Estrategia, hoja de ruta y presupuesto de seguridad

Empiece por el negocio

De la evaluación a la hoja de ruta

• Evalúe el estado actual frente a un marco: ¿dónde somos fuertes y dónde están las brechas?
• Defina el estado objetivo para uno a tres años, basado en el riesgo y no en el máximo.
• Priorice el cierre de brechas por reducción de riesgo por esfuerzo y por dependencias; las bases (inventario de activos, identidad, logging, respaldos) suelen ir primero.
• Secuencie en una hoja de ruta con temas, responsables, hitos y medidas de éxito; deje espacio para lo inesperado.
• Diga por escrito qué no hará y qué riesgos acepta por ahora.
• Revise cada trimestre; actualice cuando cambien el negocio o las amenazas.

## Tema 1: Conocer y controlar el acceso (T1-T2)
Objetivo: MFA resistente al phishing para todo el personal y administradores; acceso privilegiado just-in-time.
Medida: proporción de cuentas con MFA resistente al phishing (meta 95%).
Responsable: jefe de seguridad de TI. Presupuesto: actualización de la plataforma de identidad.

## Tema 2: Ver y responder más rápido (T2-T4)
Objetivo: logging centralizado de todos los sistemas críticos; detección 24x7 con un socio gestionado.
Medida: tiempo medio para contener incidentes de alta severidad (meta menos de 4 horas).

## Tema 3: Recuperar (T3)
Objetivo: respaldos inmutables; pruebas trimestrales de restauración de los sistemas de nivel 1.

## Aceptado por ahora (con responsable y fecha de revisión)
Sistema de facturación heredado sin MFA, segmento de red aislado; revisión 2027-06.

Presupuesto y caso de negocio

• Explique el gasto como reducción de riesgo: qué riesgo, cuánto, a qué costo, frente a la alternativa (incluido el seguro).
• Distinga los costos de operación (personas, licencias) de los costos de cambio (proyectos), y planifique las personas para operar lo que compra.
• Compre menos herramientas, mejor integradas, y use lo que ya tiene antes de agregar más; las herramientas sin uso son costo sin protección.
• Incluya a las personas: contratación, capacitación y retención suelen ser el mejor uso del dinero.
• Muestre resultados del gasto anterior; la credibilidad se acumula.

Liderar la función

• Construya relaciones de confianza con ingeniería, legal, finanzas y el equipo ejecutivo antes de la crisis.
• Haga visibles las decisiones y que la aceptación de riesgos sea explícita y de responsabilidad del negocio.
• Contrate una mezcla de habilidades y haga crecer a las personas; proteja al equipo del agotamiento, porque los incidentes son exigentes.
• Responda con honestidad a "¿estamos seguros?": no puede prometer riesgo cero, pero sí mostrar un riesgo bien gestionado.