seguridad de manera diferente
- Cuellos de botella del equipo central: la seguridad se convierte en lo que ralentiza a todos
- Desajustes de contexto: los equipos de seguridad no comprenden realmente qué hace realmente cada unidad de negocio
Cuando no se da en el blanco, se terminan con fallas de cumplimiento, incidentes de seguridad y socios comerciales que piensan en la seguridad como «el equipo que siempre dice no».
Conozca la seguridad federada: el término medio que realmente funciona
Las organizaciones con estructuras federadas (supervisión centralizada combinada con propiedad de seguridad descentralizada) están experimentando una mejor velocidad y toma de decisiones de riesgo, especialmente en empresas con múltiples unidades de negocios o equipos de desarrollo.
El modelo de seguridad federado encuentra ese punto óptimo entre control y flexibilidad. Usted distribuye la propiedad de la seguridad mientras mantiene la gobernanza y los estándares centralizados.
He aquí por qué está ganando terreno:
- Estándares centralizados, implementación local: usted establece el «qué» de forma centralizada; Las unidades de negocio descubren el «cómo».
- Arquitectos de seguridad integrados: las personas preocupadas por la seguridad trabajan directamente dentro de las unidades de negocio
- Derechos de decisión basados en riesgos: los equipos locales pueden tomar decisiones de seguridad dentro de límites definidos
- Responsabilidad compartida: las unidades de negocio son dueñas de su postura y riesgos de seguridad; Los equipos centrales brindan orientación y supervisión.
- Experiencia escalable: aprovecha el conocimiento especializado en toda la organización sin que todo fluya a través de un solo equipo.
El modelo de seguridad federado en la práctica
Cuando se implementa correctamente la seguridad federada, así es como se realiza el trabajo:
- Política y gobernanza: el equipo central establece los estándares empresariales y la tolerancia al riesgo; Las unidades de negocio adaptan la implementación para que se ajuste a sus situaciones específicas.
- Gestión de riesgos: los arquitectos de seguridad locales gestionan los riesgos en sus dominios y escalan las grandes decisiones empresariales.
- Selección de herramientas: las unidades de negocio eligen soluciones de catálogos preaprobados u obtienen aprobación simplificada para nuevas tecnologías.
- Gestión de identidad y acceso: los equipos locales gestionan el aprovisionamiento diario y las asignaciones de roles dentro de marcos definidos centralmente; El equipo central mantiene los servicios de directorio, los estándares de autenticación y la arquitectura general.
- Cumplimiento: los controles automatizados mantienen un cumplimiento básico constante y, al mismo tiempo, brindan flexibilidad operativa.
¿Qué hace que la seguridad federada realmente funcione?
Los modelos de seguridad federados que triunfan tienen algunas cosas en común:
- Derechos de decisión claros: todos saben quién decide qué, cuándo y con qué nivel de autoridad.
- Red de seguridad: profesionales capacitados integrados en unidades de negocios, a menudo con relaciones de informes duales.
- Herramientas estandarizadas: plataformas comunes que brindan flexibilidad dentro de los límites establecidos
- Marcos basados en riesgos: criterios claros sobre qué decisiones se toman localmente versus centralmente
- Alineación cultural: entendimiento compartido de que la seguridad pertenece a todos, no solo al departamento de TI
Por qué este enfoque está ganando
Las organizaciones que implementan modelos de seguridad federados obtienen consistentemente varios beneficios:
- Innovación más rápida: las unidades de negocio se mueven a la velocidad del mercado sin sacrificar los estándares de seguridad
- Mejor gestión de riesgos: las decisiones se toman teniendo en cuenta tanto el contexto empresarial como la experiencia en seguridad.
- Mayor adopción: los controles de seguridad diseñados teniendo en cuenta las necesidades del usuario se adoptan en lugar de omitirse
- Resiliencia mejorada: la toma de decisiones distribuida elimina puntos únicos de falla
- Cultura de seguridad más sólida: cuando las personas poseen algo, se preocupan más por ello
El resultado final
Los CISO están aprendiendo a centralizar la gobernanza de políticas y al mismo tiempo hacer que la implementación de políticas sea más flexible y administrada localmente. Los días en que la seguridad centralizada controlaba cada decisión están terminando. Las empresas modernas necesitan modelos de seguridad que se ajusten a su forma real de operar: distribuidos, de rápido movimiento e innovadores.
El enfoque federado no se trata de perder el control. Se trata de escalar la influencia de manera inteligente. Cuando incorpora experiencia en seguridad donde se toman decisiones y proporciona marcos claros para la acción independiente, crea un programa de seguridad que permite, en lugar de obstaculizar, el éxito empresarial.
Entonces, antes de su próxima reestructuración organizacional, pregúntese: ¿estamos construyendo una seguridad que crece con la complejidad de nuestro negocio, o somos la restricción que limita nuestro propio éxito? Quizás valga la pena considerar el modelo federado.
Fuente