El nuevo requisito de la CSO: herramientas que funcionan más allá de la caseta de vigilancia

El nuevo requisito de la CSO: herramientas que funcionan más allá de la caseta de vigilancia

En un reciente evento del sector, David Fortino, responsable de seguridad corporativa de New York Blood Center Enterprises, planteó a los proveedores presentes en la sala una pregunta que debería replantear la forma en que cada proveedor de software de seguridad concibe su hoja de ruta de productos:

«¿Cómo vas a facilitarme la vida como responsable de seguridad? Eso es lo que busco en un proveedor. Busco una herramienta que ayude a toda la empresa, no solo a la seguridad física».

Esa frase aparece en el informe «Megatendencias de seguridad 2026» de la SIA, pero bien podría haber salido de nuestro propio seminario web reciente,«De la tarjeta de identificación a la sala de juntas», con Todd Kreisher, un veterano del Servicio Secreto con 27 años de experiencia y antiguo director de seguridad de un fabricante mundial de automóviles. Todd dedicó una hora a explicar junto a Jeff DiDomenico exactamente lo que Fortino describe: qué ocurre cuando un incidente de seguridad deja de ser un problema exclusivamente de seguridad en el momento en que se notifica.

El incidente que no fue un incidente de seguridad

Al principio del seminario web, Todd contó una anécdota de su etapa como director de seguridad de una empresa manufacturera. Su equipo llevaba a cabo inspecciones de remolques como parte de un requisito de cumplimiento del programa CTPAT, comparando los conocimientos de embarque con las cargas reales. Gracias a un buen sistema de notificación de incidentes, se dio cuenta de algo: los camiones daban media vuelta con mucha más frecuencia de lo que deberían.

Sus palabras: «También empecé a darme cuenta de que, en realidad, no se trataba de un incidente de seguridad. Quiero decir, no era una cuestión de seguridad, sino una cuestión empresarial, una cuestión logística».

Con esos datos en la mano, Todd no se limitó a archivarlos en un informe de seguridad que nadie más iba a leer. Los presentó al departamento de logística y al equipo directivo, y juntos mejoraron el proceso, lo que supuso un ahorro real para la empresa.

Ahí está todo el argumento en pocas palabras. El incidente quedó registrado por el departamento de seguridad. La solución correspondía al departamento de logística. El beneficio se reflejó directamente en la cuenta de resultados. Si los datos se hubieran quedado confinados en un sistema exclusivo de seguridad, nada de eso habría ocurrido.

Un incidente, cinco departamentos

El ejemplo más claro que puso Todd al respecto procedía de algo tan cotidiano como una denuncia por robo. Tal y como él mismo dijo:

«Robo. Bueno, ¿se trataba del robo del almuerzo de alguien en la sala de descanso? ¿O era el robo de 50 catalizadores que iba a afectar a la producción?»

Técnicamente, ambos casos constituyen un «robo». Sin embargo, solo uno de ellos debe llegar a los departamentos de planificación de la producción, gestión de riesgos y, posiblemente, a las fuerzas del orden en el plazo de una hora. Sin un sistema diseñado para recopilar ese nivel de detalle y remitirlo a las personas adecuadas, un director de seguridad (CSO) se ve obligado a elegir entre categorías genéricas que no aportan información a nadie o un aluvión de ruido que oculta los incidentes que realmente importan.

