Andreas Rohr: La historia más convincente para el comité de empresa que en realidad no estaba allí para evitar que la seguridad o que la empresa hiciera lo correcto, están allí para asegurarse de que no se abuse de los datos contra los derechos de los empleados. Es su misión, su tarea, y es válida. Cuando estaba en un puesto de CISO en empresas donde había un comité de empresa fuerte, la mejor relación es si realmente estás siendo transparente con lo que haces, ¿por qué estás haciendo eso?
Orador 2: Hola y bienvenidos a Security Visionaries. Acaba de escuchar al invitado de hoy, Andreas Rohr, CTO de DCSO. Alinear a las organizaciones en materia de seguridad requiere muchas habilidades, la más importante, la transparencia. Desde establecer una comunicación de arriba hacia abajo hasta colaborar con los comités de trabajo, la transparencia responde muchas preguntas en el camino. Como, ¿quién tiene acceso a la información confidencial? ¿Cuál es el apetito de riesgo de una organización? ¿Y cómo se protegen los datos de los empleados? Antes de sumergirnos en la entrevista de Andreas, aquí hay unas breves palabras de nuestro patrocinador. Este podcast de Security Visionaries está impulsado por el equipo de Netskope. En Netskope, estamos redefiniendo la seguridad de la red, los datos y la nube con una plataforma que brinda acceso optimizado y seguridad de confianza cero para las personas, los dispositivos y los datos dondequiera que vayan. Para obtener más información sobre cómo Netskope ayuda a los clientes a estar preparados para cualquier cosa en su viaje atrevido, visite NETSKOPE.com. Sin más preámbulos, disfrute el episodio 20 de Security Visionaries con Andreas Rohr, CTO de DCSO y su anfitrión, Mike Anderson.
Mike Anderson: Bienvenidos al episodio de hoy de Security Visionaries. Soy su anfitrión, Mike Anderson. Soy el director de información y digital aquí en Netskcope. Hoy, nos acompaña Andreas Rohr, quien se une a nosotros desde Alemania. ¿Cómo estás hoy, Andreas?
Andreas Rohr: Oh, muy bien. Gracias por pronunciar el nombre muy bien.
Mike Anderson: Estoy muy entusiasmado con esta conversación de hoy porque cuando pensamos en la seguridad cibernética, ha hecho algunas cosas muy interesantes para unir a las personas en la región DACH y pensar en empresas de todos los tamaños al pensar en el tema cibernético. . Entonces, ¿puede contarnos más sobre DCSO, cómo comenzó, la misión que tiene, lo que está tratando de lograr y cómo está trabajando con las empresas?
Andreas Rohr: DCSO significa Organización Alemana de Seguridad Cibernética. Así que la D es de Deutsche, para aquellos que tal vez estén familiarizados con el idioma. Y lo que básicamente cuatro empresas en la región DACH; Allianz, BASF, Volkswagen y Bayer, es posible que hayas oído hablar de ellas, algunas de las empresas más grandes de Europa, vieron que básicamente debían combinar fuerzas y conseguir intercambiar ideas con otros pares de ellos mismos para no reinventar siempre los temas de seguridad por sí mismos y traer junto a sus expertos. Porque tienen una cosa en común, que es el 90%, el 80% de lo que están desafiando y la seguridad es más o menos la misma a pesar de que están compitiendo en el mercado. Y segundo, los talentos no son suficientes en el mercado. Así que reunirlos bajo un mismo techo y asignarles tareas que les interesen a todos mejoraría aún más las cosas. Y los recursos permitieron probar nuevas ideas. Así que esta es una de las cosas. La segunda es que todos tienen su cadena de suministro de la que dependen. Y esto fue hace siete años, por lo que el término ataque a la cadena de suministro no nació en ese momento, pero ya se dieron cuenta de que el eslabón más débil básicamente no es su seguridad y su equipo de seguridad y la madurez de ellos, sino los de su cadena de suministro, que son los más dependientes.
Andreas Rohr: Y digerir o hacer que las cosas sean digeribles a partir de sus conocimientos y aprendizajes de seguridad, es lo que DCSO, como intercambio impulsado por la comunidad, pone en funcionamiento dichos conocimientos y tecnología para los que también hemos sido fundados, para encontrar formas de hacerlo más fácil. para usar y también para aplicar para aquellas empresas que no tienen un gran equipo de seguridad o incluso ningún conocimiento. Entonces operacionalizar con los servicios de seguridad fue la segunda tarea, básicamente durante la fundación de la empresa.
Mike Anderson: No, eso es genial. Y definitivamente sé que tenemos tantos roles cibernéticos abiertos hoy. Cualquier cosa que pueda hacer para ayudar a las empresas a combatir a los malos actores que quieren causar daño a las empresas. Como dijiste, estos son competidores en algunos casos que se reúnen en la mesa para descubrir cómo pueden básicamente protegernos de los adversarios que viven en la naturaleza. Así que definitivamente es una misión fuerte. ¿Ha tenido otras empresas que se han unido como parte de eso? Y has hablado de los cuatro que se unieron originalmente, pero ¿has tenido más que se hayan unido a esa misión también?
Andreas Rohr: Esa es una buena pregunta. Así que no son sólo los cuatro. Comenzamos esto muy temprano con alrededor de 16 de las compañías fiscales, ahora somos alrededor de 20, 21 más o menos y algunas empresas familiares y del mismo tamaño. Y básicamente guían el tipo de desarrollo de la cartera de DCSO y de lo que debemos hablar y lo que debe investigar en términos de temas y direcciones y nos ayudan, en un asesoramiento también, por así decirlo, hacia dónde desarrollarnos. Y el segundo es lo que también nos gusta y realmente logramos implementar es un formato muy regular donde aprenden no solo con temas nuevos, sino también las cosas existentes en las que fallaron o cómo resolvieron ciertos desafíos y lo que no funcionó. Eso es aún más importante para acortar las curvas de aprendizaje. Y esto no es solo para las empresas menos maduras, también es entre las maduras. Y esto demuestra que reunir a las personas, a pesar de competir en un mercado, es realmente útil, efectivo y no solo debe limitarse a las empresas en sí, sino también a la relación con las autoridades y tal vez incluso con estos institutos de investigación. Entonces, realmente une los diferentes campos de experiencia y conocimientos, especialmente también con los servicios de inteligencia. Tiene sentido en ambos sentidos tener un flujo, no hacerlo visible para los tomadores o adversarios, como dijiste.
