Una evolución “legal” a este panorama podría ser la entrada de las Mutuas en el Esquema Nacional de Seguridad. Sin embargo, parece que por el momento no se verán afectadas por tan ambiciosa medida.
La eficiencia demostrada en la gestión de datos personales de nivel alto ha transmitido tranquilidad y confianza a las organizaciones. Se ha tejido una atmósfera de seguridad que es buena para casi todo, pero puede ser un obstáculo si no se dan pasos firmes para reafirmarla fehacientemente.

Análisis de Riesgos, la piedra filosofal
En nuestra “casa” tampoco parecía haber vida más allá de la LOPD. Pero a principios de 2008, producto de un importante ajuste orgánico, se creaba el departamento de Seguridad de la Información bajo la dirección del área de Protección de Datos. Fue una apuesta decidida y está siendo determinante en la evolución global de la seguridad de la Mutua. Mediante el Análisis de Riesgos, iniciado a mediados de 2009 como proyecto clave del nuevo departamento, la seguridad basada en criterios meramente técnicos está empezando a dejar paso a una ordenación implicada de lleno en los procesos de negocio. La “confianza ciega” en el sistema de información, y la “robustez de laboratorio” de los actuales controles de seguridad, deben transformarse en capacidad de gobierno de la seguridad y en robustez técnica pensada y plenamente justificada.

Gobierno de la seguridad
“Qué te preocupa” es una pregunta exigente. Y de acuerdo con esta exigencia se debe responder con la máxima altura de miras. La respuesta a esa pregunta es justo lo que necesitamos saber para empezar a actuar, y constituye el primer paso hacia la seguridad: preguntar al negocio.
Con la frialdad de este escrito la pregunta parece incluso infantil; pero le aseguro que resulta bastante difícil de contestar si nos centramos en seguridad. Contemplar el escenario cuando estás metido de lleno en la obra resulta revelador, y no tiene comparación con ver esa misma obra desde el patio de butacas. Situar como protagonistas a los directivos de una organización es el primer objetivo para obtener una respuesta efectiva. Ahí radica la exigencia de la pregunta. Preguntar puedes, pero obtener una respuesta válida y, sobre todo, real es otro cantar. En nuestro caso, y felizmente, la respuesta empieza a tomar cuerpo.
El gobierno de la seguridad de la información ha dado sus primeros pasos y promete convertirse en la tan deseada columna vertebral. Una de las cualidades que nos deben llevar a ello es la madurez, en la que trabajamos cada vez más y mejor.

Pruebas de madurez
La construcción de un nuevo entorno de gestión basado en SAP, como el que se encuentra en pleno desarrollo, debe ayudar a replantear la protección de los activos de información. La ocasión es única para profundizar en aspectos como la gestión de identidades. La prueba de madurez será de primer orden si algo que requiere tanto compromiso por parte del conjunto de la organización, como la gestión de identidades y accesos, se lleva con rigor y el resultado es aceptable.
Otro indicador de madurez afecta a la formación en seguridad. El mero hecho de institucionalizarla ya constituye un primer gran avance, puesto que revela que la concienciación ha llegado hasta Recursos Humanos, un área conectada con todos los pilares de la organización. También en este sentido se han producido pasos importantes, puesto que se encuentra en proyecto una normativa de usos de los recursos TI, que abunda en los permisos de uso por parte de los empleados, desde un punto de vista fundamentalmente didáctico. Las buenas prácticas por parte de los usuarios reducen los riesgos de manera radical, y haber identificado tal desafío por parte de Recursos Humanos será determinante en el futuro.
Algo que indicará el grado de madurez será la respuesta a situaciones de contingencia. En la actualidad, la respuesta se basa en criterios meramente técnicos, que cumplen con suficiencia los casos de más riesgo. Pero la propia idiosincrasia de las Mutuas hace que los hipotéticos escenarios de amenaza difieran claramente de las situaciones habituales del mercado, incluso del de las compañías de seguros comunes. El engarce permanente con la Gerencia Informática de la Seguridad Social, por ejemplo, convierte en crítico el canal de comunicación con el ente público. Ese es un riesgo que no pueden solucionar las Mutuas en solitario, si bien un posible impacto les afectaría casi en exclusiva. Otra cosa es el proceso de copias de respaldo, que responde perfectamente a las necesidades, apoyado nuevamente en la Ley de Protección de Datos.
Los peligros de la red (o “la nube”) son limitados para las Mutuas, pero existen. En estos momentos no imagino ni por asomo una migración hacia un entorno “cloud”, aunque todo va muy deprisa y otros factores pueden precipitar una decisión en ese sentido.
De lo que no nos libramos las Mutuas es de tener nuestra ventana a Internet ni del flujo permanente de información bidireccional que conlleva. Pero ésa es una amenaza igual para todos los sectores. Así que nos preocupa lo mismo que a todos: el asedio del malware y, en consecuencia, la fuga de información y el fraude en general. Haremos bien en cuidar nuestros portales y mantener bien actualizada toda la estructura perimetral. Además, en el caso de las Mutuas, el peligro interior se acentúa por la dispersión geográfica de los usuarios, y esa sí es una preocupación de gran importancia. La actualización de las estaciones de trabajo y un control fiable en la autenticación de usuarios cobran gran relevancia, al igual que la conectividad (LAN, WiFi, 3G,...) y la disponibilidad de servicios en los equipos (USB, CD, lectores de tarjeta,...). En esta línea, los equipos móviles también forman parte de ese peligro común a todos los sectores y preocupan de igual forma que cualquier otra estación de trabajo.

Diferentes en esencia, iguales ante el mal
En resumen, las Mutuas disponen de entornos tecnológicos ciertamente parecidos al resto del mercado, pero sus procesos de negocio son marcadamente diferentes. En cambio, las amenazas de seguridad son las mismas y los activos son muy parecidos a los de todo el mundo. Por esa razón, tratar los riesgos de las Mutuas siguiendo clichés tradicionales puede llevar a errores difíciles de enmendar. Una buena detección de riesgos debe pasar por un análisis tenaz y más sustentado en las pausas que en las prisas.
Con los tiempos que nos toca vivir, un ajuste más racional de las salvaguardas se hace poco menos que vital. Estoy seguro de que, una vez refrendada la realidad de su negocio, alguna Mutua descubrirá que el entorno de seguridad que ha construido resulta caro y poco operativo. Frente a esa realidad los directivos tienen un nuevo objetivo con el que comprometerse, un objetivo poco apetitoso para empezar, pero muy resolutivo para la cuenta de resultados. Como dice la “vox pópuli”, la tarea de las Mutuas consiste en “curar y pagar”. Ese es su negocio. Cuanto mejor curen menos pagan y, si aciertan a proteger su información y a racionalizar las salvaguardas, tienen mucho a su favor. El resto, que aún es mucho, pasa por abordar la seguridad de los entornos de trabajo (teniendo en cuenta la dispersión geográfica), fortalecer el perímetro tradicional y proteger la comunicación exterior.