REFLEXIVO · LIDERAZGO · CIERRE DE SERIE S1
Esta semana analicé el factor humano en la seguridad desde cinco ángulos distintos. El lunes, por qué la narrativa del "eslabón más débil" es incorrecta y qué implica cambiarla. El martes, cómo se mide un programa de concientización que realmente cambia comportamiento. El miércoles, los vectores de ingeniería social que el entrenamiento de phishing por correo no cubre. El jueves, el caso TechCorp Latam y el correo que pasó todos los filtros. Hoy quiero cerrar con la pregunta que subyace a toda la semana: ¿qué significa concretamente que "la seguridad es responsabilidad de todos"?
Porque esa frase, que aparece en los valores de casi toda política de seguridad corporativa, puede ser el principio de una cultura real o el fin de una conversación que nadie quiere tener. Todo depende de lo que venga después de declararla.
EL PROBLEMA CON EL SLOGAN
Cuando "la seguridad es responsabilidad de todos" funciona solo como declaración, produce un resultado perverso: cuando ocurre un incidente, nadie es específicamente responsable porque todos lo eran en general. El usuario que abrió el adjunto malicioso es señalado porque su acción fue la última en la cadena, aunque la cadena tenía múltiples brechas previas que nadie había cerrado.
La responsabilidad distribuida sin proceso explícito es, en la práctica, responsabilidad de nadie. Cada persona asume que otro está cubriendo lo que falta. El resultado es exactamente el mismo que describí en la semana de identidad y acceso con el triángulo de TI, RRHH y jefaturas: cuando todos son responsables sin coordinación, nadie lo es.
¿QUÉ SIGNIFICA COMO PROCESO?
Convertir "la seguridad es responsabilidad de todos" en proceso requiere responder tres preguntas concretas para cada rol en la organización.
La primera: ¿qué situaciones específicas debe reconocer como potencialmente sospechosas alguien en este rol? No una lista genérica de señales de phishing. Una lista contextualizada al rol específico: qué tipo de correos recibe normalmente alguien en administración y finanzas, cuáles serían inusuales, qué llamadas telefónicas debería cuestionar alguien en RRHH, qué solicitudes de acceso deberían generar una pausa en alguien en TI.
La segunda: ¿qué hace exactamente cuando identifica algo sospechoso? No "reportar a TI." Eso no es un proceso: es una instrucción sin detalle. El proceso dice: a qué canal específico reporta, con qué información, en qué tiempo, y qué puede esperar como respuesta. Si el usuario no sabe exactamente qué hacer cuando algo no cuadra, la probabilidad de que lo haga correctamente bajo presión es baja.
La tercera: ¿qué pasa cuando reporta? Esta es la pregunta que determina si la cultura de reporte se sostiene en el tiempo. Si la respuesta a un reporte es silencio, o peor, consecuencias negativas para quien reportó, el canal se cierra de facto. La persona que reportó el correo sospechoso y no recibió ninguna respuesta durante tres días no va a reportar el siguiente. La cultura de reporte requiere que quien reporta reciba confirmación de que el reporte fue recibido, una respuesta en tiempo razonable, y, si el reporte era válido, algún tipo de reconocimiento que refuerce el comportamiento.
EL ROL DE LA GERENCIA EN ESTO
La cultura de seguridad que funciona tiene una característica que los programas de concientización solos no pueden producir: respaldo visible de la gerencia. No el respaldo declarativo del mensaje del CEO en el módulo de capacitación anual. El respaldo operacional que se ve en las decisiones cotidianas.
Cuando un gerente de área presiona a su equipo para omitir un paso de verificación porque hay urgencia operacional, está enviando una señal sobre la jerarquía real de prioridades. Cuando se sanciona a alguien por haber reportado un error propio, el canal de reporte se cierra para toda el área. Cuando la gerencia trata un incidente de seguridad como un problema exclusivo de TI, está comunicando que la responsabilidad distribuida que la política declara no es real en la práctica.
Inversamente, cuando la gerencia hace preguntas sobre seguridad en las reuniones de área, cuando reconoce públicamente los reportes que ayudaron a prevenir incidentes, cuando da tiempo real al equipo para completar los procesos de verificación sin presión de urgencia, está construyendo la cultura que ningún módulo de capacitación puede reemplazar.
LO QUE ESTA SEMANA DEJA SOBRE LA MESA
Esta semana el hilo conductor fue el mismo desde el lunes: la seguridad organizacional no falla principalmente porque los usuarios son descuidados. Falla porque las organizaciones no construyen las condiciones para que las personas puedan actuar de forma segura de manera consistente.
Esas condiciones son proceso claro, canal de reporte con respuesta garantizada, entrenamiento en los vectores reales y no solo en los obvios, métricas que miden comportamiento y no solo actividad, y respaldo de la gerencia que convierte la declaración en práctica operacional.
Nada de eso requiere un presupuesto extraordinario. Requiere que alguien tome la decisión de definir exactamente qué hace cada persona cuando algo no cuadra. Esa decisión es la que convierte "la seguridad es responsabilidad de todos" de un slogan en un proceso. Y esa diferencia es exactamente la que determina si la organización aprende sobre sus vulnerabilidades antes o después del incidente.
Si alguien en tu organización descubre hoy un correo sospechoso, ¿sabe exactamente qué hacer? ¿A qué canal reporta? ¿Qué información incluye? ¿Qué puede esperar como respuesta y en cuánto tiempo? Si esas preguntas no tienen respuesta clara, la cultura de seguridad existe como declaración. Todavía no existe como proceso.
Artículo núcleo de la semana: Dejemos de llamar al usuario "el eslabón más débil".
#CulturaDeSeguridad #SecurityAwareness #Ciberseguridad #CIO #ITManager #GestiónDeRiesgos #FactorHumano #Liderazgo #GobernanzaTI #TechCorpLatam #CyberLeadership #Chile #NISTCSF #ISO27001
Comentarios
Publicar un comentario