De los controles fragmentados a la gobernanza integrada de la seguridad
Pasar de la conformidad con las certificaciones a una verdadera gobernanza de la seguridad requiere un cambio estructural en la forma en que la organización integra los componentes de su SGSI.
La evaluación de riesgos debe estar directamente vinculada al seguimiento de los controles, de modo que las exposiciones identificadas se traduzcan en medidas de protección que se mantengan de forma activa, en lugar de en decisiones de tratamiento documentadas. La gestión de incidentes debe estar vinculada a los flujos de trabajo de medidas correctivas, de modo que los incidentes de seguridad generen un aprendizaje operativo estructurado, en lugar de simples incidencias resueltas. Los programas de auditoría deben estar vinculados a la priorización de riesgos, de modo que los resultados influyan en el modelo de gobernanza, en lugar de limitarse a confirmar su existencia.
Cuando la gestión de auditorías, la gestión de CAPA, la gestión de riesgos y el control de documentos operan dentro de una arquitectura de gobernanza interconectada, el SGSI deja de funcionar como un conjunto de procesos de cumplimiento independientes. Se convierte en un modelo de gobernanza de seguridad coordinado en el que la información fluye de forma continua a través de las distintas capas de gobernanza.
Esto cambia lo que el SGSI puede ofrecer. Las organizaciones adquieren la capacidad de identificar patrones estructurales de vulnerabilidad en materia de seguridad en todo su entorno operativo, en lugar de gestionar los incidentes de forma reactiva. Las deficiencias en los controles se hacen visibles antes de que sean objeto de explotación, y no después. La eficacia de las medidas correctivas se valida a lo largo del tiempo, en lugar de darse por sentada al cierre del proceso.
El resultado es una gobernanza de la seguridad que se refuerza de forma continua, en lugar de limitarse a demostrar el cumplimiento de forma puntual.
De la documentación a la responsabilidad de los directivos
La responsabilidad de los consejos de administración en materia de riesgo cibernético está aumentando de forma significativa en todos los sectores. Los organismos reguladores de numerosas jurisdicciones están ampliando la responsabilidad personal de los ejecutivos en relación con las deficiencias en la gobernanza de la seguridad de la información. Los inversores institucionales están incorporando la situación de riesgo cibernético en las evaluaciones de riesgo empresarial. Los clientes de los sectores regulados exigen una capacidad demostrable en materia de gobernanza de la seguridad, y no solo la posesión de una certificación.
Esto aumenta considerablemente lo que está en juego en materia de gobernanza.
Los responsables necesitan tener una visión clara de las tendencias en materia de exposición, las deficiencias en los controles y la eficacia de las medidas de mejora. Deben comprender en qué aspectos se está reforzando la postura de seguridad de la organización y en cuáles sigue siendo vulnerable. Deben tomar decisiones fundamentadas sobre la asignación de recursos basándose en la realidad actual de los riesgos, en lugar de en el historial de cumplimiento normativo.
Cuando la gobernanza de la seguridad funciona de forma aislada, la supervisión ejecutiva queda fragmentada de forma estructural. La información llega a la dirección en forma de resúmenes elaborados manualmente a partir de sistemas inconexos. Los patrones de incidentes no se relacionan con los datos sobre la eficacia de los controles. Las conclusiones de las auditorías no se vinculan con las tendencias en la priorización de riesgos. El panorama que se presenta en la revisión de la dirección refleja las actividades ya realizadas, en lugar de la exposición operativa actual.
La gobernanza integrada cambia esta dinámica de forma fundamental. Cuando la evaluación de riesgos, la supervisión de los controles, la gestión de incidentes y las medidas correctivas se desarrollan dentro de una arquitectura de gobernanza interconectada, los responsables obtienen una visibilidad continua del estado de seguridad en toda la empresa. Los informes dirigidos al consejo de administración se basan en datos estructurales, en lugar de en instantáneas puntuales. La responsabilidad de los ejecutivos adquiere relevancia operativa, ya que la información en la que se basa es fiable, actual y está interconectada.
La seguridad de la información deja entonces de ser una disciplina técnica gestionada por debajo del nivel de gobernanza. Pasa a formar parte de la gestión de riesgos de la empresa, es visible a nivel ejecutivo y se integra en la toma de decisiones estratégicas del mismo modo que se gestionan los riesgos financieros, operativos y normativos.
