En el bloque de lo que llamaríamos elementos dinamizadores podemos considerar la aparición de requerimientos legales o reguladores como la LOPD y SOX entre otros, los propios avances tecnológicos, el impulso en los negocios a basar su gestión por procesos, no siendo ajenas las organizaciones de T.I. a las buenas prácticas preconizadas por ITIL, ISO 20000 y de forma específica en seguridad ISO27001 o el modelo CobiT.
En el bloque de los elementos que crean problemas o nos complican la seguridad podemos considerar la nueva forma de hacer negocios por las facilidades que la tecnología nos proporciona, especialmente en lo relativo a las posibilidades de conectividad ‘Martini’ (dónde, cuándo y cómo quieras) potenciando la movilidad, las tendencias a externalizar ciertas actividades y a incorporar a terceros en los flujos de los negocios de nuestras empresas u organizaciones y, por supuesto, el hecho de que los ‘malos’ han permutado el objetivo de la satisfacción personal por el objetivo de ganar dinero.
En dicho contexto, selecciono dos áreas que preocupan de forma especial a quienes estamos vinculados a la seguridad de la información al objeto de establecer algunas reflexiones y consideraciones sobre las mismas -más bien son pensamientos en voz alta-, que nos sirvan de contraste sobre la situación en nuestras corporaciones y que si procediese, nos permitan pasar de preocuparnos a ocuparnos y reconducir nuestras estrategias.

Es esencial tener muy clara la visión –y la misión– que la Dirección tiene de nosotros, no la que pensamos que tenemos, pues desajustes en las percepciones generan distorsiones importantes. Que se nos dote de cierto presupuesto no debe hacernos inferir que se nos considera una actividad que forma parte del ‘core’ del negocio. No todos estamos en negocios de banca por Internet por poner un ejemplo de tipo de negocio en el que la seguridad es consustancial con el mismo. Tener bien calibradas las expectativas de nuestra función facilitará la estrategia que deberemos desarrollar.
El modelo de gobierno de la función y la cooperación de los Negocios en nuestras actividades es el tercer factor clave. Cómo les involucramos en nuestros temas y cómo conseguimos que nos dediquen tiempo, es el objetivo que se persigue, pero la presión de la eficiencia afecta a todas las organizaciones y nadie anda sobrado del recurso personas/tiempo. Se deben diseñar estrategias realistas evitando planteamientos voluntaristas que nos hagan inoperativos los comités y grupos de trabajo que se crean y a la tercera reunión languidezcan. Es fundamental hablar en el lenguaje de los Negocios, huir del técnico; es un aprendizaje que debemos realizar para que nos entiendan, comprendan y apoyen.

La gestión operativa y técnica de la seguridad
Plantearse la gestión de la seguridad mediante un proceso es estratégico. El modelo de procesos a aplicar es tal vez lo menos importante, lo fundamental es tener uno y ser coherente con el mismo, con sus puntos fuertes y débiles. Uno de los criterios para seleccionarlo debería ser que estuviese alineado con el posicionamiento corporativo respecto de dicho modelo si lo hubiera o si estuviese previsto establecerlo.
Diseñar, implantar o incrementar el nivel de madurez del mismo debe ser nuestro foco de atención dependiendo de la situación en que nos encontremos. El proceso de Gestionar Seguridad tiene múltiples interfases con los procesos de T.I. y de los negocios, y su despliegue total requiere tiempo.