Quando Theresa Payton, responsabile della sicurezza informatica, ha iniziato la sua precedente posizione, una delle prime domande è stata la frequenza della routine di gestione delle patch dell’organizzazione. La risposta non era quella che voleva sentire. Hanno solo patch software mensile e avevano una politica di “zero tempi di inattività”.
“Il mio stomaco si è annodato”, ha ricordato di quel momento. Il team stava facendo ciò che riteneva giusto e l’organizzazione era soddisfatta del processo, ma semplicemente non era sufficiente per mantenere le operazioni adeguatamente sicure. “Cosa farò qui?” si chiedeva. “Mostrami l’arretrato degli aggiornamenti”, ha chiesto. L’arretrato è stato notevole.
In definitiva, Payton, la prima donna a servire come chief information officer della Casa Bianca, e che ha supervisionato le operazioni IT per il presidente e il suo staff da 2006 a 2008—sat giù con il suo direttore e ha chiesto se l'organizzazione era aperta ad altre possibilità. Il modo in cui hanno deciso di andare avanti avrebbe avuto un profondo impatto sul successo della sua leadership nella sicurezza informatica.
Per un nuovo Chief Information Security Officer (CISO), i primi 90 giorni sono un momento di pericolo e di possibilità. Se i CISO si muovono troppo velocemente o spingono troppo forte, rischiano di alienare l’organizzazione. Muovendosi troppo lentamente, i nuovi CISO rischiano di sprecare il loro slancio e il periodo della luna di miele. I CISO esperti raccontano a Focal Point come hanno affrontato i primi mesi di lavoro. Ecco come navigare nel tuo nuovo ruolo.
Prepararsi mentalmente prima dell’offerta di lavoro
Inizia a leggere bene l'organizzazione prima di ottenere il lavoro, raccomanda David Elfering, direttore senior della sicurezza delle informazioni presso ReSource Pro, un fornitore di soluzioni assicurative. Elfering consiglia ai candidati di comprendere il modello di business preciso dell’organizzazione e come il suo risultato di business dipenda dalla sicurezza informatica.
Il potenziale CISO vorrà anche comprendere la gerarchia organizzativa: a chi il CISO riferisce, i funzionari chiave, la salute finanziaria complessiva dell'organizzazione e il livello di turnover dei dipendenti. Infine: qual è il budget IT complessivo e quale percentuale è dedicata alla sicurezza?
“Le organizzazioni si aspettano che arriviate alla porta con una visione quasi onnisciente e che arriviate a terra”, afferma Elfering. “Voglio essere il più preparati possibile”.
Metti gli scarponi a terra
La prima settimana di lavoro è uno dei momenti più critici. “Questa è una settimana di boots-on-the-ground”, afferma Payton, ora CEO della società di consulenza sulla sicurezza Fortalice Solutions. "E lo chiamo il tour di valutazione dell'ascolto", aggiunge. I primi giorni sono un momento per essere in piena modalità di raccolta delle informazioni, ascoltando tutti i dettagli critici di cui un CISO avrà bisogno per andare avanti sul programma. “È necessario soddisfare e ascoltare le esigenze di tutti i dirigenti aziendali”, aggiunge Payton. "Se non stai abilitando i dirigenti aziendali, allora non stai facendo il tuo lavoro e non avrai successo".
“Se non stai abilitando i dirigenti aziendali, allora non stai facendo il tuo lavoro e non avrai successo.”Theresa Payton, CEO di Fortalice Solutions
Vuoi incontrare i leader delle risorse umane, legali, finanziari, operativi e, in ultima analisi, il CEO. Payton consiglia di chiedere cosa i dirigenti vedono funzionare bene. Preparatevi per una breve lista, avverte. Quindi chiedi cosa vedono non funzionare bene. Preparati per una lista più lunga.
Questo è anche il momento di costruire un rapporto. Martin Fisher, CISO del Northside Hospital di Atlanta, consiglia di dire qualcosa del tipo: “Voglio la tua opinione, e mi siederò qui ad ascoltare”.
[Leggi anche: Come i CISO possono parlare di cyber-rischio in modo che i CEO ascoltino davvero]
Se lo fai nei primi 90 giorni, guadagnerai credibilità con il tuo team e contribuirai anche a risolvere alcune sfide lungo il percorso. Per tutto il tempo, dice, “stai valutando il tuo programma. Stai valutando il tuo staff. E stai valutando il tuo stack tecnologico.”
Apprendere la cultura organizzativa
Il guru della leadership Peter Drucker ha detto: “La cultura mangia la strategia per il pranzo”. Fisher ha spiegato in questo modo: “Ciò significa che se si arriva con una grande strategia di sicurezza, e non è allineata con la cultura dell’organizzazione, fallirà”.
Quando i CISO discutono di cultura, tre relazioni contano: la cultura dell’alto verso il basso con i dirigenti e i leader aziendali, la cultura con i dipendenti e gli utenti finali e la relazione con il personale di sicurezza. “Creare alleanze durante questo periodo perché i risultati aziendali sono reciprocamente vantaggiosi, come garantire in modo sicuro i risultati aziendali”, afferma Elfering. “Ma deve essere fatto in un modo allineato con la cultura dell’organizzazione.”
