La respuesta ante incidentes nunca es tarea exclusiva de un solo departamento

Un incidente de seguridad rara vez se limita a los equipos de seguridad. En el momento en que afecta a una persona, a una cantidad de dinero, a un equipo o a un organismo regulador, se convierte también en un problema para otras personas. Quiénes son esas otras personas y con qué rapidez deben estar al corriente varía en función de la actividad de tu organización y del lugar en el que opera.

Esa es la premisa en la que se basa nuestra nueva herramienta de planificación, «The Cross-Functional Incident Workbook», que guía a los responsables de seguridad a través de seis departamentos (Recursos Humanos, TI, Asuntos Jurídicos, Gestión de Riesgos, Instalaciones y Salud y Seguridad) y define quién es el responsable de qué cuando un incidente traspasa los límites departamentales. Las hojas de trabajo están diseñadas para adaptarse a tu organización, pero la naturaleza del problema varía en función de tu sector. A continuación te mostramos cómo se aplica esto en algunos de ellos.

Finanzas: cuando un incidente supone también un incumplimiento normativo

En el sector de los servicios financieros, un incidente de seguridad física puede generar un rastro documental mucho antes de que nadie haya terminado de redactar el informe inicial. Una anomalía en el control de acceso mediante tarjeta en una sucursal, la pérdida de un dispositivo perteneciente a alguien con acceso a las cuentas o una investigación por un robo en la sala de descanso que afecte al expediente de un empleado conllevan requisitos de documentación que no son responsabilidad de los equipos de seguridad, pero que estos se ven obligados a cumplir.

Los datos de las tarjetas y los entornos de pago aumentan aún más el riesgo. Si un incidente físico afecta a un área en la que se procesan o almacenan datos de los titulares de tarjetas, comprueba si se aplican los requisitos de la norma PCI DSS antes de que tu equipo dé por hecho que el incidente es meramente físico. Lo mismo ocurre con cualquier incidente relacionado con credenciales de acceso vinculadas a sistemas financieros: los departamentos de TI y de cumplimiento normativo deben estar al corriente en el plazo de una hora, no en el resumen semanal.

Fabricación: cuando un incidente interrumpe la producción

En una planta de producción, la gestión de incidentes compite con el calendario de producción, y cada hora que un incidente permanece sin resolver puede acarrear un coste que se refleja en la producción, más que en un atestado policial. Un contratista cuyo acceso debería haber finalizado al concluir su orden de trabajo, un incidente de seguridad en la planta, un robo de materiales o de productos terminados: cada uno de estos casos tiene un responsable diferente, dependiendo de si afecta a la plantilla, al rendimiento o a la cadena de suministro.

Los fabricantes que transportan mercancías a través de las fronteras también tienen obligaciones en materia de cumplimiento normativo comercial. Cuando un incidente afecte a la seguridad de la cadena de suministro o a los controles de importación y exportación, hay que confirmar si se aplican las obligaciones del programa C-TPAT, en lugar de dar por sentado que no es así. Este es uno de los casos más claros en los que los departamentos jurídico y de cumplimiento normativo deben participar desde el inicio de la respuesta, y no a posteriori.

Comercio minorista: cuando el incidente supone también un riesgo para la imagen de la marca

La gestión de incidentes en el sector minorista debe tener en cuenta a dos públicos a los que la mayoría de los demás sectores no tienen que atender en la misma medida: el público en general y los medios de comunicación. Una investigación sobre pérdidas, un incidente de violencia laboral en la zona de ventas o una lesión de un cliente conllevan cada uno su propio proceso interno de traspaso de responsabilidades, pero el sector minorista añade un nivel adicional en el que los departamentos de comunicación y relaciones públicas deben estar al tanto con la suficiente rapidez como para adelantarse a una noticia en lugar de reaccionar ante ella.