Mike Anderson: Definitivamente siento la necesidad de una asociación público-privada en torno al intercambio de inteligencia y lo que sucede desde el punto de vista de la amenaza. Nuevamente, trae todo este concepto de que la seguridad es un deporte de equipo. No son solo las cuatro paredes de mi organización, sino todo el ecosistema trabajando en conjunto. Cuando observa eso, solo tengo curiosidad, cuando piensa en las autoridades que existen, ¿ha podido influir en la política o los cambios que ayudarían a las empresas a tener mejores indicadores o cosas a las que alinearse?
Andreas Rohr: Sí, definitivamente. Esa fue una de las cosas que básicamente aprendí de los Estados Unidos. Así que he visto el NCFTA, donde el FBI y otras fuerzas del orden público y la industria trabajaban juntos. Creo que en los primeros años, en los días cero de la década de 2000 y también en otros formatos para los cuales algo está impulsado por el estado. Pero en general, me gusta mucho la idea de que haya una relación fluida donde realmente se intercambien las cosas necesarias para ayudarse mutuamente. Y esto también impulsó mi forma de influir en cómo lo hacemos y, de hecho, tenemos una muy buena relación con el Ministerio del Interior, que en realidad es responsable de ser la función de asesoramiento y supervisión de la policía federal de la BSI, la policía federal. oficina de seguridad de la información, y también el que está protegiendo la constitución. No estoy seguro de lo que eso se traduce al inglés. Así que tener esas autoridades que tienen todos sus propios conocimientos de [0:07:13.7] ____, de sus pares en el FBI, por ejemplo, o de otros servicios policiales o de inteligencia, y asegurándose de que se transmita a través de DCSO como una cámara de compensación confiable si lo desea, donde pueden confiar que esto no se filtrará al público, especialmente a los atacantes.
Andreas Rohr: Pero ayudar a las empresas a encontrar ciertas cosas en las que no tienen una indicación clara de que una empresa en particular está amenazada por un actor en particular. Pero en general y ayudar a identificar si esos atacantes están activos en esas redes, ha demostrado ser muy valioso porque también hemos ayudado a las autoridades a descubrir que un grupo en particular estaba activo al poner en funcionamiento la información que nos dieron en un lugar confiable. forma. Y básicamente podríamos responderles: "Está bien, mira, esto que nos diste, no tenemos idea de dónde vino, pero lo hemos visto aquí". Y así ayudamos a las fuerzas del orden y también a los servicios de inteligencia a que sus objetivos sean mejor monitoreados cuando no tienen sensores, porque en el lado interno, las autoridades están limitadas a lo que pueden hacer en contraste con fuera de Alemania. Y lo mismo, por otro lado, las empresas que a veces son muy conservadoras al permitir que las autoridades revisen sus redes podrían usarnos para asegurarse de que solo se transmitan las cosas que son realmente necesarias para cumplir con cada misión individual. Y tenernos básicamente como un puente para cubrir también entonces no siempre dando confianza al principio.
Andreas Rohr: Entonces se convirtió en algo donde hay un intercambio más confiable donde esos temores iniciales no han desaparecido, pero definitivamente son más bajos que antes. Entonces esto ayuda al final a todos. No es patético aquí, sino que también ayuda a obtener una mejor protección de la democracia misma donde hay partidos influyentes.
Mike Anderson: Bueno, parece que dijiste falta de confianza, por lo que suena como confianza cero. Así que parece que ese es un tema común en todas partes. Veo muchas organizaciones tratando de alinearse con él. Mire la guía, como en los EE. UU. e incluso más allá, a veces vemos personas que se alinean con los controles del NIST que existen debido a las compañías de seguros que; ese será un tema del que hablaremos un poco más tarde, lo están usando como guía. Los auditores lo utilizan como guía. ¿Cuál cree que es la guía para las empresas con las que trabaja actualmente? ¿Cuál es esa guía a la que están tratando de alinearse?
Andreas Rohr: Así que no es tanto impulsado por NIST, eso es simplemente tratado en la naturaleza de que estamos en Europa y, a veces, tratamos de inventar la rueda nosotros mismos en lugar de unir nuestras fuerzas. Pero de todos modos, la guía aquí es más la ISO 27000 o algo similar. Es una versión muy alemana de la misma. Todos intentan ir tras asegurarse de que gestionas tu seguridad correctamente. Y más en esto, el desarrollador de los últimos años, importa más el nivel de madurez de esas implementaciones de control que el cumplimiento real del mismo. Así que piense en tener cosas de cumplimiento primero y luego, tal vez hace 10 años, donde comenzaron a implementar esas cosas, la efectividad de eso es lo que importa. Entonces, en realidad hay un cambio, y lo que me gusta con el NIST y también con otros marcos, es que intentan ir más en la dirección, qué tan efectivos se están protegiendo y no necesariamente solo están administrando básicamente sus riesgos y teniendo controles. Y aquí es donde en realidad las cosas deberían desarrollarse más. Entonces se necesita el cumplimiento, pero es solo una condición necesaria, no es suficiente, porque una suficiente está siendo efectiva. Y la eficacia en realidad importa más que el pleno cumplimiento. Pero esto podría no citarse a un regulador, por favor.
Mike Anderson: Bueno, es interesante, porque lo que veo muchas veces es que la gente adquirirá herramientas porque los auditores dicen que necesitas tener la herramienta. Pero como dijiste, la efectividad es en realidad, ¿estás utilizando la herramienta para lograr el objetivo que deseas lograr o impulsar el resultado comercial? Y muchas veces ese es un eslabón perdido porque las personas recopilan herramientas para satisfacer a los auditores, pero no obtienen la eficacia que necesitan. Y, por lo tanto, ahora se exponen a la interrupción del negocio, ya sea ransomware, se exponen a una violación de datos en su organización.
Andreas Rohr: Sí. Eso es algo que los auditores y los reguladores deberían pensar de manera diferente quizás en el futuro porque impulsan este desarrollo por la forma en que establecen su regulación. Y hay un buen cambio, que vi fue una directriz de seguridad local que en realidad entró en vigencia o entrará en vigencia por completo el 1 de mayo en Alemania, lo que indica que debe tener... Como en la nueva versión de ISO 27000, que necesidad de contar con sistemas de detección de ataques. Así es como lo llaman. Básicamente, mecanismos de detección ISO y también respuesta. Y estas son realmente las cosas a las que también te refieres. No se trata solo de una herramienta, sino que también exigen que, desde el punto de vista organizativo, debe asegurarse de poder analizar esas cosas, en un ser humano y darles sentido, ya sea que se trate de algo serio a lo que aspirar o no. Y luego, aún más importante, ser capaz y tener cosas implementadas para reaccionar. Por lo tanto, también es algo impulsado por la organización que necesita tener capacidad las 24 horas del día, los 7 días de la semana, para hacer algo al respecto. Si hay indicios de que un grupo de ransomware se encuentra en una etapa temprana. Porque es posible que solo le queden unas pocas horas o, como máximo, días para evitar el daño máximo.
