Me resisto a creer que para vender seguridad de información se necesite vender miedo.
Me resisto a creer que para estar más seguro te tengan que hacer una prueba de penetración (así como no creo que para probar la seguridad de un banco tengas que hacer un robo o para probar el sistema contra incendio de tu organización tengas que hacer un incendio).
Me resisto a creer en la tendencia de que ahora debes desconfiar de todos y de todas (internos, externos, aliados de negocio) y que “confía, pero verifica” ya no funciona.
Sin embargo la evidencia en contra de mi resistencia a creer en ciertas cosas sigue creciendo.
El principal inhibidor en SI es que la seguridad de información es considerada un tema de “bottom line” en el negocio, no es visto como un diferenciador, el tratarla como al vigilante feo que está en la entrada cuidando el estacionamiento y que en la mayoría de las organizaciones lo vemos como un tema de “externos”, que no lo capacitamos, no lo entrenamos, no lo compensamos adecuadamente y para hacer más complicado el tema, no tratamos de entenderlo. La realidad es que no tiene nada de malo tener terciarizada la seguridad, sin embargo, esto se hace después de que hayas analizado el tipo de riesgos a los que te enfrentas.
Al tema no le entiende y no le quiere entender la alta administración, los consejos de administración, la gente en general y claro, el mercado que es el que paga las consecuencias.
Sí, es igual que en el mundo real, el tema de la seguridad lo vemos como un problema de alguien más, pero no el mío. En Seguridad de Información, sobre todo en el tema de legislación, estamos como en el viejo oeste.
Es cierto, hacer un negocio en México es un riesgo (y sí los que quieren ser emprendedores en México leen todas las regulaciones y leyes que tienen que cumplir y el poder que las autoridades tienen para decidir sobre ellas, les aseguro que no le entrarían). Claro, al final del día la vida misma es un gran experimento en tomar riesgos.
Sin embargo, en las organizaciones, debemos administrar los riesgos de manera consciente, definir el rol de la seguridad de la información y lo que significa para mi organización, detectar los activos de información sensibles, valiosos, los que están regulados (por ejemplo para cumplir con el Reglamento de la LFPDPPP, para empezar debes contar con un inventario de datos personales y de los sistemas de tratamiento. Determinar las funciones y obligaciones de las personas que traten datos personales. Contar con un análisis de riesgos de datos personales que consiste en identificar peligros y estimar los riesgos a los datos personales).
En resumen el tema está en administrar riesgos y la administración de riesgos es un tema de negocio, no de tecnología. Es lo mismo que con el tema de la continuidad de negocio.
El reto está en que la protección de activos, a diferencia de la autoconservación, se aprende, no es innata. Y el aprender de estos temas normalmente se hace por el camino difícil: el tener un incidente sobre los activos y que se vean comprometidos.
Pocos nos hemos hecho estas preguntas:
¿En qué me beneficia la seguridad de información para mi puesto de trabajo? ¿Cuáles son los beneficios de la seguridad de información para mi empresa? ¿Qué puedo hacer para mejorar la seguridad de información en mi empresa?
Es cierto, ahora necesitamos “centinelas” que estén rondando en la infraestructura y los sistemas. Agentes inteligentes que nos permitan recolectar información, que piensen como los atacantes, que nos permitan detectar eventos anormales y responder ante ellos. Necesitamos conocer la actividad normal de nuestras redes, establecer líneas bases, umbrales y contar con herramientas inteligentes para recolectar de información sobre eventos que salgan de lo “normal” y responder ante ellos.
El perímetro de las organizaciones ya no está claramente definido, la frontera entre el adentro y el afuera de las organizaciones ya no es clara. Necesitamos que nuestra infraestructura de seguridad funcione de manera sincronizada como una orquesta, que estemos compartimentalizados, que la seguridad sea a profundidad y que no sea quebradiza. Además al interconectarse con nuestros aliados somos y ellos son también un posible riesgo. Pero al final del día necesitamos entender que no todo es igual de valioso y no es un tema de meter solamente dinero.
Al estar conectados a Internet nos exponemos a un ataque y los incidentes donde el actor de la amenaza es un externo han crecido para llegar a representar casi el 80% de los incidentes.
En fin, es necesario reflexionar al respecto y dejar de ver este tema como un tema de tecnología, la seguridad de información es un tema de negocio y es un tema de todos. A como están las cosas actualmente, el estar “del lado oscuro de la fuerza” es muy atractivo para algunos.
Tenemos un camino interesante por delante. Que tengan un buen día.