Acelere su viaje SSE. Únase a Netskope en RSA.

  • Servicio de seguridad Productos Edge

    Protéjase contra las amenazas avanzadas y en la nube y salvaguarde los datos en todos los vectores.

  • Borderless SD-WAN

    Proporcione con confianza un acceso seguro y de alto rendimiento a cada usuario remoto, dispositivo, sitio y nube.

  • Plataforma

    Visibilidad inigualable y protección contra amenazas y datos en tiempo real en la nube privada de seguridad más grande del mundo.

Netskope ha sido nombrado Líder en el Informe del Cuadrante Mágico de Gartner™ 2022 en SSE

Obtenga el informe Todos los productos
Líder SSE Netskope gartner mq 2022
Respuesta rápida de Gartner®: ¿Cómo afecta la adquisición de Netskope a los proyectos SD-WAN, SASE y SSE?

Obtenga el informe
Gartner quick answer
Netskope ofrece una estrategia de seguridad cloud moderna, con capacidades unificadas para los datos y protección frente a amenazas, además de un acceso privado seguro.

Explora nuestra plataforma
Vista aérea de una ciudad metropolitana
Cambie a los servicios de seguridad en la nube líderes del mercado con una latencia mínima y una alta fiabilidad.

Más información
Lighted highway through mountainside switchbacks
Prevenga las amenazas que a menudo eluden otras soluciones de seguridad utilizando un marco SSE de un solo paso.

Más información
Lighting storm over metropolitan area
Soluciones de confianza cero para implementaciones de SSE y SASE

Más información
Boat driving through open sea
Netskope hace posible un proceso seguro, rápido y con inteligencia cloud para la adopción de los servicios en la nube, las aplicaciones y la infraestructura de nube pública.

Más información
Wind turbines along cliffside
  • Nuestros clientes

    Netskope da servicio a más de 2.000 clientes en todo el mundo, entre los que se encuentran más de 25 de las 100 empresas de Fortune

  • Soluciones para clientes

    Le apoyamos en cada paso del camino, garantizando su éxito con Netskope.

  • Formación y certificación

    La formación de Netskope le ayudará a convertirse en un experto en seguridad en la nube.

Ayudamos a nuestros clientes a estar preparados para cualquier situación

Ver nuestros clientes
Woman smiling with glasses looking out window
El talentoso y experimentado equipo de servicios profesionales de Netskope proporciona un enfoque prescriptivo para su exitosa implementación.

Más información
Servicios profesionales de Netskope
Asegure su viaje de transformación digital y aproveche al máximo sus aplicaciones en la nube, web y privadas con la capacitación de Netskope.

Más información
Group of young professionals working
  • Recursos

    Obtenga más información sobre cómo Netskope puede ayudarle a proteger su viaje hacia la nube.

  • Blog

    Descubra cómo Netskope permite la transformación de la seguridad y las redes a través del servicio de seguridad (SSE).

  • Eventos & Workshops

    Manténgase a la vanguardia de las últimas tendencias de seguridad y conéctese con sus pares.

  • Seguridad definida

    Todo lo que necesitas saber en nuestra enciclopedia de ciberseguridad.

Podcast Security Visionaries

Episodio 10: Construyendo relaciones de seguridad a través de la transparencia
In this episode, Mike and Andreas discuss aligning with works councils, forging business relationships through transparency, and embedding security into value streams.

Reproducir el pódcast
Building Security Relationships Through Transparency
Lea lo último sobre cómo Netskope puede hacer posible el viaje de confianza cero y SASE a través de las capacidades de SSE.

Lea el blog
Sunrise and cloudy sky
Netskope at RSA

Join Netskope at RSA Conference this year and be part of the real conversations on SASE and Zero Trust. Stop by our booth in South Hall, chat with an expert, register for our speaking sessions, and unwind by joining us at one of our events!

Más información
RSA logo
¿Qué es Security Service Edge (SSE)?

Explore el lado de la seguridad de SASE, el futuro de la red y la protección en la nube.

Más información
Four-way roundabout
  • Empresa

    Le ayudamos a mantenerse a la vanguardia de los desafíos de seguridad de la nube, los datos y la red.

  • Por qué Netskope

    La transformación de la nube y el trabajo desde cualquier lugar han cambiado la forma en que debe funcionar la seguridad.

  • Liderazgo

    Nuestro equipo de liderazgo está firmemente comprometido a hacer todo lo necesario para que nuestros clientes tengan éxito.

  • Partners

    Nos asociamos con líderes en seguridad para ayudarlo a asegurar su viaje a la nube.

