En algún punto de esta semana, en alguna organización de la región, hubo alguien que levantó la mano y dijo: ¿que había un riesgo?, ¿Que la infraestructura tenía brechas?, ¿Que el acceso privilegiado no estaba auditado?, ¿Que el backup nunca se había probado en recuperación real? y ¿Que el contrato con el proveedor de ciberseguridad no cubría los vectores correcto?.
Y con mucha probabilidad, nadie le prestó suficiente atención.
No por mala intención; por las razones de siempre: el presupuesto está ajustado, hay otras prioridades, esto puede esperar al próximo trimestre, el sistema funciona bien por ahora. Y el CISO, o el encargado de ciberseguridad, o el IT Manager que lleva el rol de facto sin el título, anota la negativa y sigue adelante. Hasta que algo ocurre.
El perfil más solitario de la organización
El responsable de ciberseguridad tiene una posición estructuralmente incómoda en la mayoría de las organizaciones. Su trabajo es decir que hay problemas que nadie quiere escuchar, pedir inversiones cuyos beneficios son invisibles cuando funcionan, y cargar con la responsabilidad cuando algo falla, aunque lo haya advertido con anticipación.
Es el único rol donde el éxito es literalmente invisible: si nada malo pasa, es porque "nada malo pasó", no porque alguien lo evitó. Pero cuando algo malo pasa, la pregunta inmediata es por qué no se hizo más para prevenirlo. Ese doble estándar es agotador y, con el tiempo, produce una de dos cosas: o el profesional aprende a comunicar en términos que la organización escuche, o se resigna y espera el incidente que finalmente valide todo lo que dijo.
He visto las dos versiones. Y lo que distingue a una de la otra no siempre es la calidad técnica del profesional. Muchas veces es la estructura de poder de la organización, la cultura del directorio frente al riesgo, y si existe o no un espacio real para que las advertencias de seguridad lleguen al nivel donde se toman las decisiones.
Las señales que se ignoraron antes del incidente
Esta semana analizamos, desde distintos ángulos, la misma historia de fondo. Un directivo que aprueba riesgos sin tener el contexto para evaluarlos. Una certificación que se confunde con protección real. Un presupuesto concentrado en el perímetro mientras el interior queda subprotegido. Un proveedor contratado como sustituto de capacidad interna.
En todos esos casos hay una constante: hubo alguien que lo sabía. Alguien que conocía la antigüedad real de la infraestructura Cisco, que sabía que el WatchGuard estaba próximo a EOL, que había documentado que los backups de VEEAM nunca se habían probado en recuperación real, que entendía que el servidor Dahua conectado a la red corporativa era una superficie de ataque no gestionada. Ese conocimiento existía. No llegó al nivel donde se podía actuar sobre él.
No siempre porque nadie quiso escuchar. A veces porque quien tenía el conocimiento no encontró la forma de comunicarlo en el idioma correcto. A veces porque la estructura organizacional no tenía un canal directo entre el responsable de seguridad y quienes tomaban las decisiones de inversión. A veces, simplemente, porque la cultura de la organización trataba la seguridad como un tema técnico de segunda categoría, no como un riesgo de negocio de primera línea.
¿Por qué ignorarlo no es una decisión neutral?
Cuando el directorio pospone una recomendación del CISO, esa decisión tiene consecuencias que raramente se contabilizan en el momento. No aprobar la renovación de la infraestructura Fortinet no es una decisión de ahorro: es una decisión de riesgo diferido. No asignar tiempo del equipo a probar los backups no es neutralidad operativa: es acumulación de incertidumbre sobre la capacidad real de recuperación.
Cada vez que se ignora una recomendación de seguridad bien fundamentada, se transfiere el costo hacia adelante en el tiempo. Ese costo no desaparece. Espera. Y cuando llega, generalmente en el peor momento posible, llega multiplicado: el incidente que habría costado una semana de trabajo preventivo termina costando semanas de recuperación, pérdida operacional, renovación completa de infraestructura con cheque abierto y, en muchos casos, la pérdida de personas clave que no sobreviven al ambiente post-crisis.
Lo vi en carne propia. Las advertencias existían. Los recursos para actuar sobre ellas no fueron asignados a tiempo. El incidente llegó de todos modos, a las 4 de la mañana, por una ruta que nadie había confirmado oficialmente pero que todos sospechaban. Y entonces sí aparecieron los recursos: cheque abierto, infraestructura nueva, consultores externos, comités de ciberseguridad. Todo lo que se había negado preventivamente se aprobó de emergencia, a un costo incomparablemente mayor.
Lo que cambia cuando el CISO sí tiene un lugar en la mesa
Las organizaciones donde el responsable de seguridad tiene acceso directo al directorio, donde sus recomendaciones se evalúan con el mismo rigor que las decisiones financieras, y donde el riesgo de ciberseguridad aparece explícitamente en los reportes de riesgo corporativo, toman mejores decisiones. No porque tengan mejores profesionales de seguridad, sino porque tienen una estructura que permite que el conocimiento llegue al nivel donde puede actuar.
Después del incidente de TechCorp Latam, ese fue uno de los cambios más importantes: se creó un comité formal de ciberseguridad con el encargado de seguridad, el encargado de la red, el coordinador de continuidad operativa, el gerente de TI y el consultor externo, con reporte directo a la junta directiva. No para que el CISO tuviera más poder, sino para que la información correcta llegara al nivel correcto con la frecuencia correcta.
Ese cambio estructural, combinado con la renovación completa de la infraestructura a Fortinet con administración centralizada y la implementación de CIS Controls como marco operativo, transformó la postura de seguridad de la organización. No porque llegaron recursos nuevos solos, sino porque los recursos existentes empezaron a fluir hacia donde el riesgo real lo justificaba.
Esta semana analizamos cinco dimensiones del mismo problema central: la ciberseguridad no falla por falta de tecnología. Falla por falta de decisiones correctas, en el momento correcto, tomadas por las personas correctas con la información correcta.
El CISO que nadie escucha no es un problema técnico. Es un problema de gobernanza. Y la buena noticia es que los problemas de gobernanza tienen solución sin necesidad de un incidente que los force.
Solo requieren que alguien en el directorio decida que vale la pena escuchar antes de que no haya más remedio.
¿Tu organización escucha al responsable de seguridad antes del incidente?
Suscríbete al newsletter Cybersecurity Insights en LinkedIn. Cada semana: reflexiones y análisis sin filtro corporativo sobre ciberseguridad y liderazgo en TI.
#Liderazgo #CISO #Ciberseguridad #CIO #ITManager #Fortinet #Cisco #WatchGuard #GestiónDeRiesgos #ISO27001 #NISTCSF #Gobernanza #CyberLeadership #Chile #Reflexión
Comentarios
Publicar un comentario