El nuevo requisito de la CSO: herramientas que funcionan más allá de la caseta de vigilancia

En un reciente evento del sector, David Fortino, responsable de seguridad corporativa de New York Blood Center Enterprises, planteó a los proveedores presentes en la sala una pregunta que debería replantear la forma en que cada proveedor de software de seguridad concibe su hoja de ruta de productos:

«¿Cómo vas a facilitarme la vida como responsable de seguridad? Eso es lo que busco en un proveedor. Busco una herramienta que ayude a toda la empresa, no solo a la seguridad física».

Esa frase aparece en el informe «Megatendencias de seguridad 2026» de la SIA, pero bien podría haber salido de nuestro propio seminario web reciente,«De la tarjeta de identificación a la sala de juntas», con Todd Kreisher, un veterano del Servicio Secreto con 27 años de experiencia y antiguo director de seguridad de un fabricante mundial de automóviles. Todd dedicó una hora a explicar junto a Jeff DiDomenico exactamente lo que Fortino describe: qué ocurre cuando un incidente de seguridad deja de ser un problema exclusivamente de seguridad en el momento en que se notifica.

El incidente que no fue un incidente de seguridad

Al principio del seminario web, Todd contó una anécdota de su etapa como director de seguridad de una empresa manufacturera. Su equipo llevaba a cabo inspecciones de remolques como parte de un requisito de cumplimiento del programa CTPAT, comparando los conocimientos de embarque con las cargas reales. Gracias a un buen sistema de notificación de incidentes, se dio cuenta de algo: los camiones daban media vuelta con mucha más frecuencia de lo que deberían.

Sus palabras: «También empecé a darme cuenta de que, en realidad, no se trataba de un incidente de seguridad. Quiero decir, no era una cuestión de seguridad, sino una cuestión empresarial, una cuestión logística».

Con esos datos en la mano, Todd no se limitó a archivarlos en un informe de seguridad que nadie más iba a leer. Los presentó al departamento de logística y al equipo directivo, y juntos mejoraron el proceso, lo que supuso un ahorro real para la empresa.

Ese es todo el argumento en pocas palabras. El incidente quedó registrado por el departamento de seguridad. La solución correspondía al departamento de logística. El beneficio se reflejó directamente en la cuenta de resultados. Si los datos hubieran permanecido confinados en un sistema exclusivo de seguridad, nada de eso habría ocurrido. Para detectarlo fue necesario recopilar información de distintos centros y a lo largo de varios meses, en lugar de basarse en una pila de formularios de incidentes individuales.

Un incidente, cinco departamentos

El ejemplo más claro que puso Todd al respecto procedía de algo tan cotidiano como una denuncia por robo. Tal y como él mismo dijo:

«Robo. Bueno, ¿se trataba del robo del almuerzo de alguien en la sala de descanso? ¿O era el robo de 50 catalizadores que iba a afectar a la producción?»

Técnicamente, ambos casos constituyen un «robo». Sin embargo, solo uno de ellos debe llegar a los departamentos de planificación de la producción, gestión de riesgos y, posiblemente, a las fuerzas del orden en el plazo de una hora. Sin un sistema diseñado para recopilar ese nivel de detalle y remitirlo a las personas adecuadas, el director de seguridad (CSO) se ve obligado a elegir entre categorías genéricas que no aportan información a nadie o un aluvión de información irrelevante que oculta los incidentes que realmente importan.

Si extrapolamos esa misma idea al ámbito de las operaciones de seguridad corporativa, la lista de partes interesadas que intervienen en un solo informe de incidente se alarga rápidamente:

• Recursos Humanos: cuando un incidente implica una investigación sobre un empleado o un caso de violencia en el lugar de trabajo
• Asuntos jurídicos: cuando existe un riesgo de responsabilidad civil o una obligación de cumplimiento normativo
• TI: cuando es necesario revocar las credenciales de acceso o se sospecha de una amenaza interna
• Riesgo y seguros: cuando hay que presentar una reclamación o señalar una tendencia antes de que se convierta en una pérdida mayor
• Liderazgo ejecutivo: cuando el incidente afecta a la continuidad del negocio o supone un riesgo para la marca

Todd hizo la misma observación sobre las relaciones, no solo sobre los datos: «Las colaboraciones internas clave con RR. HH., el departamento jurídico, el departamento de cumplimiento normativo y el departamento de TI… son colaboraciones fundamentales para este equipo de seguridad corporativa». También contó que un antiguo director financiero le preguntó una vez, medio en broma, si la empresa seguía necesitando un equipo formal de gestión de crisis, ya que los incidentes en sus instalaciones rara vez llegaban a convertirse en una crisis. Eso es lo que ocurre cuando la información adecuada llega al departamento adecuado antes de que un pequeño problema se convierta en uno grande. Lograrlo en la práctica suele implicar la integración en los sistemas con los que ya trabajan esos departamentos, en lugar de pedir a cinco equipos que aprendan a utilizar una herramienta de seguridad. En nuestra guía para integrar la seguridad física en la infraestructura empresarial encontrarás una explicación más detallada al respecto.

