El CIO, el CISO y el CAE son los líderes de los equipos de trabajo en el Modelo de las Tres Líneas de Defensa.
Dependiendo de la complejidad de la empresa y de las regulaciones que apliquen a su industria, una empresa puede tener CIO (Chief Information Office) con línea de reporte directa al CEO (Chief Executive Officer), CISO (Chief Information Security Officer) también reportando al CEO y CAE (Chief Audit Executive) que reporta al Comité de Auditoría o al Consejo de Administración.
El CIO es la 1a línea de defensa, el CISO es la 2a línea de defensa y el CAE es la 3a línea de defensa. El trabajo de estos 3 actores debe ser objetivo, autónomo y colaborativo, alineados con los objetivos de la organización y protegiendo a la empresa de los riesgos de seguridad de la información. Debemos evitar la desconfianza entre peers y promover la comunicación y coordinación entre los 3 equipos de trabajo.
La 1a línea de defensa está compuesta por los propios operativos o responsables de los procesos, quienes implementan los controles y gestionan los riesgos a diario. La 2a línea de defensa involucra las funciones de control y supervisión, que proporcionan orientación, monitorean y apoyan la gestión de los riesgos. Finalmente, la 3a línea de defensa evalúa de manera independiente la eficacia de las 2 primeras líneas, asegurando que los controles sean adecuados y se cumplan las políticas y normativas establecidas.
Esta sociedad dentro de la organización fortalece su SGSI (Sistema de Gestión de Seguridad de la Información), brindando más visibilidad a las vulnerabilidades, amenazas y riesgos de la organización así como una respuesta mas eficiente a los incidentes.
La gestión óptima de los roles de los líderes de la organización fortalece su confianza digital, generando en sus socios, colaboradores, clientes y autoridades una opinión positiva sobre los procesos y cuidado de la información dentro de la organización. Esta opinión positiva favorece la reputación de la empresa atrayendo mas y mejores negocios e impactando en consecuencia el objetivo de cada empresa: su rentabilidad. 📈
Si te interesa este tema, también puedes leer: ¿Cuáles son las 3 líneas de defensa en seguridad de la información?
Nota: El modelo de las Tres Líneas de Defensa fue formalmente introducido por el IIA (Institute of Internal Auditors) en 2013. Este modelo fue actualizado en 2020 y renombrado como el "Modelo de las Tres Líneas" enfatizando más la gobernanza y la colaboración entre los 3 roles indicados.
Comentarios
Publicar un comentario