Andreas Rohr: Y tener estas cosas organizacionales además de las herramientas y la integración y hacer uso de eso de una manera efectiva es donde la regulación debería... Como las compañías de seguros realmente hacen, más bien buscarán si algo es efectivamente seguro. O no. Y aquí es donde realmente necesita desarrollarse. Pero el regulador, para ellos, es más fácil decir que necesita tener una SIM, necesita tener un monitoreo de detección de red. Entonces, si tiene un centro de datos propio y qué no. Pero al final, también podría ser un buen consejo para el regulador, tal vez esa sea una de las próximas misiones de DCSO para influir en que sea más relevante en la práctica lo que realmente les dicen. Y hay un buen ejemplo de la ley de seguridad nacional que se publicó hace dos años en Alemania.
Mike Anderson: No, eso es genial. Mencionaste sobre la gestión del impacto. Recuerdo que un compañero mío en una empresa global de bienes de consumo dijo que cuando NotPetya llegó, infectó toda su red y todos sus sistemas en 15 minutos, a nivel mundial. Y por eso creo que el pensamiento es el tradicional, "¿Cómo hago para que las cosas pasen lo más rápido posible del punto A al punto B, de C a D, y alrededor de mi red corporativa". Todo eso tiene que ser repensado porque entonces, si me comprometo en un nodo, ¿puede rápidamente tomar el control de toda mi red y derribar todo mi negocio?
Andreas Rohr: Exactamente. Y cuando también busque sobre ese asunto, piense, este NotPetya fue algo que la mayoría de la gente podría haber evitado al hacer más higiene en sus parches. Pero antes de que sucedan esas cosas, al menos con los vectores de ransomware, hacen algo de ruido en la red. Entonces, en casi el 100 % de los casos en los que hemos estado involucrados, al responder a incidentes, vimos suficientes señales que podrían haberse analizado básicamente y desencadenado acciones para detener el ataque. No necesariamente los obligaría a remediar esos sistemas y construir cosas desde cero, pero podrían haber evitado todo el daño que realmente ocurrió después de unos días. Y lo mismo es también con NotPetya, si hubiera podido parchear esas cosas que se sabe o se sabe que son críticas, y algunas otras buenas prácticas que realmente exigían en esos estándares, que mencionó anteriormente, entonces esta es la tarea. , la condición necesaria. Y lo suficiente es construir encima de eso una buena red de detección que realmente te dé el detonante para actuar. Y, no estoy seguro si hubiera sido resuelto en 15 minutos, pero en general hay un marco de tiempo que se está reduciendo para ser justos.
Andreas Rohr: Pero hay un período de tiempo en el que puedes detectar cosas y puedes asumir que no todas las medidas de protección siempre te protegerán al 100 %. Y es que un usuario hace clic en algo o no ha parcheado o hay una configuración no segura o lo que sea allí. Pero si asumes que ese es el caso y tienes una rejilla de detección encima, eso te dirá: "Está bien, hay algo que no quieres tener aquí. Por favor, eche un vistazo y tome medidas". Tal vez incluso de una manera muy automatizada o predefinida para detener este tipo de ataques es lo que debe hacerse para las empresas realmente buenas en términos de estado de seguridad.
Mike Anderson: Sí, estoy totalmente de acuerdo hombre. Si es manual, siempre depende de la persona que está en la silla y con una brecha de habilidades que puede volverse problemática. Así que exactamente a su punto, la automatización. Para que pueda tomar medidas preventivas y ejecutar mi juego lo más rápido posible es fundamental. Volviendo a pensar en el lado de la seguridad, y pienso en la privacidad de los datos, todo el mundo habla de GDPR. Siempre les recuerdo a las personas que creen que el RGPD es difícil, esperen hasta que tengan que presentarse ante el consejo de trabajadores alemán y hablar sobre la privacidad de los datos para los ciudadanos alemanes. Cuando piensas en muchas herramientas de seguridad, estás inspeccionando lo que está haciendo la gente. ¿Cómo está ayudando a las empresas a navegar el consejo de trabajadores alemán para asegurarse de que puedan obtener las protecciones adecuadas, pero también preservar la privacidad de los ciudadanos alemanes?
Andreas Rohr: Esa es una pregunta difícil. No hay una bala de plata para hacer que esto suceda. Ese comité de empresa está contento con lo que sucede cuando se inspecciona una gran cantidad de datos, que se necesita para la detección, para ser justos. Pero la historia más convincente para el comité de empresa, que en realidad no está allí para evitar que la seguridad o que la empresa haga lo correcto, está allí para asegurarse de que los datos no se abusen de sus empleados. Es su misión, su tarea, y es válida. Y llevarse bien con los comités de empresa... Y cuando estaba en un puesto de CISO en empresas donde había un comité de empresa fuerte, la mejor relación es si realmente eres transparente con lo que haces, por qué lo haces. Así que yo era bastante joven en ese entonces. No era muy bueno discutiendo potencialmente, básicamente sobre su misión porque también tienen la misión de proteger a los empleados de cualquier daño. Y esto también incluye ciberataques o violaciones de la privacidad de datos y brechas, etcétera. Así que en aquel entonces debería haber argumentado, lo que hago ahora, que ayudar a prevenir ataques mediante la inspección de algún tráfico o la adquisición de ciertos datos habría sido el camino correcto a seguir. Y esa es una de las cosas que no pueden negar si sabes cómo funciona básicamente la constitución.
Andreas Rohr: Si les dice que el único caso de uso para usar estos datos, donde es válido usar los datos, es para detectar actividades maliciosas y no rastrear a los empleados y demás, y si lo da por escrito, eso es lo que hace. y si te adhieres a tus propias reglas en ese sentido, entonces básicamente, en primer lugar, pondrán algunas piedras en tu camino y verán si te comportas o no. Pero si haces eso constantemente de esa manera que solo lo usas para detectar cosas maliciosas y, por lo tanto, prevenir básicamente sus constituyentes si quieres, entonces la próxima vez te permitirá pasar la puerta más fácilmente que antes. Al menos nunca fracasé en hacer que las cosas pasaran por el comité de empresa. Es solo la forma en que lo expresa y que realmente se adhiere a la mayoría de los principios para no usar los datos para otra cosa para la que los adquiere.
