Datos de seguridad que garantizan la aprobación del presupuesto: lo que la mayoría de los programas aún no están recopilando

Cuando un director financiero pregunta qué resultados obtuvo el programa de seguridad el año pasado, la mayoría de los responsables de seguridad pueden responder con cifras: alarmas gestionadas, tarjetas de acceso expedidas, incidentes registrados, horas facturadas por los proveedores. Esas cifras demuestran que el equipo estuvo muy ocupado. Sin embargo, rara vez ayudan a un responsable financiero a decidir en qué se debe invertir el próximo dólar.

Esa brecha es el tema central de un próximo seminario web de ASIS, «Los datos que no estás recopilando: cómo los responsables de seguridad demuestran el valor de sus programas». Antes de la sesión, aquí tienes un avance de las ideas que se tratarán y algunas preguntas que puedes empezar a plantearte hoy mismo sobre tu propio programa.

De los datos de actividad a los datos probatorios

Los programas de seguridad empresarial ya generan un flujo constante de datos. Los sistemas de control de acceso registran los eventos relacionados con las puertas. Las plataformas de vídeo graban las 24 horas del día. Los informes de incidentes, las facturas de los proveedores y los resultados de las auditorías se acumulan en todas las sedes y regiones.

La mayor parte de esos datos se recopilaron para describir lo que ocurrió. Las decisiones presupuestarias requieren algo más útil: pruebas de que se están reduciendo las lagunas en la cobertura, de que el riesgo se mide de la misma forma en todos los lugares y de que la exposición evoluciona en la dirección correcta.

Los responsables de seguridad que pueden aportar ese tipo de pruebas ofrecen al departamento financiero una decisión que tomar, respaldada por cifras que este puede verificar. Esto hace que el debate pase de centrarse en la defensa de una partida de gastos a recomendar dónde debe destinarse la inversión.

El punto ciego entre los controles de seguridad

Para muchos equipos de seguridad corporativa, los datos de los programas se encuentran en sistemas que pertenecen a terceros. El departamento de instalaciones se encarga del control de accesos. Un proveedor aloja los informes de los agentes en su propio portal. Los registros de formación están en manos de RR. HH., y los horarios de turnos se gestionan en una hoja de cálculo que mantiene una sola persona. Cada herramienta funciona para su propietario. Pocas se han diseñado para ofrecer al responsable de seguridad una visión global de todas ellas.

Esa fragmentación lleva a los responsables a dar por sentado que ven más de lo que realmente ven. Entre una revisión programada y otra, resulta difícil confirmar que la cobertura esté vigente en ese momento, que los procedimientos se sigan tal y como están establecidos o que las condiciones no hayan cambiado desde la última comprobación. Esas lagunas suelen pasar desapercibidas hasta que un director financiero o un miembro del consejo de administración solicita pruebas fehacientes de la reducción del riesgo.

La titularidad también es importante. Cuando un proveedor o una plataforma conserva tu historial, un cambio en el contrato puede poner en riesgo años de datos sobre incidencias. Uno de los ponentes del seminario web se enfrentó precisamente a esa situación durante una nueva licitación obligatoria, y nos contará qué hizo para mantener intacto el historial de su programa.

Un lenguaje único para gestionar los riesgos en todas las sedes

Comparar instalaciones, países y proveedores resulta más fácil cuando todos denominan los incidentes de la misma manera. Sin ese lenguaje común, sucesos muy diferentes acaban agrupados en la misma categoría. Un visitante que se cuela tras otra persona por el vestíbulo de la sede central y una entrada no autorizada a una zona de producción o a una sala de servidores podrían clasificarse ambos como «violación de acceso». En un informe trimestral, parecen idénticos. Para la empresa, uno es una molestia y el otro podría paralizar las operaciones.

Una taxonomía común asigna a cada incidente una categoría, un nivel de gravedad y un impacto empresarial coherentes, independientemente de dónde se produzca y de quién lo notifique. Una vez establecida, un responsable de seguridad puede clasificar las ubicaciones según su exposición real, exigir a todos los proveedores que cumplan las mismas medidas y ejercer su liderazgo allí donde se concentran los riesgos. Además, ofrece a las empresas manufactureras y a otras organizaciones con una gran carga operativa una forma de vincular los incidentes de seguridad con los resultados de producción, logística y cadena de suministro que los responsables ya supervisan.

El seminario web explica cómo lograr esa coherencia en un programa que abarca múltiples sedes y países, incluyendo cómo las categorías de incidentes de una antigua organización de la sociedad civil pusieron de manifiesto un problema de costes que la empresa no había relacionado en absoluto con la seguridad.

Seis preguntas para poner a prueba tu programa

La sesión se articula en torno a seis preguntas que los CSO y los CISO reciben de sus equipos directivos. Intenta responder a cada una de ellas con los datos de los que dispone tu equipo en la actualidad:

1. ¿Puedo confiar en que todos los centros están cubiertos, incluso cuando no puedo estar allí?
2. ¿Puedo explicar el valor de la seguridad en términos empresariales?
3. ¿Puede mi equipo tomar decisiones sin tener que cambiar entre cinco sistemas?
4. ¿Puedo demostrar que cumplo con la normativa antes de que alguien me lo pida?
5. ¿Cómo puedo proteger a más personas con los mismos recursos?
6. ¿En qué ámbitos la IA está generando un valor real y en cuáles no es más que ruido?

Si algunas de estas cuestiones te obligan a rebuscar en hojas de cálculo y portales de proveedores, en el seminario web encontrarás respuestas prácticas.

Únete a nosotros en el seminario web de ASIS