“¿Tú? Eres programador y responsable de equipos informáticos”. En este grupo se encuadran los que no tienen ni idea y la seguridad les suena simplemente a algo relacionado con la informática. “Eres como la policía informática del Banco”. A una respuesta similar a ésta acudieron los que aplican la lógica y lo comparan con otras actividades cotidianas.
“Tu misión es controlar que la informática no tenga intrusos, ni virus y que los equipos informáticos funcionen”. Los que realizaron una definición así, asocian la seguridad con aspectos específicos que conocen y relacionan con la misma.
Mi primera preocupación surgió del hecho de extrapolar estas respuestas al pensamiento de la dirección de mi empresa: ¿qué conocerían de la seguridad?, ¿qué sabrían del trabajo que desarrollamos?, ¿cómo podrían valorarlo? Probablemente si preguntásemos a altos directivos, su definición de seguridad iría más orientada hacia el tercer tipo de respuesta que, en definitiva, habla de amenazas concretas y de la posibilidad de que las mismas se plasmen en realidad, es decir de riesgos específicos asociados a los sistemas de información.
Ningún programa serio de seguridad puede ser desarrollado sin el apoyo de la dirección de la empresa, de ahí la gran importancia de hacer comprensibles las funciones y responsabilidades del área de seguridad. La motivación para la inversión en seguridad, que normalmente viene dada por una reacción causa/efecto por incidentes ocurridos, debe fijarse de acuerdo a una planificación derivada de un análisis exhaustivo y con el total apoyo y comprensión de la dirección de las empresas.

Riesgos
Normalmente, en las grandes compañías se habla a menudo de riesgos financieros, que son fácilmente entendibles y asimilables por la dirección, pero se desconoce o se minusvalora la existencia de un tipo de riesgo que es inherente al uso de sistemas de información, elementos imprescindibles para el desarrollo de las actividades de negocio. La visión de la seguridad como gestión del riesgo informático facilita la comunicación con la alta dirección de las empresas al utilizar un lenguaje cercano y familiar a los interlocutores y, a través de ello, hacer comprensibles las funciones y responsabilidades del área de seguridad.
La gestión empresarial hace hincapié en emplear todos los recursos disponibles en conseguir los objetivos estratégicos definidos por la empresa, tendiendo a ser eliminada toda aquella actividad o función que no aporte valor para la consecución de los objetivos. Por ello, se deben redoblar los esfuerzos para dar una visión de la seguridad como inversión y no como gasto; algo tangible que aporte valor añadido a la empresa, parte de la estrategia de la misma como una ventaja competitiva o una necesidad para la consecución de ciertos objetivos. La adecuada gestión del riesgo aporta un carácter de inversión a la seguridad y dota de criterio y justificación a los costes de implementación de medidas de seguridad; es la vía para que la dirección pueda calibrar la inversión que debe realizar en materia de seguridad.