Mike Anderson: Eso es genial. Bueno, con suerte, esa es una oferta de línea de productos que está ofreciendo en DCSO.
Andreas Rohr: Cada vez que compra servicios administrados de DCSO, esto está incluido. Así que ayudamos al cliente a pasar por la puerta del comité de empresa y supongo que tenemos una reputación bastante buena. Y dado que he trabajado antes con comités de empresa en el mundo Volkswagen, pero también en la empresa de servicios públicos donde tienen un comité de empresa realmente sólido y cuento mi pasado con ellos y lo buena que es la relación, etcétera, entonces esa es la otra parte de la historia. . Así que aportamos nuestra experiencia y normalmente les gusta eso y les hacemos la vida más fácil en términos de ayudarlos a discutir con sus padres. Y luego es una cuestión de confianza al final, no como confianza cero, es realmente al revés. Entonces, si crea un fideicomiso, puede hacer la mayoría de las cosas con el comité de empresa. E incluso si les da solo una pequeña pista, una cuenta de solo lectura de la tecnología que está implementando, esto también ayuda mucho. Por lo tanto, se les permite tener transparencia y ayudarlos a ver lo que está viendo y lo que saca de eso y cómo comenta los casos, etcétera, esto también ayuda a generar confianza. Por lo tanto, es posible que no capten todo como lo ven, pero aquí es donde no tienen la sensación de que algo en la oscuridad está sucediendo que podría dañar a mi gente. Y no es un ingrediente secreto del éxito, pero es algo que, si se adhiere a él, en realidad lo llevará a un buen resultado.
Mike Anderson: Eso es genial. Estoy 100% de acuerdo con, la transparencia es lo que genera confianza. Cuando la gente no tiene transparencia, la gente está adivinando y adivinar no conduce a la confianza. Y ese es un gran consejo cuando se trata con el Consejo de Trabajadores de Alemania y, en general, como un principio comercial. La transparencia es lo que genera confianza. Si miro el rol que tiene hoy y habló sobre algunos de sus roles, ¿cuáles son algunos de los aprendizajes que trajo a DCSO? Usted mencionó que fue CISO en el pasado y ahora CTO de DCSO. Hable un poco sobre ese viaje y cómo han evolucionado las cosas en su pensamiento a medida que hizo la transición al rol que tiene hoy en comparación con los roles de tipo profesional y CISO que tenía en el pasado.
Andreas Rohr: Cuando era CISO en ese entonces, tenía el mismo desafío que la mayoría de los CISO que también tienen equipos técnicos. Así que tuve la fortuna de no solo ser responsable de la gobernanza y el sistema de gestión de seguridad, sino también de tener un equipo de seguridad operativo propio y el lujo de jugar con la tecnología, etcétera. Entonces, lo que más comencé fue que tenía todas esas herramientas en su lugar que hacen que la isla funcione bien o incluso sea un buen trabajo, pero no había una forma coherente de utilizar eso para una imagen completa. Y no quiero decir cosas de un solo panel de vidrio. Quiero decir que esto se usa a menudo, pero hacer uso de las fortalezas de las diferentes tecnologías y combinarlas es lo que básicamente me hizo exitoso para ser muy rentable al obtener realmente el valor total de las diferentes tecnologías que estaba empleando. Y también puse a mi equipo en ese entonces en una posición para hacer algunas cosas buenas que no estaban en la media de lo que los equipos pueden lograr. Entonces, tomando esto, como un conjunto de herramientas o diferentes, una navaja militar, si lo desea, una navaja suiza, entonces el equipo que está operando esa navaja realmente importa más. Entonces, hacer que se ocupen de diferentes tipos de tecnologías de entrada, flujos, conocimientos y hacer operativas las diferentes capacidades y habilidades de las personas para maximizar el resultado y también ayudar a resolver ciertas tareas para nuestros clientes en DCSO, es lo que me impulsó cuando desarrollamos el portafolio.
Andreas Rohr: Entonces, una de las cosas que no mencioné anteriormente fue que también me encargaron crear una cartera de servicios de seguridad administrada hace siete años. Entonces, regrese a esa época, no era muy común, tener tal vez un SARC subcontratado más o menos, pero no subcontratar tanto los servicios de seguridad administrados y resolver tareas para esas organizaciones para que puedan enfocarse en las tuercas más interesantes y difíciles de romper y no hacer el trabajo del día a día y hacerlo muy eficiente fue posible porque yo estaba en el puesto anterior. Y al mismo tiempo no tener el discurso al cliente diciendo: "Nosotros hacemos eso por ti". Y como quitarte tu trabajo, que es algo que realmente genera mucha resistencia por parte de los equipos de seguridad con los que tratas de hacer negocios. Pero ayudándolos, "Mira, sabemos que necesitas hacer eso y a veces es doloroso y también hemos estado en la posición antes, así que nos gustaría integrarnos en tu equipo, y simplemente aceptar que somos los que hacemos el super deberes todos los días, 24/7 y ¿por qué no te enfocas en las cosas interesantes?" Y te damos todos los ingredientes para ello. Así que esa es una de las cosas que ayudó mucho de un CISO y también teme la perspectiva de esos equipos maduros y el espacio del cliente para aceptar que aportamos valor agregado. Por lo tanto, no es una cuestión técnica, es más bien cómo combinar y complementar las habilidades y la capacidad del equipo. Y aquí es cuando puede convencer también a los técnicos del lado del cliente.
Andreas Rohr: Y esto ayudó mucho a construir la cartera, cómo lo expresamos, y también a incorporar la parte de la comunidad en cada uno de los servicios al juego donde hablan e intercambian con sus compañeros, no solo cómo les gustamos, sino también cómo resolver ciertos problemas del mundo real en el día a día sin tener un consultor en el lugar que les ayude a resolverlo de una u otra manera. Pero aprender de los demás que nos facilitan es lo que realmente hace posible nuestro éxito. Y esto también es algo único. Por lo tanto, no nos estamos enfocando solo en los números dentro del monto del cliente para VC, sino que realmente nos enfocamos en que puedan ayudarse mutuamente y hacemos su tarea de la manera más innovadora que podemos. Ahí es donde mi pasado realmente ayudó a hacer un tipo diferente de configuración de cartera.
Mike Anderson: No, eso es genial. Tengo que preguntar, una de las preguntas que siempre me hacen, y luego vi un debate en línea ayer en LinkedIn entre los CISO sobre cómo se determina el presupuesto para seguridad. Y el debate siempre está presente, ¿es un porcentaje de los ingresos de la empresa? ¿Es un porcentaje del presupuesto de TI? ¿Se basa en la postura de riesgo de la organización y en lo que quieren invertir en torno a eso? Cómo estás... Debo imaginar que esa es una pregunta que recibes todo el tiempo de las empresas. ¿Cómo estás respondiendo esa pregunta?
