Más ñus que cocodrilos
Arturo Belda es director de Consultoría en kritero, especializado en GRC directivo y cumplimiento estratégico. Lleva más de veinte años viendo el mismo patrón: las empresas tratan la seguridad de la información como un gasto evitable, hasta que deja de serlo.
Arturo Belda es director de Consultoría en kritero Risk Consulting. Más de veinte años en gobierno de la seguridad de la información.
De jefe de sistemas a gobierno del riesgo
Arturo empezó en informática de prensa, como jefe de sistemas del periódico El Mundo, y después en el grupo Prisa, en administración de sistemas. Fue ahí, entre 2005 y 2010, cuando su empresa encargó un plan director y apareció por primera vez, dice, la expresión «seguridad lógica». Le llegó un cuestionario de más de dos mil preguntas. Fue el único que lo respondió entero.
«Ahí me hice responsable de seguridad informática, justo cuando esto empezaba.» Dos décadas después, sigue en ello. «Me gusta llevar equipos, y vi un camino con muchísimo recorrido por delante.»
Un idioma que el consejo no maneja
Para Arturo, la resistencia de los consejos de administración no es indiferencia: es un problema de traducción. «Siempre se ha visto la seguridad de la información como algo técnico, de IT, y no lo es. Les hablamos en un idioma que no manejan, y por eso hay reticencia.»
Su receta es dejar de hablar de tecnología y empezar a hablar de riesgo de negocio: «Hay que hablarles en su lenguaje: de riesgos que afectan al negocio, nunca en términos técnicos.»
Más ñus que cocodrilos
La pieza que mejor resume su experiencia es también la más incómoda. En su última empresa, con más de mil empleados, Arturo propuso un equipo mínimo de cinco personas para seguridad. «Me dijeron que estaba loco, que no había presupuesto para eso.» Su respuesta a esa reacción se ha convertido en su forma de explicar el riesgo sistémico.
Es como el río: no te pasa nada porque hay más ñus que cocodrilos. Pero el día que te pasa, te puede cerrar la compañía.
El WAF que lo arreglaba todo
El desconocimiento, según Arturo, no es un problema de tamaño. Recuerda una aseguradora grande que quería montar un plan director. Cuando les habló de controles de recursos humanos, la respuesta fue que no sabían de qué les hablaba, pero que tenían un WAF, un cortafuegos de aplicaciones web, como si eso resolviera cualquier riesgo.
«Sin gobierno, vas dando palos de ciego y poniendo parches sin saber ni por qué los pones.»
La pregunta que casi nadie hace
A la pregunta de qué le gustaría escuchar más en un consejo, Arturo no duda: «La que siempre me hacen es cuánto va a costar. La que me gustaría escuchar es: estos riesgos son inaceptables, ¿cómo los reducimos? Casi nadie se la hace.»
Y añade la explicación que, para él, resume el problema de fondo: es muy humano pensar que a uno no le va a pasar, hasta que le pasa.
¿Su comité sabe lo que costaría el día que pase, o solo lo que cuesta evitarlo?
Una sesión de 45 minutos con un socio senior para revisar cómo se gobierna hoy el riesgo en su organización y qué decisiones no están escritas.