Laurence CadieuxTodo profesional de TI que se precie de su impresionante puesto de trabajo con varios monitores, su aprecio por los aspectos más refinados de la cultura friki y su amor eterno por el trabajo remoto sabe que una seguridad informática sólida no es algo simplemente deseable, ni siquiera una «buena práctica». Es absoluta, categórica e incuestionablemente esencial.
De hecho, así ha sido durante varias décadas. Pero en los últimos años, la importancia crítica de una seguridad informática sólida no se puede exagerar. Si se tienen en cuenta las consecuencias potencialmente catastróficas de una filtración o fuga de datos —el coste actual ronda los 200.000 USD por incidente y sigue subiendo—, resulta difícil imaginar que alguien pueda considerar la seguridad informática sólida como algo que no sea esencial.
Sin embargo, a pesar de esta verdad, muchos directivos ajenos al mundo de las TI —por lo demás, muy inteligentes, competentes, prudentes y con visión de futuro— hacen precisamente eso: no llegan a ver la seguridad informática sólida como un requisito básico. ¿Qué está pasando aquí?
El motivo probablemente radique en la palabra «sólida». Algunos directivos sin formación en TI —entre ellos, muchos propietarios de empresas, directores generales, directores financieros, vicepresidentes de operaciones, etc.— pueden creer erróneamente que su empresa ya está invirtiendo en una seguridad informática sólida, sobre todo si (todavía) no han sufrido una filtración o fuga grave y alarmante. Por ello, piensan que no es necesario aumentar el presupuesto de seguridad informática ni otorgar a sus profesionales de TI más autoridad para decidir, en materia de acceso, quién puede hacer qué en la empresa (y dónde, cuándo, cómo y por qué).
Es más, los profesionales de TI que hacen sonar repetidamente la alarma de «¡NECESITAMOS MÁS SEGURIDAD INFORMÁTICA AQUÍ!» en conversaciones, memorandos y reuniones pueden ser vistos como alarmistas motivados de algún modo por su propio interés. Obviamente, nada podría estar más alejado de la realidad.
Véalo de esta manera: los bomberos no actúan por interés propio cuando advierten a la gente de que instale y mantenga el número adecuado de detectores de humo en su casa. Del mismo modo, los profesionales de TI no tienen ninguna motivación personal para conseguir que los altos mandos de su empresa se tomen más en serio la seguridad informática sólida. Al contrario: aumentar el presupuesto de seguridad informática y darle más protagonismo significa MÁS trabajo para los profesionales de TI, no MENOS. En realidad, el único objetivo que persiguen los profesionales de TI es mantener su empresa segura y productiva ante un panorama de amenazas externas e internas que es cada vez más peligroso y más difícil de defender.
Entonces, ¿qué pueden hacer los profesionales de TI que carecen de los recursos que necesitan para frustrar a los ciberdelincuentes —y mitigar los daños y el caos provocados por usuarios finales negligentes— para convencer por fin a su jefe (¡o quizás a varios jefes!) de que invertir en una seguridad informática sólida AHORA MISMO es estratégico y no superficial? Le sugerimos que cualquier propuesta, presentación o argumentario incluya estas cinco razones fundamentales:
Una seguridad informática sólida ayuda a ganar y mantener la confianza de los clientes.
El multimillonario Warren Buffett ha dicho que «se tardan 20 años en construir una reputación y cinco minutos en arruinarla. Si piensa en ello, hará las cosas de otra manera».
Lejos de nosotros pretender mejorar algo dicho por el Oráculo de Omaha. Pero creemos que no le importaría que añadiéramos que, en realidad, un ataque o una filtración pueden ocurrir en menos de cinco minutos e infligir un daño reputacional duradero, o incluso permanente. Considere lo siguiente:
-
Más del 80 % de los consumidores considera la confianza un factor decisivo en sus decisiones de compra.
-
El 88 % de los consumidores afirma que la confianza es más importante en tiempos de cambio (¡y desde luego que estamos viviendo eso ahora mismo!).
-
El 70 % de los consumidores quiere saber que la protección de datos es una prioridad máxima para las empresas con las que hace negocios.
El mensaje que los profesionales de TI deben transmitir a su jefe o jefes es claro: destinar más recursos a la seguridad informática no es solo una cuestión TÉCNICA. Es fundamental para ganar y mantener la confianza de los clientes, lo que la convierte en una cuestión EMPRESARIAL. Las empresas consideradas poco fiables por no haber invertido de forma proactiva en una seguridad informática sólida se ven obligadas a gastar cantidades ingentes de dinero para intentar recuperarse. Obviamente, este gasto es muchísimo mayor que lo que habría costado reforzar la seguridad informática desde el principio. El viejo refrán «más vale prevenir que curar» se aplica sin duda aquí.
Una seguridad informática sólida es necesaria para el cumplimiento normativo.
Acabamos de señalar que muchos clientes dejarán de hacer negocios con una empresa que no haya reforzado proactivamente su seguridad informática (aunque esos clientes no se hayan visto afectados directa o materialmente por un ataque).