Andreas Rohr: Es más bien que los CISO deberían conseguir, si me preguntan, un asesor neutral y de confianza que no tenga interés propio en vender algo. A veces me encuentro en posiciones similares. Nos contratan de la junta directiva y básicamente miramos su patrimonio, etcétera, y luego sabemos que también vendo esos servicios, pero les digo lo que se necesita y lo que es... No digo tonterías, sino dónde gastan cosas de más y ser realmente franco y no solo buscar puntos de referencia e ir tras cosas efectivas. Entonces, ¿cuáles son esas cosas que más desea proteger, que realmente hacen que su negocio funcione? Como un análisis de impacto empresarial. Si sabe que es el 10%, es más dependiente, y si pone todos los roles de seguridad efectivos encima de eso y hace un trabajo medio para las cosas restantes, es el mejor consejo a seguir, en lugar de buscar los, números puros. Y si quieres proteger tu negocio o no, el 10%. Y esta es la forma en que les hablo, entonces, está bien, ¿qué se necesita para eso? Obviamente es la siguiente pregunta. Entonces, ¿cuánto es una cantidad apropiada de dinero para gastar? Si bien primero se están poniendo de arriba hacia abajo, yo estaba en los procesos comerciales críticos y luego de abajo hacia arriba. ¿Qué se necesita para eso? Y luego diga: "Está bien, para el restante, puedo usar un punto de referencia". Así es como yo lo abordaría.
Mike Anderson: Sí, es un buen consejo si pienso en todo el negocio. Usted habló sobre el riesgo de la cadena de suministro al principio de la conversación. Cuando estaba en Schneider Electric, hablaba con nuestro jefe de cadena de suministro sobre cuál era la postura de seguridad de nuestros proveedores. ¿Cómo encaja eso en nuestra estrategia de abastecimiento? Y todo se convierte en toda esta conversación de riesgo empresarial, no solo cibernético, sino ¿cuál es la estabilidad financiera de esa empresa con la que estoy trabajando? La seguridad ahora se convierte en otra cuestión que está justo al lado porque si no puedo conseguir acero, es difícil fabricar productos sin acero. Y mirando a través de eso, creo que estás en lo cierto. Espero que eso se ajuste a la mayoría de las empresas que hacen cumbre y ese 10% en el que están realmente enfocados, que quieren proteger.
Andreas Rohr: Absolutamente. Y hemos aprendido la interrupción de la cadena de suministro con el Canal de Suez, que es un evento muy físico, ahora tuvimos esta pandemia, tenemos esta guerra comercial y cosas relacionadas, y luego tenemos esta escasez de recursos debido a la crisis. en Europa con la guerra y también con China quizás no pudiendo operar sus fábricas porque no pueden o no quieren. Así que sea lo que sea. Entonces, saber exactamente dónde están sus eslabones débiles y administrarlos básicamente restablecerá, o ya habrá restablecido, nuestra forma de medir el riesgo. Y también debemos tener en cuenta, ese es uno de los aprendizajes del año pasado, que no siempre los adversarios actúan racionalmente. Entonces, tener una gestión y evaluación de riesgos basada en el comportamiento racional de los demás, esto podría ser cierto para la mayoría de las cosas, como el mercado financiero y otras cosas, pero no necesariamente para estados como Rusia. Y también deberíamos asumir que existe una forma disruptiva de actuar sin ninguna recompensa obvia para quienes lo hacen, lo cual sería racional. Y esta es una de las cosas en las que debe ser más conservador en términos de evaluar esos riesgos, en lugar de, "Sí, eso es muy poco probable, por lo que no sucederá". Esto también es algo que deberíamos tener en cuenta.
Mike Anderson: Absolutamente. Voy a girar un poco, ya que habló sobre el trabajo con la junta directiva y otros, cuando piensa en la seguridad como un deporte de equipo, muchas veces el CISO es el que toma todo el... Es como probablemente uno de los trabajos más difíciles del mundo, porque no hay una cantidad de dinero que pueda gastar que lo protegerá al 100%, por lo que siempre es una compensación de riesgo-recompensa. Pero tampoco es solo el trabajo del CISO. ¿Cómo ve y cómo ayuda a asesorar a las empresas sobre cómo hacer que la seguridad se convierta en parte de la estructura de su organización y su gente en toda la organización en todas las diferentes unidades, unidades de negocios y funciones? ¿Cómo está impulsando eso y está viendo que la evolución ocurre al ritmo que esperaría?
Andreas Rohr: Entonces, el consejo es dividirlo en dos disciplinas diferentes. Uno es más desde una perspectiva de cumplimiento y de poner el marco en su lugar, y también el respaldo de la junta directiva para las cosas más generales, que no están impulsadas por el negocio en sí mismas. Y el segundo es hacer que los equipos sean responsables de principio a fin. Entonces, la forma moderna de desarrollar y ejecutar aplicaciones es el equipo DevOps. Así que esta ha demostrado ser la mejor configuración para la mayoría de las cosas. Y agregar seguridad, y esa era la palabra de moda, DevSecOps, en realidad significa que incorpora la seguridad para las operaciones, pero también para los desarrolladores en un ciclo muy cerrado. Y esta es la forma en que realmente hace que todos sepan lo que están haciendo, cuál es el impacto y qué, en el mejor de los casos, debería implementarse en lugar de un ciclo de desarrollo centrado en la puerta de enlace. Y por eso puede reaccionar mucho más rápido a las vulnerabilidades, a los conocimientos, a las cosas, los atacantes abusan, que podría ser una función normal. Y esta es la configuración más moderna que desea tener en TI de todos modos, y agregarle seguridad. Y por eso, también desarrollar a los desarrolladores y luego a la gente de operaciones para saber qué deben hacer, porque básicamente no han sido criados con ese conocimiento. Y la capacitación en el trabajo, por así decirlo, es la mejor manera de implementar eso de la manera más efectiva.