Las cadenas minoristas con múltiples establecimientos también se enfrentan a una variante del problema del «coempleo» que se manifiesta de forma diferente en cada uno de ellos: guardias subcontratados en un establecimiento, empleados en otro y personal temporal en todos ellos. El ejercicio RACI del cuaderno de ejercicios está diseñado precisamente para este tipo de variaciones, en las que un mismo tipo de incidente puede tener un responsable diferente en función del establecimiento en el que se haya producido.

Gestión inmobiliaria: cuando un incidente afecta a varias partes interesadas a la vez

Un solo incidente en un inmueble gestionado —una alarma de incendio, una entrada no autorizada o una lesión en una zona común— puede afectar simultáneamente al propietario, al inquilino, a un proveedor y a la propia responsabilidad civil de la empresa gestora. Los equipos de instalaciones y de gestión de riesgos de este sector necesitan datos sobre incidentes lo suficientemente específicos como para distinguir un problema menor de mantenimiento de algo que podría dar lugar a una reclamación.

El acceso de proveedores y contratistas es un tema recurrente en la gestión de incidentes en la administración de fincas. La tarjeta de identificación de un trabajador de mantenimiento, el puesto asignado a un agente de seguridad, el acceso al edificio del personal de limpieza: cada uno tiene un procedimiento de revocación diferente, y en cada caso es necesario designar a un responsable antes de que se produzca el incidente, no durante el mismo.

Asistencia sanitaria: cuando el incidente afecta a pacientes y al personal clínico

En los hospitales y clínicas, un incidente de seguridad rara vez se limita a ser un asunto de seguridad durante mucho tiempo. Un paciente o visitante agresivo, una alerta de seguridad del paciente, un robo de sustancias controladas o un incidente de violencia en el lugar de trabajo que afecte al personal clínico pueden implicar al equipo directivo de enfermería, al departamento de cumplimiento normativo, a Recursos Humanos y al departamento de gestión de riesgos al mismo tiempo, a menudo en cuestión de minutos.

La privacidad del paciente supone otra limitación, ya que la documentación de los incidentes puede incluir información sanitaria protegida que condiciona quién puede consultar el informe y cómo se comparte. Las normas de acreditación para la prevención de la violencia en el lugar de trabajo también hacen que el registro de la respuesta sea tan importante como la propia respuesta. Nuestra «Guía multifuncional de gestión de incidentes para hospitales» adapta el mismo enfoque RACI a los departamentos de enfermería, cumplimiento normativo y demás departamentos a los que afecta un incidente hospitalario, mientras que el informe de evidencia sobre la prevención de la violencia en el lugar de trabajo en los hospitales aborda el aspecto preventivo.

Sector público: cuando el incidente pasa a ser de dominio público

Las organizaciones gubernamentales y del sector público se enfrentan a una versión de cada uno de los retos mencionados anteriormente, además de a unos requisitos en materia de registros y transparencia a los que la mayoría de las organizaciones privadas no se enfrentan de la misma manera. Un informe de incidente puede ser objeto de una solicitud de acceso a la información pública, lo que modifica qué se documenta y cómo. La intervención de los departamentos jurídicos y de cumplimiento normativo no es opcional en este caso, y la traspaso de responsabilidades a menudo debe producirse antes que en otros sectores, ya que los plazos de notificación y de divulgación pública pueden discurrir en paralelo.

La coordinación entre varios organismos añade otra capa. Un incidente de seguridad en un espacio público podría tener que remitirse al departamento de instalaciones, a la oficina de gestión de riesgos y a un organismo externo al mismo tiempo, y el énfasis que pone el manual en designar una función concreta (y no solo un departamento) resulta especialmente útil en este caso, ya que las organizaciones del sector público suelen tener más niveles entre el momento en que «el personal de seguridad lo detecta» y el momento en que «la persona adecuada se entera».

