Un incidente de seguridad rara vez se limita a los equipos de seguridad. En el momento en que afecta a una persona, a una cantidad de dinero, a un equipo o a un organismo regulador, se convierte también en un problema para otras personas. Quiénes son esas otras personas y con qué rapidez deben estar al corriente varía en función de la actividad de tu organización y del lugar en el que opera.

Esa es la premisa en la que se basa nuestra nueva herramienta de planificación, «The Cross-Functional Incident Workbook», que guía a los responsables de seguridad a través de seis departamentos (Recursos Humanos, TI, Asuntos Jurídicos, Gestión de Riesgos, Instalaciones y Salud y Seguridad) y define quién es el responsable de qué cuando un incidente traspasa los límites departamentales. Las hojas de trabajo están diseñadas para adaptarse a tu organización, pero la naturaleza del problema varía en función de tu sector. A continuación te mostramos cómo se aplica esto en algunos de ellos.

Finanzas: cuando un incidente supone también un incumplimiento normativo

En el sector de los servicios financieros, un incidente de seguridad física puede generar un rastro documental mucho antes de que nadie haya terminado de redactar el informe inicial. Una anomalía en el control de acceso mediante tarjeta en una sucursal, la pérdida de un dispositivo perteneciente a alguien con acceso a las cuentas o una investigación por un robo en la sala de descanso que afecte al expediente de un empleado conllevan requisitos de documentación que no son responsabilidad de los equipos de seguridad, pero que estos se ven obligados a cumplir.

Los datos de las tarjetas y los entornos de pago aumentan aún más lo que está en juego. Si un incidente físico afecta a un área en la que se procesan o almacenan datos de los titulares de tarjetas, se debe comprobar si es de aplicación la norma PCI DSS antes de que tu equipo dé por hecho que el incidente es meramente físico. Lo mismo ocurre con cualquier incidente relacionado con credenciales de acceso vinculadas a sistemas financieros: los departamentos de TI y de cumplimiento normativo deben estar al corriente en el plazo de una hora, no a través del resumen semanal.

Fabricación: cuando un incidente interrumpe la producción

En una planta de producción, la gestión de incidentes compite con el calendario de producción, y cada hora que un incidente permanece sin resolver puede acarrear un coste que se refleja en la producción, más que en un atestado policial. Un contratista cuyo acceso debería haber finalizado al concluir su orden de trabajo, un incidente de seguridad en la planta, un robo de materiales o de productos terminados: cada uno de estos casos tiene un responsable diferente, dependiendo de si afecta a la plantilla, al rendimiento o a la cadena de suministro.

Los fabricantes que transportan mercancías a través de las fronteras también tienen obligaciones en materia de cumplimiento normativo comercial. Cuando un incidente afecte a la seguridad de la cadena de suministro o a los controles de importación y exportación, la aplicabilidad del programa C-TPAT debe verificarse para garantizar su exactitud, en lugar de darse por sentada. Este es uno de los casos más claros en los que los departamentos jurídico y de cumplimiento normativo deben participar desde el inicio de la respuesta, y no a posteriori.

Comercio minorista: cuando el incidente supone también un riesgo para la imagen de la marca

La gestión de incidentes en el sector minorista debe tener en cuenta a dos públicos a los que la mayoría de los demás sectores no tienen que atender en la misma medida: el público en general y los medios de comunicación. Una investigación sobre pérdidas, un incidente de violencia laboral en la zona de ventas o una lesión de un cliente conllevan cada uno su propio proceso interno de traspaso de responsabilidades, pero el sector minorista añade un nivel adicional en el que los departamentos de comunicación y relaciones públicas deben estar al tanto con la suficiente rapidez como para adelantarse a una noticia en lugar de reaccionar ante ella.

Las cadenas minoristas con múltiples establecimientos también se enfrentan a una variante del problema del «coempleo» que se manifiesta de forma diferente en cada uno de ellos: guardias subcontratados en un establecimiento, empleados en otro y personal temporal en todos ellos. El ejercicio RACI del cuaderno de ejercicios está diseñado precisamente para este tipo de variaciones, en las que un mismo tipo de incidente puede tener un responsable diferente en función del establecimiento en el que se haya producido.

Gestión inmobiliaria: cuando un incidente afecta a varias partes interesadas a la vez

Un solo incidente en un inmueble gestionado —una alarma de incendio, una entrada no autorizada o una lesión en una zona común— puede afectar simultáneamente al propietario, al inquilino, a un proveedor y a la propia responsabilidad civil de la empresa gestora. Los equipos de instalaciones y de gestión de riesgos de este sector necesitan datos sobre incidentes lo suficientemente específicos como para distinguir un problema menor de mantenimiento de algo que podría dar lugar a una reclamación.

El acceso de proveedores y contratistas es un tema recurrente en la gestión de incidentes en la administración de fincas. La tarjeta de identificación de un trabajador de mantenimiento, el puesto asignado a un agente de seguridad, el acceso al edificio del personal de limpieza: cada uno tiene un procedimiento de revocación diferente, y en cada caso es necesario designar a un responsable antes de que se produzca el incidente, no durante el mismo.

Sector público: cuando el incidente pasa a ser de dominio público

Las organizaciones gubernamentales y del sector público se enfrentan a una versión de cada uno de los retos mencionados anteriormente, además de a unos requisitos en materia de registros y transparencia a los que la mayoría de las organizaciones privadas no se enfrentan de la misma manera. Un informe de incidente puede ser objeto de una solicitud de acceso a la información pública, lo que modifica qué se documenta y cómo. La intervención de los departamentos jurídicos y de cumplimiento normativo no es opcional en este caso, y la traspaso de responsabilidades a menudo debe producirse antes que en otros sectores, ya que los plazos de notificación y de divulgación pública pueden discurrir en paralelo.

La coordinación entre varios organismos añade otra capa. Un incidente de seguridad en un espacio público podría tener que remitirse al departamento de instalaciones, a la oficina de gestión de riesgos y a un organismo externo al mismo tiempo, y el énfasis que pone el manual en designar una función concreta (y no solo un departamento) resulta especialmente útil en este caso, ya que las organizaciones del sector público suelen tener más niveles entre el momento en que «el personal de seguridad lo detecta» y el momento en que «la persona adecuada se entera».

El patrón que se repite en todas partes

En todos los sectores, sigue surgiendo la misma brecha: los incidentes relacionados con contratistas y proveedores siguen un proceso diferente al de los mismos incidentes en los que está implicado un empleado, y la mayoría de las organizaciones no han documentado ese proceso. La desactivación de la tarjeta de acceso, el estado de la verificación de antecedentes y las condiciones del contrato determinan quién es el responsable de la respuesta, incluso cuando el incidente en sí mismo parece idéntico sobre el papel. Esto es así tanto si gestionas una sucursal bancaria, un centro de distribución, una tienda minorista, un edificio gestionado o una instalación pública.

La otra constante es esta: resulta más fácil detectar la laguna sobre el papel que en medio de un incidente real. Esa es precisamente la razón de ser de este manual.

Descarga el «Cuaderno de trabajo sobre incidentes interfuncionales» y repásalo con los responsables de tu propio departamento. Si tu organización ya utiliza TrackTik, las tablas RACI que rellenes pueden convertirse en las reglas de enrutamiento que rigen el funcionamiento de tu plataforma, de modo que el plan no se quede en un simple documento, sino que se convierta en la forma en que se gestionan realmente los incidentes.