Andreas Rohr: No hable mal en términos de su habilidad en términos de hacerlo de la manera correcta. Pero si hay algo sentado a su lado que tiene esa cosa y básicamente se respaldan mutuamente en ciertos aspectos, es la forma más efectiva de hacerlo. Y este es el segundo, que debe implementarse. Y el líder funcional o el líder de la tribu, por así decirlo, para el tema de la seguridad debe estar con el CISO. Entonces, tener una forma organizada matricial de implementar eso, pero deberían integrarse al sentarse con los desarrolladores y la gente de operaciones, como lo sería una seguridad normal. Entonces, en mi opinión, esa es la mejor manera de hacerlo, hay industrias en las que esto no funciona, por lo que debemos actuar de manera diferente, pero para las empresas impulsadas por TI, esta es la mejor manera de garantizar que eso suceda. Y tal vez allí, la gente de seguridad no puede estar allí el 100% de su tiempo debido a la falta de talento como sabemos, pero tener esto en general lo implementará e intercambiará equipos y hará esto.s possible is the way how it should go.
Mike Anderson: Eso es genial. Y cosas que he visto hasta ahora en el... Si pienso en los equipos digitales y de TI, DevSecOps es definitivamente el modelo, para usar esa palabra de moda, el camino a seguir. Si pienso en mis funciones financieras, mis funciones de recursos humanos, si pienso en mis diferentes unidades de negocios, ¿cuáles son algunas de las cosas que ve que funcionan para llevar la seguridad a la mentalidad de las personas fuera de la organización y empresa tecnológica? ¿Cómo se puede hacer que la seguridad forme parte del tejido de la organización?
Andreas Rohr: No estoy seguro de si esta es realmente una tarea activa únicamente del CISO, es una junta directiva que comienza con el viaje. Y ya no es un desafío porque los ataques de pares y objetivos cercanos y las acciones disruptivas de los atacantes del año pasado en realidad ayudaron mucho a sacar eso de lo improbable que podría ocurrirle a mi organización y convertirlo en algo real. Bien, tenemos que encargarnos de eso. No es una cuestión estadística, me afectará cada 10 años, pero definitivamente me afectará dentro de los próximos dos años y, por lo tanto, debo ocuparme de eso. Y la seguridad no se debe implementar de forma 100% segura para evitar que todo sea de conocimiento común. Y esto también se aplica a RRHH y finanzas, etcétera. Entonces la diferencia con ellos es que se les debe dar una meta [0:31:15.5] ____ qué deben hacer, qué no deben hacer y cómo y dónde preguntar si no están seguros de ciertas cosas. Y esto es conciencia en primer lugar, o... Creo que Netskope también utiliza de vez en cuando el término firewall humano para esto. Y básicamente es bueno asesorarlos y enseñarles, pero no es tan bueno como brindarles también una mano si la necesitan, qué hacer si no están seguros. Entonces eso es aún más importante, para que pueda haber algo sospechoso, está bien, pero si reciben ayuda en un vistazo de una hora o de unos minutos, eso será aún más importante.
Mike Anderson: Sí. Habías mencionado el firewall humano. Ha sido una gran campaña interna de nuestro CISO aquí en Lamont, porque siempre nos fijamos en el eslabón más débil de cualquier programa de seguridad: las personas que ocupan el puesto haciendo su trabajo todos los días. Tenemos todas las herramientas excelentes para encontrar a las personas que querrían hacer daño intencional. Son las personas que hacen daño accidental todos los días las que hacen clic en enlaces que no deberían hacer. Traen aplicaciones que no deberían usar. Ponen datos en esas aplicaciones que no deberían estar ahí. Eso es lo que estamos tratando de abordar. Una de las grandes cosas de las que soy un gran admirador es ¿cómo creamos mejores ciudadanos digitales? Se oye la TI en la sombra como un concepto que existe hoy en día. Y si le pregunta al CEO ahora, es más TI dirigida por el negocio porque tenemos una nueva generación de trabajadores que son nativos digitales. Y entonces, ¿cómo les permitimos resolver problemas pero de forma segura? Esa es mi nueva misión en la vida como CIO de una empresa de seguridad: ¿cómo puedo permitir que la persona en la presidencia resuelva el problema de manera segura para que podamos desbloquear esa mentalidad nativa digital? Entonces, ¿cómo está evolucionando la gente en eso? Shadow IT siempre ha sido lo más importante, pero si nos fijamos en muchas fábricas de suministros, mencionó, el líder de la fábrica contratará a alguien para que les construya un tablero. Entonces, ¿cómo ve usted que evoluciona parte de ese pensamiento?
Andreas Rohr: La TI en la sombra evoluciona desde no tener soporte flexible, traer su propio dispositivo o activar un servidor o lo que sea. Obtener, en primer lugar, una forma más ágil y también una forma confiable de obtener recursos informáticos y de almacenamiento ayudaría mucho a esta TI en la sombra porque no quieren tener un servidor debajo de su escritorio. Entonces nadie quiere eso. Sólo lo hacen porque no reciben la ayuda que necesitan. Entonces, resolver esto de manera progresiva y también aceptar tal vez cierto riesgo de que no sean los mejores en la administración de un servidor, pero aún así es mejor que tener TI en la sombra. Y entonces lo primero. Y la segunda es para los usuarios, por ejemplo, dejarles traer sus propias cosas y construir alrededor de ese pequeño muro que ayuda en términos de resolver las cosas más importantes en cuanto a higiene, pero sin tener un dispositivo 100% administrado. Entonces esto también podría ayudar. Y luego hay pistas, recibes un correo electrónico de una zona horaria o de una ubicación, este centro con el que has interferido anteriormente no es correcto o es tan diferente, entonces es posible que recibas algo pequeño, "Sí, este correo electrónico no está disponible". su organización o esto fue enviado en un horario inusual." Entonces, insinuar básicamente que los usuarios tienen una visión más cercana de lo que están haciendo y enfrentan actualmente también ayuda a tomar mejores decisiones al final.
Mike Anderson: No. Definitivamente es un gran consejo. Así que quiero pasar un poco a lo que llamaremos preguntas futuristas. Entonces, mientras miramos hacia adelante, estoy seguro de que habrán aprendido que si miran hacia atrás en los últimos cinco años, probablemente habrían dicho un montón de cosas: "Si pudiera hacer eso diferente, lo habría hecho". Por aquí." Si avance rápidamente hasta dentro de cinco o diez años, digamos simplemente 2030, ¿en qué desearían haber invertido los líderes de seguridad y TI ahora cuando miren hacia atrás en 2030?