El sector coincide en que esto ya no es opcional

El informe «Megatendencias de seguridad 2026» de la SIA denomina a este cambio directamente como la «Megatendencia 3»: «Las soluciones de seguridad pierden sus límites», y describe una evolución en todo el sector que va desde los sistemas de seguridad física aislados hacia plataformas que conectan los datos de seguridad con los sistemas informáticos, de instalaciones y operativos.

Tara Dunning, vicepresidenta de tecnología convergente de Wesco, lo explica así en el informe: «Las fronteras de nuestro sector se están desvaneciendo rápidamente. La convergencia entre todas las plataformas tecnológicas nos permite ofrecer una visión y un control unificados en todo el ecosistema empresarial, lo que da lugar a empresas más seguras, eficientes, sostenibles y resilientes».

Si leemos juntas la cita de Fortino, la de Dunning y la historia de Todd sobre el cambio de rumbo de su camión, surge un patrón. Los compradores ya no se preguntan si una plataforma de seguridad puede registrar un incidente. Se preguntan si puede hacer llegar ese incidente a las personas de toda la empresa que deben actuar al respecto, en un formato que realmente puedan utilizar. Se trata de un cambio en lo que se espera que ofrezcan los equipos de seguridad empresarial, y recae directamente en las herramientas.

Qué implica esto a la hora de evaluar la notificación de incidentes

Si eres director de seguridad (CSO) o responsable de seguridad y estás a punto de participar en tu próxima evaluación de plataformas, vale la pena plantear directamente algunas preguntas basadas en la propia experiencia de Todd:

• ¿Se pueden personalizar las categorías de incidentes lo suficiente como para diferenciar un robo en la sala de descanso de un robo que afecte a la producción, o se agrupará todo en una sola categoría genérica?
• Si cambias de proveedor de servicios, ¿tu historial de incidencias y tu configuración de notificaciones se trasladan con él o se pierden por el camino?
• ¿Pueden los departamentos de RR. HH., Jurídico, TI y de Gestión de Riesgos obtener la información concreta que necesitan sobre un incidente sin tener que revisar un informe de seguridad completo que no se ha elaborado pensando en ellos?
• ¿Permite tu plataforma ese tipo de acceso en tiempo real a los paneles de control que permite a tu equipo detectar un patrón, tal y como el equipo de Todd detectó un problema logístico oculto en un registro de seguridad?

Cómo se responden esas cuatro preguntas en la práctica

Esas son las preguntas adecuadas que hay que plantear a cualquier proveedor, incluidos nosotros. A continuación te explicamos cómo se corresponde cada una de ellas con TrackTik, para que tengas un punto de referencia concreto con el que comparar:

• Sobre la granularidad de las categorías. La notificación de incidentes utiliza tipos configurables y campos guiados, por lo que un robo en la sala de descanso y un robo que afecta a la producción se registran como entradas diferentes, en lugar de agruparse en la misma categoría, y cada una de ellas incluye pruebas con marca de tiempo, como fotografías, vídeos y datos de GPS.
• Sobre la propiedad de los datos. Esto es algo que hay que conseguir por escrito de cualquier proveedor. TrackTik permite la replicación de datos en tu propio almacén de datos y ofrece conectores para Power BI y Tableau, de modo que los registros operativos se almacenan en un lugar que tú controlas, en lugar de quedar únicamente en el sistema de un proveedor.
• Al proporcionar a cada departamento su propia parte. Las vistas compartibles y adaptadas a cada función permiten que los departamentos de RR. HH., Asuntos Jurídicos, TI y Gestión de Riesgos reciban la información que necesitan, y ReportPro AI genera resúmenes ejecutivos para que los miembros del consejo de administración no tengan que leer un informe de campo completo.
• Detectar el patrón. La inteligencia empresarial es donde se hace visible una anomalía en el tiempo de rotación de los camiones, gracias a un generador de paneles de control de «arrastrar y soltar», en lugar de una solicitud de informe en cola con un proveedor. Cuando es necesario integrar alarmas, vídeo y gestión de envíos, el Centro de Mando los consolida en un único espacio de trabajo.

La realidad es que ninguna plataforma elimina la necesidad de las colaboraciones internas que describe Todd. Las herramientas facilitan el traspaso de responsabilidades; la relación con RR. HH., el departamento jurídico y el de TI es lo que lo hace posible. Si estás forjando esas relaciones ahora mismo, merece la pena leer, junto con este artículo, los retos a los que se enfrentan los responsables de seguridad corporativa y cómo los equipos se coordinan en torno al ecosistema de seguridad más amplio.

Escucha la conversación completa

El seminario web de Todd con Jeff DiDomenico abarca muchos más temas de los que podemos incluir en una sola entrada, entre ellos cómo logró el control directo sobre sus datos de incidentes durante un nuevo proceso de licitación de un proveedor de servicios, cómo transformó una empresa que carecía de cultura de seguridad en otra en la que los responsables de seguridad eran tratados como compañeros de equipo de confianza, y cómo cree que los directores de seguridad (CSO) deberían evaluar la tecnología basada en la inteligencia artificial sin dejarse llevar por el entusiasmo exagerado.

Ve el seminario web completo bajo demanda, «De la insignia a la sala de juntas», para conocer la historia completa de Todd en sus propias palabras. Si prefieres ver cómo funciona el ámbito de las operaciones de seguridad en tu propio entorno, puedes reservar una demostración de TrackTik.