Netskope posibilita el futuro del trabajo.

Descubra más
Curvy road through wooded area
Netskope está redefiniendo la seguridad de la nube, los datos y la red para ayudar a las organizaciones a aplicar los principios de Zero Trust para proteger los datos.

Más información
Switchback road atop a cliffside
Pensadores, constructores, soñadores, innovadores. Juntos, ofrecemos soluciones de seguridad en la nube de vanguardia para ayudar a nuestros clientes a proteger sus datos y usuarios.

Conozca a nuestro equipo
Group of hikers scaling a snowy mountain
La estrategia de venta centrada en el partner de Netskope permite a nuestros canales maximizar su expansión y rentabilidad y, al mismo tiempo, transformar la seguridad de su empresa.

Más información
Group of diverse young professionals smiling

De vuelta a la escena del crimen: El enrevesado papel del retorno de inversión en la tecnología de seguridad

04 de marzo de 2020

"¿Por qué aprobaría este tipo de inversión si no puede explicar algún tipo de reducción de costos, una oportunidad para habilitar el negocio, o el retorno asociado con la gestión más eficiente de mi exposición al riesgo existente?"

¿Cuántas veces, como profesionales, hemos tenido estas conversaciones? a se trate de un debate sobre el riesgo inherente de ciertas prácticas empresariales, o de los costos de inversión asociados en personas, procesos y tecnología destinados a gestionar dicho riesgo, los profesionales se enfrentan constantemente al reto de proporcionar alguna forma mensurable de comunicar el valor intrínseco de esas inversiones. 

Nuestros colegas en los negocios hablan de ROI, retorno de la inversión, con frecuencia, ya que han estado condicionados durante mucho tiempo con la necesidad de ser capaces de demostrar algún tipo de valor o retorno en los programas, inversiones, iniciativas y similares. Tener una estrategia para comunicar claramente el "valor" en el negocio de la seguridad y el riesgo también es absolutamente crítico. Puede que a menudo se pase por alto, pero las funciones que llevamos a cabo son negocios dentro del negocio. En última instancia, proporcionamos servicios a nuestros clientes que permite que nuestro negocio funcione dentro de ciertas tolerancias para los procesos establecidos, al tiempo que les permiten transformarse y asumir más riesgos a medida que construyen nuevos modelos de negocio. 

Entonces, ¿cuál es el problema? Básicamente, estamos luchando con el desafío de no poder comunicarnos en el mismo idioma. Por ejemplo, hay formas simples y establecidas para que un CEO determine el "retorno de la inversión" de algo como un nuevo edificio de oficinas. Las métricas previstas sobre el valor de las inversiones inmobiliarias y los aumentos de capacidad de un equipo más eficiente o de una nueva instalación son relativamente sencillas y están arraigadas en el tejido empresarial. 

En nuestro negocio dentro del negocio, realmente sólo somos capaces de gestionar tres cosas asociadas a nuestras inversiones: la eficacia de la inversión en términos de gestión o reducción de riesgos, el coste total de propiedad de una inversión determinada, y la capacidad de asesorar sobre la transferencia de dicho riesgo de alguna manera (por ejemplo, un seguro, etc.). El desafío que la mayoría de nosotros ha encontrado con estos tres factores es que no hemos sido realmente buenos en la recolección de los datos requeridos y en la realización de los cálculos necesarios para darles sentido de manera efectiva. Esto es evidente en muchos programas que, efectivamente, han tomado un planteamiento generalista de “brocha gorda” para aplicar controles donde existen lagunas o problemas, lo que resulta en muchos casos en que a un riesgo de 500 dólares se le aplica un control de 100.000.000 dólares. Esto crea fricciones con los consumidores de nuestros servicios, creando así desafíos a largo plazo para la justificación de futuras inversiones. 

¿El costo total de propiedad como punto de partida?

Un área en la que realmente podemos poner algunos datos empíricos sólidos es el costo total de propiedad (TCO) de los procesos y tecnologías de apoyo que sustentan los servicios que proporcionamos a nuestros clientes. La mayoría de nosotros hemos pasado mucho tiempo desarrollando métricas en torno a todas las actividades que hacemos para dar soporte a nuestro negocio. Estos datos métricos, junto con otra información disponible públicamente, pueden utilizarse para orientarnos hacia unos costes de propiedad relativamente precisos para los servicios y tecnologías en los que invertimos. 