È essenziale che i nuovi CISO imparino come l’organizzazione prende le decisioni e rispettino i processi già in atto. “La nostra organizzazione è piuttosto gerarchica, è proprio così”, afferma Fisher. E se non sei rispettato come leader, e se non ti prendi cura delle persone che riportano a te, le cose finiranno male per te.
Costruire credibilità su e giù per la gerarchia
La prima regola per costruire credibilità, dice Fisher, è “non essere un idiota”. Le persone si aspettano che un nuovo capo sia cattivo. "Questo ti dà una grande opportunità per dimostrare che non sei un idiota, che hai ascoltato il team e i dirigenti e che sei pronto per iniziare ad aiutarli ad avere successo", dice.
Supponiamo che il nuovo CISO segua il consiglio precedente di ascoltare e valutare il programma esistente, il team esistente e lo stack tecnologico attuale. In tal caso, è il momento di costruire credibilità con i dirigenti.
"Se c'è una disfunzione, puoi tornare dal team e risolverla".David Elfering, direttore senior della sicurezza delle informazioni presso ReSource Pro
Elfering consiglia di imparare come le persone guardano il team di sicurezza. Il team di sicurezza li ha fermati storicamente quando hanno cercato di fare cose interessanti? Come può il nuovo CISO risolvere questo problema?
"Se c'è una disfunzione, puoi tornare dal team e risolverla", dice. “È possibile creare credibilità mostrando al contempo valore per l’azienda e che è possibile restituire valore il più rapidamente possibile”.
Oltre a costruire credibilità con i dirigenti, è essenziale stabilire il miglior rapporto possibile con il tuo team. Qualcuno sta andando a pasticciare durante quei primi giorni, dice Fisher. I CISO entranti hanno l’opportunità di dimostrare di saper rispondere in modo equo ai passi falsi.
Inizia ad apportare modifiche
Verso la fine dei primi 90 giorni, è il momento di garantire che tutti siano allineati su ciò che deve accadere per creare il nuovo programma di sicurezza. I CISO hanno costruito credibilità con il loro team. Le persone si sono sentite ascoltate. Si sono sentiti parte del processo di costruzione del nuovo programma.
“Ora è il momento di iniziare a prendere le decisioni che i nuovi CISO devono prendere”, afferma Fisher. “E lo possederai: buono, cattivo o indifferente.”
“È una decisione che stai prendendo. Non è una discussione”.Martin Fisher, CISO presso il Northside Hospital di Atlanta
Quando apporti dei cambiamenti, informa tutti su come i cambiamenti ridurranno il rischio, miglioreranno la vita lavorativa delle persone e miglioreranno l’attività. Questo è quando dici: “Questi sono i cambiamenti di cui voglio parlare. Parliamo di come li implementeremo”.
"È una decisione che stai prendendo", dice Fisher. “Non è una discussione”.
Valuta il tuo successo
I leader che abbiamo intervistato hanno affermato che il successo in questa fase dipende da quanto un CISO abbia costruito solide fondamenta con il team di sicurezza e la leadership aziendale. Il nuovo CISO vorrà vedere come il team di sicurezza li supporta e quanta credibilità hanno costruito con i dirigenti. Raggiungere i benchmark per il successo ha meno a che fare con i bit o i byte della tecnologia di sicurezza che hanno implementato, e più a che fare con il fatto che stiano generando i giusti risultati aziendali.
[Leggi anche: Per usare bene le metriche informatiche, mostra i bacheche]
Come fanno i nuovi CISO a sapere di aver avuto successo? Scegli un mentore. “Sceglierei qualcuno della business unit che secondo te è stato il tuo più grande sostenitore durante il processo di intervista”, afferma Payton. “Chiedi che aspetto ha il successo per te. Dite loro che volete avere un grande successo in questo ruolo per questa azienda, e chiedete loro di essere una cassa di risonanza riservata che vi parlerà dei vostri successi e mancati.
Come ha fatto Payton a risolvere la sua sfida di gestione delle patch? Ha trascorso i primi mesi ad ascoltare il team e la leadership per comprendere tutto ciò che poteva sul loro inventario IT, sulle soluzioni di gestione delle risorse, sui processi e sulla cultura del team.
Comprendendo i cicli di lavoro e lo stack tecnologico, Payton è stata in grado di trovare modi per accelerare i cicli di patching senza interrompere il lavoro dell’organizzazione. “Abbiamo preso nota dei momenti più intensi della giornata e della settimana per i gruppi e abbiamo potuto pianificare i nostri aggiornamenti in base a questi orari”, spiega. “Se fossi entrato e avessi solo dichiarato che avremmo rattoppato ogni giorno, non avrebbe mai funzionato.”
Nuovi CISO, prendete nota di queste sagge parole. Ti aiuteranno a mettere il piede migliore in avanti durante i primi 90 giorni.