Andreas Rohr: 2030 es un período bastante largo, pero digamos que dentro de cinco años. Aún lo suficientemente desafiante como para hacerlo, básicamente adivinar lo que hubiera sido importante es ser flexible en el ecosistema de socios en el que estás actuando, y esto conduce a una forma de integración de recursos no controlados. Ser flujos de datos o servicios, etcétera, era una forma muy flexible de conectarlos a una conexión y aplicar en esa capa tan abstracta, ciertas políticas y cosas que tal vez quieras cambiar, si cambias de socio, si cambias de plataforma, etcétera. Y esto lleva a un principio de confianza cero y el segundo a un tipo de tejido que usted controla, pero que es lo suficientemente flexible como para no ser un monolito en el tiempo y permitirle hacer uso de diferentes servicios en la nube, de diferentes redes de socios, etc. etcétera. Y si no invierte en la capacidad de conectar esas cosas, tendrá mucho más tiempo para buscar nuevas configuraciones en el mercado. Y esto al final será una ventaja competitiva o incluso no si no lo haces. Así que invertir en una forma conectable y hacer cumplir los puntos para asegurarse de que sus decisiones se gobiernen de la manera correcta, esto es lo que desea tener. Y al final es, hasta cierto punto, una confianza cero.
Mike Anderson: Eso es genial. Entonces, desde que mencionaste la palabra confianza cero, muchas veces pensamos en lo cibernético, ¿por qué invertimos en lo cibernético? Realmente es para evitar infracciones y evitar interrupciones en el negocio. Entonces, si analizamos la confianza cero, ¿cómo cree que evolucionará? ¿Cómo influye eso en la forma en que las empresas piensan sobre la protección de sus datos? Porque obviamente eso es el núcleo de lo que estamos tratando de proteger desde el punto de vista de la violación de datos.
Andreas Rohr: Creo que la confianza cero en realidad ayuda de manera diferente de lo que la mayoría de la gente piensa en términos de prevenir infracciones y lograr una mejor gobernanza en torno a las barreras de datos, si se quiere. Se trata más bien de ser más flexible cuando cambia su arquitectura, su panorama de aplicaciones, sus socios, su adquisición, etc., y tener tiempo de comercialización para reaccionar ante los cambios. Y por esa razón, es posible que no desee incluir muchas suposiciones en su arquitectura y sus flujos de datos. Por lo tanto, los enfoques de flujo de trabajo de confianza cero y también muy centrados en los datos le ayudarán a ser más flexible. Y el mejor beneficio del sitio es que, si es muy bueno al hacerlo y controla quién puede usar qué servicio de datos desde qué ubicación y tipo de dispositivo y todo eso y nivel de autenticación, entonces probablemente también esté haciendo un mejor trabajo en la protección. que haya una gran brecha completa. Es posible que pierda uno u otro sistema o uno o los datos, pero no todo, si tiene esta forma microsegmentada de gobernar las diferentes partes, si así lo desea. Y la capacidad de hacerlo le brindará ventajas competitivas, si me pregunta en el apartado, si lo implementa correctamente con una buena gobernanza y operaciones de seguridad, entonces también tendrá el efecto secundario de proteger mejor sus datos.
Mike Anderson: No. Eso es bueno. Ese es un gran consejo. Y si pienso por un minuto, en todas las empresas con las que trabaja hoy, la confianza cero obviamente es un tema candente, porque va a RSA y todos los proveedores lo tienen en su stand. Estoy seguro de que veremos lo mismo este año. Si tuviera que decir, ¿cuáles son las dos o tres cosas principales que escucha de los CIO y CISO y las juntas directivas con las que está trabajando hoy? ¿Cuáles son los temas candentes que estás escuchando hoy?
Andreas Rohr: Lo más importante es que sabemos que nadie puede protegerse al 100%. Es realmente [0:38:05.0] ____ por personas que básicamente tienen miedo de no ver las señales lo suficientemente temprano y luego básicamente tienen un barrido débil en el tiempo de inactividad promedio y pierden millones o incluso dos billones en ese sentido durante ese tiempo de inactividad y no hablan de que no pueden hacer nuevas negocios, etcétera. Entonces, este es realmente el riesgo número uno, contra el cual también luchan para obtener una cobertura de seguro, por lo que es una interrupción de su negocio principal y sin haber hecho lo suficiente en términos de deber de diligencia. Así que la mayoría de los directores de la junta saben que no pueden descuidar este tipo de riesgo estadístico, pero deben ocuparse de ello. Y también quieren asegurarse de que cualquier cosa que hagan no sea algo que podrían haber evitado con más concentración o presupuesto. Y la segunda cosa, también relacionada con eso, es que quieren asegurarse de que sus socios más críticos de la cadena de suministro estén en la misma posición que ellos. Por lo tanto, la interrupción del negocio no necesariamente afecta a sus propios sistemas y entorno, sino a aquellos de su cadena de suministro, ya sea en sentido ascendente o descendente. También asegurándonos de que básicamente no pierdan flujos de ingresos. Y esto es en realidad lo que más escucho y la seguridad es sólo el denominador común entre ambos.
Andreas Rohr: Esto realmente está haciendo que el flujo de datos de los flujos de valor sea resistente a este tipo de ataques. Y las cosas restantes surgen simplemente como un derivado de eso. Esto es lo que más escucho y la confianza cero, lamento decirlo, es algo que no es un tema artificial porque es lo más estratégico para mejorar, que es una segunda agenda de lo que realmente les preocupa hoy. Entonces esto resolverá el problema en 3 a 5 años, pero no necesariamente hoy, porque la confianza cero no es un producto. Empiezan a entender eso. Y luego también les digo: "No se dejen engañar por los que les dicen que es un producto". Simplemente es que Greenfield era algo nuevo, aprende, adáptalo a tus necesidades y luego, con el tiempo, intenta migrarlo y acepta que el 20 % nunca esté habilitado con confianza cero. Simplemente déjelo como legado y construya barreras más grandes alrededor de eso y asegúrese de tener esas cosas bajo control y no pensar demasiado.
Mike Anderson: No. Definitivamente es un gran consejo. Y hay demasiadas empresas que dicen: "Compre mi producto y ahora no tendrá confianza". Y eso, como dijiste, no existe. Definitivamente es un gran consejo. Tocaste un poco el tema de los seguros y si pienso en la base del seguro, empiezo a ver a mucha gente diciendo: "¿Sabes qué? Nos autoaseguraremos o tomaremos el dinero que gastamos en seguros y lo invertiremos en nuestro programa de seguridad". Porque sienten que hay básicamente muchas maneras en que las compañías de seguros pueden evitar pagar, como evitar que el estado nación diga que si se trata de un ataque de un estado nación, no se aplica. ¿Cómo ves el pensamiento de la gente? ¿Estás viendo el mismo tipo de cosas en las que la gente dice: "¿Sabes qué? ¿Por qué no nos aseguramos nosotros mismos e invertimos eso en nuestro programa de seguridad?" ¿Estás viendo eso? ¿Cómo es el futuro de los seguros en el ciberespacio?
