Hay una conversación que evitamos tener. La tenemos rondando, la intuimos en cada reunión de presupuesto, en cada solicitud rechazada, en cada incidente que pudo haberse prevenido. Pero no la decimos en voz alta porque incomoda a demasiada gente en demasiados niveles.
La digo hoy: el mayor riesgo de seguridad en muchas organizaciones no es un firewall desactualizado, no es un servidor sin parchear, no es un empleado que hizo clic donde no debía. Es un tomador de decisiones que no entiende lo que está decidiendo cuando se trata de ciberseguridad, y un equipo de TI que nunca lo consideró su responsabilidad cambiar.
Eso es incómodo para ambos lados. Y es exactamente por eso que vale la pena decirlo.
El gerente que aprueba el riesgo sin saberlo
Existe un patrón que se repite con demasiada regularidad. El equipo de TI presenta una solicitud de inversión en seguridad: renovar infraestructura, implementar segmentación de red, adquirir una solución de monitoreo; y la respuesta desde la gerencia es "no hay presupuesto este trimestre" o "evalúemoslo para el año que viene."
Nadie en esa conversación está actuando de mala fe. El gerente no rechaza la inversión porque quiera exponer a la empresa; la rechaza porque no tiene el contexto para evaluar el costo real de no hacerla. Para él, rechazar la compra de un FortiGate o posponer la renovación de los switches es una decisión financiera neutral. Para el equipo de TI, es una decisión de riesgo con consecuencias potencialmente severas.
El problema no es la decisión en sí. Es que se está tomando sin información suficiente. Y esa brecha de información tiene un costo que no aparece en ningún dashboard de seguridad, en ningún reporte mensual, en ninguna auditoría de cumplimiento. Aparece el día que ocurre el incidente que se pudo haber prevenido.
El IT Manager que dejó de intentar explicar
Aquí está la otra cara del problema, y es la que menos nos gusta asumir como profesionales de TI.
En algún punto de la carrera, muchos IT Managers llegan a una conclusión silenciosa: "la gerencia no entiende y no va a entender, así que para qué gastar energía explicando." Y entonces dejan de intentarlo. Presentan los reportes técnicos de siempre, piden el presupuesto de siempre, reciben el recorte de siempre, y el ciclo se repite.
Esa resignación es comprensible. También es un error estratégico. Porque si el gerente no entiende la ciberseguridad, eso no es únicamente un problema del gerente, es un problema del profesional de TI que nunca encontró la forma de hacérsela entender. La responsabilidad de cerrar esa brecha no está solo arriba. Está también en quien tiene el conocimiento técnico y la obligación de traducirlo.
Un gerente que no entiende ciberseguridad pero tiene un IT Manager que le habla en lenguaje de negocio, que le presenta riesgo en términos de impacto operacional, que le muestra el costo de no actuar antes del incidente, ese gerente toma mejores decisiones. No porque se haya vuelto técnico. Sino porque alguien hizo el trabajo de construir el puente.
El costo que nadie contabiliza
Existe una asimetría fundamental en cómo las organizaciones miden el costo de la ciberseguridad. La inversión en herramientas —un FortiGate, una solución de monitoreo, una plataforma de gestión centralizada de Fortinet o Cisco, licencias de WatchGuard o de Sophos, tiene un número claro, aparece en el presupuesto, y puede ser cuestionada. El costo de no hacer esa inversión es difuso, hipotético, y fácil de ignorar hasta que deja de serlo.
Es el mismo problema cognitivo que lleva a las personas a no contratar un seguro hasta después del accidente. El riesgo abstracto siempre pierde contra el costo concreto y visible. Hasta que el riesgo se materializa, y entonces el costo concreto que parecía evitable se multiplica por diez.
Lo he visto en carne propia. Infraestructura Cisco con más de doce años de antigüedad, EOL vencido, sin soporte de fabricante, operando en producción crítica. La inversión en renovarla fue rechazada o postergada más de una vez. Cuando el ransomware llegó, el costo de recuperación (en tiempo, en recursos, en pérdida operacional, en la renovación completa que finalmente se aprobó con cheque abierto) fue incomparablemente mayor que cualquier presupuesto de prevención que se había negado.
Cómo romper el ciclo — desde ambos lados
Para el directivo o gerente que lee esto: la ciberseguridad no requiere que te vuelvas técnico. Requiere que hagas las preguntas correctas. ¿Cuánto nos costaría un incidente que deje inoperante el sistema crítico por 72 horas? ¿Qué porcentaje de nuestra infraestructura tiene soporte de fabricante activo? ¿Qué tan rápido podemos recuperarnos si el sistema de respaldo falla? Si no tienes esas respuestas, las decisiones de presupuesto que estás tomando son decisiones de riesgo que no sabes que estás tomando.
Para el IT Manager o profesional de TI que lee esto: si llevas años presentando reportes técnicos que la gerencia no entiende y decisiones que consideras incorrectas, algo en el enfoque tiene que cambiar. No la tecnología, la comunicación. Traducir riesgo técnico a impacto de negocio no es simplificar el problema. Es hacer el trabajo completo.
El profesional de TI que logra que su gerencia entienda la ciberseguridad no es el que habla más fuerte. Es el que encontró el idioma correcto. Y eso, en definitiva, es liderazgo.
¿Te generó algo esta reflexión?
Suscríbete al newsletter Cybersecurity Insights en LinkedIn. Cada semana: análisis sin filtro corporativo sobre ciberseguridad, liderazgo e infraestructura crítica.
#Ciberseguridad #Liderazgo #CIO #ITManager #Fortinet #Cisco #WatchGuard #GestiónDeRiesgos #Directorio #ISO27001 #NISTCSF #InfraestructuraCrítica #CyberLeadership #Chile #Estrategia
Comentarios
Publicar un comentario