Tomemos, por ejemplo, el caso para determinar los costos de personal asociados con el análisis diario de las investigaciones de incidentes. Si sé que, en promedio, mi equipo de respuesta dedica el 20% de su día a actividades de investigación, que tengo dos recursos dedicados en ese equipo y que los recursos totalmente ocupados cuestan 75 dólares por hora, puedo determinar que este proceso, desde la perspectiva del capital humano, consume un poco más de 800 horas-hombre por año para ejecutarse y le cuesta a nuestro negocio alrededor de 60.000 dólares. Si entonces entiendo el inventario de todas las herramientas tecnológicas necesarias para ejecutar estos procesos, puedo calcular el costo anual de la tecnología de apoyo y tener una descripción bastante precisa del costo de ese servicio. Sin embargo, ¿esto me lleva a un punto donde pueda comunicar un verdadero retorno de la inversión? No del todo. 

¿El costo del riesgo?

Bruce Schneier escribió un gran artículo sobre este mismo tema para CSO en septiembre de 2008 que ha envejecido muy bien. En lo que respecta al enfoque tradicional de poner un valor en dólares al riesgo, afirma: "La metodología clásica se llama expectativa de pérdida anual (ALE), y es sencilla. Calcula el costo de un incidente de seguridad en ambos, tangibles como tiempo y dinero, e intangibles, como reputación y ventaja competitiva. Multiplique eso por la probabilidad de que el incidente ocurra en un año. Eso te dice cuánto debes gastar para mitigar el riesgo." 

Este enfoque de "probabilidad x impacto" ha sido el método que todos hemos tratado de aplicar de un modo, forma o manera, para obtener algo parecido a un indicador financiero del costo de los riesgos que hemos identificado y estamos tratando de gestionar. El problema, como también señala Bruce, es que los resultados de estos cálculos van esencialmente en contra nuestra cuando hablamos con los dirigentes empresariales, y se ven empañados por la falta de buenos datos para las variables de entrada. 

Por ejemplo, si el costo calculado de un riesgo determinado es de 40.000 dólares anuales y el costo total de propiedad de las personas, los procesos y la tecnología que intentan gestionar mejor o reducir ese riesgo es de 65.000 dólares anuales, imagínese lo que el Director Financiero va a querer saber. ¿Cuán precisos son nuestros datos sobre los factores que entran en la medición del impacto (pérdida real, reputación, etc.) y cuán precisos son nuestros datos para determinar la probabilidad real? E, incluso si todos estamos de acuerdo con estas cifras, la forma en que el Director Financiero interpreta y en última instancia decide permitirle invertir, puede obviamente ser influenciada por estos, y muchos otros factores. Al hablar con muchas personas del sector, así como por mi propia experiencia como profesional, tenemos a menudo el reto de cerrar la brecha en la comprensión. Si no se comprenden financieramente los verdaderos niveles de tolerancia al riesgo de la organización, se podría estar librando una difícil batalla. Imagine que pide una inversión para reducir lo que ha calculado como 10 millones de dólares de riesgo debido a un proceso de negocio con falta de controles, pero ¿Considera el director financiero 110 millones de dólares como un error de redondeo? ¿Cree que va a conseguir la inversión que necesita? 