Andreas Rohr: Hay grandes compañías de seguros que básicamente declaran a continuación el riesgo cibernético no... Ya no podemos asegurar esos riesgos porque, desde el punto de vista de las compañías de seguros, realmente no pueden medir el estado de madurez. Entonces, ¿qué posibilidades hay de que una empresa caiga en un ataque? Y la segunda es que los requisitos que deben cumplirse son a veces arbitrarios, señalan las compañías de seguros. Es diferente y en realidad es una pesadilla completar esos cuestionarios y, a veces, los ayudamos a hacer la cruz estratégicamente en el lugar correcto y también a no decir cosas incorrectas, sino lo real, por lo que son las opciones que no pueden decir después. "Sí, usted dijo eso aquí y no lo ha cumplido o no lo ha implementado". Entonces, gastar el dólar tal vez en su propia seguridad en lugar de asegurarla, en una buena combinación de gestión de riesgos, siempre querrá tener formas diferidas a una compañía de seguros, que es una práctica de gestión clásica. Así que recomendaría no hacerlo en absoluto. Por lo tanto, es razonable cubrir también si realmente las cosas van de la peor manera para cubrir algunos costos o la interrupción del negocio, absolutamente tiene sentido.
Andreas Rohr: Si se trata de una oferta ridículamente alta, entonces se podría pensar: "Será mejor que lo atribuya a mi capacidad de reaccionar y detectar cosas". Y tal vez impulsar algunas de las iniciativas de seguridad, pero no cambiaría una por la otra. Deberías confiar estratégicamente en los aspectos arquitectónicos y asegurarte de que tú mismo haces los deberes correctos, la higiene completa, y luego también intentar que las compañías de seguros crean que haces un buen trabajo en materia de seguridad y que aun así obtendrás eso. Pero con el tiempo creo que la marca de seguros no ofrecerá pólizas muy lucrativas para asegurarse contra riesgos cibernéticos. Esos son mis instintos. No puedo probar eso. Pero lo que veo y escucho y veo cómo mediríamos eso desde una perspectiva estadística y masiva, que fue uno de mis estudios antes de comenzar mi carrera profesional, entonces no veo que seamos capaces de calcular con modelos que realmente describan correctamente, porque no es un fundamento estadístico.
Mike Anderson: Ahora pasaré a una parte divertida de nuestro podcast, que llamamos accesos rápidos. Te haré algunas preguntas, rápido y veremos qué respuestas obtuviste. La primera es: ¿cuál es el mejor consejo de liderazgo que haya recibido?
Andreas Rohr: Eso fue muy temprano en mi carrera profesional. Y básicamente, el CEO me dijo: "Incluso si eres el mejor experto en la materia que estás tratando de resolver aquí en el mundo, entonces prefieres escuchar a tu equipo y decirte qué te sorprenderá, qué respuestas te darán". vengo a ti." Y puede que esto no sea tan bueno o tan válido como lo hubiera hecho usted mismo, pero lo más importante es que su contribución garantizará que sea sostenible y que básicamente pueda dormir mejor y afrontar el siguiente desafío. Y eso es muy cierto. Y el 90% de lo que percibes que hubiera sido la mejor solución se basa en tu propia experiencia y otros tienen otras experiencias. Eso también se aplica a la diversidad. Entonces, mientras ellos escuchaban y se sorprendían, y yo me sorprendía muy a menudo, lo que más me gusta. Así que realmente animo a todos a que lo prueben y le den una oportunidad.
Mike Anderson: Definitivamente un buen consejo. Está bien. ¿Cuál sería tu última comida?
Andreas Rohr: Estuve un tiempo en la India, en Mumbai, cada dos meses durante dos o tres semanas. Y creo que me gustaría tenerlo, y allí comen muy picante. Así que lo que más me gustó fue el pollo masala picante y un poco de pan Naan con ajo. Entonces lo extraño mucho. Entonces tal vez ese sea el que pediría.
Mike Anderson: Muy bien, el último. ¿Cuál es tu libro favorito que has leído este año?
Andreas Rohr: Leí un libro de Ellis Miller que en realidad ya es un libro bastante antiguo, creo que tiene unos 30 años. Y se llama 'El drama del niño superdotado'. Y se trata de criar a un niño de manera que no se adhiera a las expectativas que lo rodean y se adapte y haga lo que quiera, sino que encuentre lo que realmente le apasiona y lo desarrolle aún más. Es un libro muy agradable para leer y ayudar a su hijo a encontrar su camino. Eso me gusta mucho.
Mike Anderson: Tendré que poner eso en la lista de lectura, como padre de cuatro hijos, probablemente haya algunas buenas pepitas ahí para llevarme. Bueno, gracias Andrés. Este es todo el tiempo que tenemos hoy y realmente aprecio la conversación. Así que hoy tuvimos una gran conversación con Andreas. Las tres cosas que saqué de esto, en primer lugar, y Andreas lo ha mencionado un par de veces, es trabajar en toda nuestra organización, observar nuestro entorno, aprovechar a las personas que nos rodean en el ecosistema porque eso nos ayudará. tener mucho más éxito. Lo segundo que miro es que cuando analizamos las herramientas, no solo las recopilamos, sino que nos aseguramos de que estén integradas y alineadas con los resultados que quiero impulsar en mi organización y que les ayudarán a ser más. eficaz y eficiente al mismo tiempo. Y lo último que aprendí de nuestra conversación es: piense en los flujos de valor de su organización y ¿cómo incorporo la seguridad en ellos para tener la postura de riesgo correcta relacionada con ese flujo de valor particular en mi organización? Conversación súper reveladora y espero que la hayas disfrutado. Sintonice nuestro próximo episodio próximamente en el podcast Security Visionaries.
Orador 2: El podcast Security Visionaries está desarrollado por el equipo de Netskope, es rápido y fácil de usar. La plataforma Netskope proporciona acceso optimizado y seguridad de confianza cero para personas, dispositivos y datos dondequiera que vayan. Ayudar a los clientes a reducir el riesgo, acelerar el rendimiento y obtener una visibilidad inigualable de cualquier actividad de aplicaciones privadas, web o en la nube. Para obtener más información sobre cómo Netskope ayuda a los clientes a estar preparados para cualquier cosa en su atrevido viaje, visite NETSKOPE.com.
Orador 4: Gracias por escuchar a los visionarios de la seguridad. Tómate un momento para calificar y reseñar el programa y compartirlo con alguien que conozcas y que pueda disfrutarlo. Estén atentos a los episodios que se publican cada dos semanas y nos vemos en la próxima.
Por qué Netskope 
){kind=icon}