Sin embargo, también hay clientes que se negarán rotundamente a hacer negocios con una empresa cuya infraestructura, gobernanza y controles de seguridad informática no hayan sido evaluados y verificados por un tercero. Existen varios estándares y programas de cumplimiento normativo acreditados, como:
El consejo para los profesionales de TI aquí es explicar con claridad que, si se tolera una seguridad informática débil (y si la seguridad informática no es sólida, entonces es débil; no hay término medio), existe un grupo cada vez mayor de clientes potenciales que sencillamente no se planteará entablar una relación comercial. Puede que admiren el producto de una empresa, e incluso que consideren su precio asequible y atractivo. Pero si no confían en el perfil de seguridad informática de una empresa —evidenciado por su cumplimiento de los estándares y programas pertinentes—, se dirigirán a la competencia.
Dado que lo único que quita el sueño a los directivos es dejar ingresos y beneficios sobre la mesa, transmitir lo anterior en términos prácticos puede contribuir en gran medida a generar ese momento «eureka» que cambia el paradigma: la seguridad informática deja de percibirse como un gasto ineludible y empieza a verse como una inversión rentable. Una seguridad informática sólida amplía el mercado al incluir a más clientes. Una seguridad informática débil reduce el mercado y coloca a las empresas en desventaja frente a la competencia.
Una seguridad informática sólida puede ser necesaria para el seguro.
Esta es una tendencia que hemos visto acelerarse enormemente en los últimos años: las empresas que han contratado un seguro de ciberseguridad descubren, al renovar su póliza, que su aseguradora exige controles de seguridad informática más estrictos, especialmente en lo relativo a la gestión de accesos privilegiados (PAM).
Obviamente, los profesionales de TI que trabajan en empresas que se enfrentan a este requisito pueden aprovecharlo para conseguir más recursos de seguridad informática (¡y quizás enviar una bonita tarjeta de agradecimiento a su compañía de seguros por ser un aliado en su búsqueda de más presupuesto y recursos!).
No obstante, incluso los profesionales de TI que trabajan en empresas que no tienen seguro de ciberseguridad (o cuya aseguradora, por el momento, no ha exigido controles de TI más estrictos) pueden citar esta tendencia para reforzar su argumento. Por ejemplo, los profesionales de TI pueden decir: «Si un número cada vez mayor de compañías de seguros teme tanto asumir los costes de una seguridad informática débil, ¿no deberíamos nosotros temer lo mismo?».
Una seguridad informática sólida envía el mensaje correcto a los empleados.
Ya sea que caigan en estafas de phishing, compartan contraseñas de forma insegura o indebida, pierdan portátiles —y la lista continúa—, los usuarios finales siempre han sido y siempre serán el eslabón más débil de la cadena de seguridad informática.
Una empresa que realiza las inversiones adecuadas en seguridad informática, y que destaca estas medidas, envía un mensaje claro y contundente a los usuarios finales: «Aquí nos tomamos muy en serio la seguridad informática sólida, y esperamos que usted haga lo mismo».
Por el contrario, una empresa con una seguridad informática débil se enfrentará constantemente a obstáculos de credibilidad cuando pida a los usuarios finales que practiquen una buena higiene de seguridad informática. Algunos usuarios finales percibirán la desconexión entre lo que exigen los directivos y lo que realmente hacen, y no se tomarán el mensaje en serio.
Los profesionales de TI deben ayudar a su jefe (o jefes) a comprender las implicaciones de esta desconexión: hace que los usuarios finales estén MENOS dispuestos a practicar una buena higiene de seguridad, lo que significa que la superficie de ataque aumenta y los riesgos crecen.
Una seguridad informática sólida es ética.
Los profesionales de TI deben intentar ayudar a los directivos a comprender que apostar por una seguridad informática sólida no es solo lo INTELIGENTE, sino también lo CORRECTO. No se trata solo de evitar costes y consecuencias. También se trata de ser socialmente responsable y de ser una buena empresa ciudadana.
Los directivos que lideran el camino en materia de seguridad informática (o, más sabiamente, autorizan y empoderan a sus profesionales de TI para que lo hagan) se ganan el derecho a sentirse muy bien por «vivir sus valores» en el trabajo. Porque cuando las buenas empresas ganan la batalla de la seguridad informática, los ciberdelincuentes pierden.
La conclusión
Los profesionales de TI saben que una seguridad informática sólida es obligatoria, no opcional. Pero conseguir que los jefes y otras partes interesadas se sumen a la causa —incluidos los «guardianes» que quizás no tengan la autoridad formal para aprobar nada, pero que lamentablemente tienen la capacidad de obstaculizar— puede resultar difícil y frustrante.
Esperamos que los consejos anteriores ayuden a los profesionales de TI en su búsqueda del presupuesto, los recursos y la autoridad que necesitan para mantener su empresa segura y productiva. Y los profesionales de TI también pueden tener la certeza de que Devolutions estará de su lado, apoyándolos en cada paso del camino.