Consideraciones para obtener mejores resultados

  • Haga un esfuerzo coordinado para inventariar y organizar todos los servicios que su negocio dentro de un negocio ofrece a sus clientes.Dedique tiempo a calcular el costo total de propiedad de todos esos servicios para comunicar de manera transparente los costos de mano de obra y tecnología a la empresa. Esto le permitirá comenzar a comunicarse con los dirigentes de la empresa en términos que ellos entiendan y también le permitirá priorizar la evaluación futura de las diferentes tecnologías con el objetivo de proporcionar el mismo servicio a un costo menor o de proporcionar ese servicio de una manera más eficaz desde la perspectiva de la reducción o la gestión del riesgo. La capacidad de proyectar estos cálculos de TCO a lo largo de un plan de 3 a 5 años en el contexto de "costo del riesgo" y "costo del control" puede ser un punto de inflexión para la inversión futura del programa. 
  • Obtenga los datos. Dedique tiempo a obtener los datos asociados a los problemas, riesgos, costos o deficiencias de control que está tratando de resolver. Desafíe sus afirmaciones y a los datos que está recolectando. ¿Tenemos realmente datos específicos reales y precisos que permitan cualquier cálculo relevante del coste del riesgo? ¿Tenemos mejores fuentes de datos para comprender si nuestra evaluación de la probabilidad es exacta? Tenga estas conversaciones con sus socios de negocio y obtenga sus percepciones para llegar a un resultado más holístico y centrado en el negocio. (¡Podríamos pasar todo el día sólo en este tema!) 
  • Dedique tiempo a comprender el punto de vista de la organización sobre la tolerancia al riesgo y dónde están esos umbrales financieros para entender esos límites y cómo se gestionan. Probablemente será muy revelador obtener esa visión y le permitirá posicionar mejor las cosas que puede calcular con precisión o sobre las que tiene mejores datos. Esto le ayudará a evitar ir a la oficina del director financiero con el mensaje equivocado o el análisis equivocado, permitiendo una toma de decisiones más informada mientras analiza las prioridades. ¿Hay más valor en reducir el costo de un control caro donde el riesgo es bajo que simplemente añadir un nuevo control? ¿Y tiene sentido financiar el nuevo control con los ahorros del otro?
  • Evite el utópico análisis de datos calculado por el fabricante acerca del retorno de la inversión. Están incluso menos preparados que usted para comprender el contexto de su organización, la probabilidad de un determinado evento o sus costos de operación. Un verdadero "socio" debe estar dispuesto a sentarse y comprender su TCO, entender los servicios que usted presta hoy en día y poder ayudarle a articular lo siguiente:
    • ¿Cómo puede la inversión propuesta en tecnología reducir el costo de operación de un proceso o servicio existente que estoy ofreciendo? (por ejemplo con uno análogo, pero más barato / requiriendo menos mano de obra, etc.)
    • ¿Cómo puede la inversión propuesta en tecnología mejorar la eficacia de un proceso o servicio existente que ofrezco desde una perspectiva de riesgo? (es decir, mejora la eficacia de un control general específico o proporciona una oportunidad de control/reducción de riesgos que antes no era posible, etc.)
    • ¿Cómo puede la inversión propuesta en tecnología potenciar y/o proporcionar oportunidades futuras para la reducción de riesgos al hacer a “prueba de futuro" su arquitectura o entorno de control? Invirtiendo en capacidades para crear pilares básicos que estén alineadas con la proyección de hacia dónde se dirige su negocio, en lugar de esperar a que el negocio identifique la "fricción" o un caso de uso que sus servicios actuales no cubren. 
    • ¿Cómo puede la inversión propuesta en tecnológica proporcionar un valor mejorado o mayor a partir de mis inversiones actuales? Todos hemos escuchado que el valor del individuo óptimo en un equipo es aquel que hace que todos a su alrededor sean mejores. Lo mismo debe considerarse cuando se invierte en tecnología; ¿cómo puede esta inversión hacer que todas mis otras inversiones sean mejores? (es decir, ¿puede ayudarme a abordar más casos de uso? ¿Puede reducir mi carga operativa? ¿Evita la necesidad de construir una integración manual entre las tecnologías? etc.)

¿Está el ROI realmente defenestrado? En realidad no. Lo que realmente buscamos son mejores resultados de los servicios que ofrecemos a nuestros clientes; a nuestros socios de negocio. Comprender los costos operativos detallados de todas nuestras inversiones en tecnología, junto con la posibilidad de medir la eficacia de esos procesos y tecnologías para ayudar a gestionar el riesgo, nos posiciona mejor para hablar el lenguaje de los negocios. 

Los elementos reales del retorno de inversión en este ámbito son: establecer una comprensión más clara del riesgo en nuestros negocios (e influir en él), ser capaces de proporcionar transparencia en torno a los costos y la eficacia de los servicios que ofrecemos a nuestros clientes, desafiar nuestras afirmaciones de siempre sobre la probabilidad frente al impacto en nuestro entorno con mejores datos, y obligarnos a utilizar todo esto para reducir el costo operativo y la fricción de los controles, no sólo para hoy, sino a medida que invertimos en la transformación de nuestros programas de seguridad. 

Como Wayne Gretzky dijo una vez, "Un buen jugador de hockey juega donde está el disco, un gran jugador de hockey juega donde va a estar el disco." Del mismo modo, un buen departamento de seguridad gestiona donde está el negocio hoy, mientras que uno grande también está gestionando donde estará el negocio mañana.

author image
Nathan Smolenski
Nathan es un CISO experimentado y líder tecnológico y de gestión de riesgos con más de 19 años de experiencia en servicios financieros, consultoría de gestión, seguros y verticales de la industria del software. Actualmente se desempeña como Director, Jefe de Estrategia de Seguridad Empresarial como miembro del equipo de estrategia global de Netskope, centrado en la transformación digital y los impactos en los programas y estrategias de ciberseguridad.