Si extrapolamos esa misma idea al ámbito de las operaciones de seguridad corporativa, la lista de partes interesadas que intervienen en un solo informe de incidente se alarga rápidamente:

• Recursos Humanos: cuando un incidente implica una investigación sobre un empleado o un caso de violencia en el lugar de trabajo
• Asuntos jurídicos: cuando existe un riesgo de responsabilidad civil o una obligación de cumplimiento normativo
• TI: cuando es necesario revocar las credenciales de acceso o se sospecha de una amenaza interna
• Riesgo y seguros: cuando hay que presentar una reclamación o señalar una tendencia antes de que se convierta en una pérdida mayor
• Liderazgo ejecutivo: cuando el incidente afecta a la continuidad del negocio o supone un riesgo para la marca

Todd hizo la misma observación sobre las relaciones, no solo sobre los datos: «Las alianzas internas clave con RR. HH., el departamento jurídico, el departamento de cumplimiento normativo y el departamento de TI… son colaboraciones fundamentales para este equipo de seguridad corporativa». También habló de un antiguo director financiero que una vez le preguntó, medio en serio, si la empresa seguía necesitando un equipo formal de gestión de crisis, ya que los incidentes en sus instalaciones rara vez llegaban a convertirse en una crisis. Eso es lo que ocurre cuando la información adecuada llega al departamento adecuado antes de que un pequeño problema se convierta en uno grande.

El sector coincide en que esto ya no es opcional

El informe «Megatendencias de seguridad 2026» de la SIA denomina a este cambio directamente como la «Megatendencia 3»: «Las soluciones de seguridad pierden sus límites», y describe una evolución en todo el sector que va desde los sistemas de seguridad física aislados hacia plataformas que conectan los datos de seguridad con los sistemas informáticos, de instalaciones y operativos.

Tara Dunning, vicepresidenta de tecnología convergente de Wesco, lo explica así en el informe: «Las fronteras de nuestro sector se están desvaneciendo rápidamente. La convergencia entre todas las plataformas tecnológicas nos permite ofrecer una visión y un control unificados en todo el ecosistema empresarial, lo que da lugar a empresas más seguras, eficientes, sostenibles y resilientes».

Si leemos juntas la cita de Fortino, la de Dunning y la historia de Todd sobre el cambio de rumbo de su camión, se aprecia una tendencia. Los compradores ya no se preguntan si una plataforma de seguridad puede registrar un incidente. Se preguntan si es capaz de hacer llegar ese incidente a las personas de toda la empresa que deben actuar al respecto, en un formato que realmente puedan utilizar.

Qué implica esto a la hora de evaluar la notificación de incidentes

Si eres director de seguridad (CSO) o responsable de seguridad y estás a punto de participar en tu próxima evaluación de plataformas, vale la pena plantear directamente algunas preguntas basadas en la propia experiencia de Todd:

• ¿Se pueden personalizar las categorías de incidentes lo suficiente como para diferenciar un robo en la sala de descanso de un robo que afecte a la producción, o se agrupará todo en una sola categoría genérica?
• Si cambias de proveedor de servicios, ¿tu historial de incidencias y tu configuración de notificaciones se trasladan con él o se pierden por el camino?
• ¿Pueden los departamentos de RR. HH., Jurídico, TI y de Gestión de Riesgos obtener la información concreta que necesitan sobre un incidente sin tener que revisar un informe de seguridad completo que no se ha elaborado pensando en ellos?
• ¿Permite tu plataforma ese tipo de acceso en tiempo real a los paneles de control que permite a tu equipo detectar un patrón, tal y como el equipo de Todd detectó un problema logístico oculto en un registro de seguridad?

Escucha la conversación completa

El seminario web de Todd con Jeff DiDomenico abarca muchos más temas de los que podemos incluir en una sola entrada, entre ellos cómo logró el control directo sobre sus datos de incidentes durante un nuevo proceso de licitación de un proveedor de servicios, cómo transformó una empresa que carecía de cultura de seguridad en otra en la que los responsables de seguridad eran tratados como compañeros de equipo de confianza, y cómo cree que los directores de seguridad (CSO) deberían evaluar la tecnología basada en la inteligencia artificial sin dejarse llevar por el entusiasmo exagerado.

Ve el seminario web completo bajo demanda, «De la insignia a la sala de juntas», para conocer la historia completa de Todd contada con sus propias palabras. [Ver el seminario web bajo demanda]