El patrón que se repite en todas partes

En todos los sectores, sigue surgiendo la misma brecha: los incidentes relacionados con contratistas y proveedores siguen un proceso diferente al de los mismos incidentes en los que está implicado un empleado, y la mayoría de las organizaciones no han documentado ese proceso. La desactivación de la tarjeta de acceso, el estado de la verificación de antecedentes y las condiciones del contrato determinan quién es el responsable de la respuesta, incluso cuando el incidente en sí mismo parece idéntico sobre el papel. Esto es así tanto si gestionas una sucursal bancaria, un centro de distribución, una tienda minorista, un edificio gestionado o una instalación pública.

La otra constante es esta: resulta más fácil detectar la laguna sobre el papel que en medio de un incidente real. Esa es precisamente la razón de ser de este manual.

Un modelo RACI inicial para incidentes comunes que afectan a varias áreas funcionales

Una tabla RACI indica quién es el responsable, a quién se le exige rendir cuentas, a quién se consulta y a quién se informa en cada paso de una respuesta. Cada organización la rellena de forma diferente, y ese es precisamente el objetivo de este manual; no obstante, a continuación se muestra cómo suele repartirse la responsabilidad en cinco tipos de incidentes que trascienden los límites departamentales, tanto para los equipos de seguridad de las empresas como para los proveedores de seguridad.

Tipo de incidente	Responsable	Responsable	Consultado	Informado
Violencia en el lugar de trabajo	Seguridad	Director de seguridad	Recursos Humanos, Asuntos Jurídicos	Instalaciones, salud y seguridad
Dispositivo perdido o robado con acceso al sistema	ÉL	Responsable de seguridad de la información (CISO) o director de TI	Seguridad, Asuntos jurídicos	Recursos Humanos, Cumplimiento normativo
No se ha revocado el acceso del contratista	Instalaciones	Responsable de instalaciones	Seguridad, Adquisiciones	Tecnologías de la información, Asuntos jurídicos
Accidente laboral en las instalaciones	Salud y seguridad	Responsable de Seguridad, Salud y Medio Ambiente	Recursos Humanos, Asuntos Jurídicos, Gestión de Riesgos	Seguridad, Instalaciones
Robo de materiales o existencias	Seguridad	Director de seguridad	Riesgos, Asuntos jurídicos	Finanzas, Operaciones

Tómalas como puntos de partida para la conversación, más que como normas. Tu organigrama, tus contratos y tus organismos reguladores son los que determinan la respuesta definitiva.

Convertir el plan en reglas de enrutamiento

Una tabla RACI solo resulta útil si las personas adecuadas se enteran realmente del incidente a tiempo. Trackforce ha creado TrackTik para que el plan se convierta en el proceso que sigue cada incidente.

• Un formulario para cada tipo de incidente. El sistema de notificación de incidentes de seguridad de TrackTik permite personalizar los formularios de incidentes y los niveles de gravedad, de modo que un informe sobre violencia en el lugar de trabajo recoja desde el principio toda la información que necesitan los departamentos de RR. HH. y de Asuntos Jurídicos.
• Notificaciones automáticas. Las alertas por correo electrónico o SMS llegan a las personas adecuadas, y los problemas pueden remitirse a terceros y a los clientes siempre que sea necesario.
• Reglas de enrutamiento y escalado. El TrackTik Command Center te permite personalizar las reglas de enrutamiento, los procedimientos de escalado y los criterios de activación de notificaciones.
• Pruebas que todos los departamentos pueden utilizar. Las pruebas con marca de tiempo —fotografías, vídeos, grabaciones de audio y datos GPS— garantizan que todos los departamentos trabajen partiendo de los mismos hechos.
• Conectado con el resto de la pila. Una API REST documentada y unos webhooks envían los datos de incidencias a los sistemas de RR. HH., TI y GRC que ya utilizan otros departamentos.

Descarga el «Manual de incidentes interfuncionales» y repásalo con los responsables de tu propio departamento. Si tu organización ya utiliza TrackTik, las tablas RACI que rellenes pueden convertirse en las reglas de enrutamiento que rigen el funcionamiento de tu plataforma, de modo que el plan no se quede en un simple documento, sino que se convierta en la forma en que los incidentes se gestionan realmente.