Políticas de seguridad TI: El factor humano

Muchas empresas han transformado rápidamente la forma en que prestan servicios a sus clientes mediante usos ingeniosos de las más avanzadas tecnologías de la información. Pero las ventajas de las TI para el negocio no dejan de tener un alto coste, como es la necesidad de proteger los sistemas de virus dañinos, brechas de datos accidentales o incluso ataques deliberados. Y, en las empresas de hoy, más globales y abiertas a socios y clientes, de las que, además, entran y salen continuamente portátiles u otros dispositivos móviles con información sensible, no hay forma de protección que no pase por el convencido compromiso de los empleados con la seguridad corporativa.

Las brechas pueden a menudo empezar de una manera muy personal. Por ejemplo, con un grupo de amigos tomando algo en una cafetería donde algún empleado vaya con su PC corporativo y decida utilizarlo para navegar o para enviar algún correo electrónico personal. La mayoría de nosotros estamos ya familiarizados con las soluciones tecnológicas que pretenden resolver estos problemas, como cortafuegos, contraseñas y certificados digitales.

Pero el componente tecnológico es sólo una parte de la solución, las políticas que soportan estos mecanismos resultan igualmente importante, y cuando de políticas se trata, resulta imprescindible el compromiso de los usuarios. De hecho, se está convirtiendo en algo vital para cualquier negocio global no sólo implementar una excelente política de seguridad, sino también priorizarla y comunicarla a los empleados de forma eficiente y significativa para ellos.
        
Una herramienta de protección vital
Según un sondeo llevado a cabo por Computing Technology Industry Association (CTIA) en Estados Unidos, casi el 40% de las firmas entrevistadas por la asociación habían reportado alguna brecha de seguridad TI importante durante los últimos seis meses. ¿Cuántas de ellas se podrían haber prevenido considerando el factor humano en el entorno de trabajo? Muchas tuvieron sus raíces en la pérdida accidental de un laptop, un Backberry o cualquier otro dispositivo móvil, en empleados utilizando redes no adecuadamente securizadas para trabajar desde sus casas, y en trabajadores que descargaron software “inapropiado” sobre la red de la compañía.

Una política de seguridad efectiva es, en pocas palabras, una herramienta de protección vital para cualquier tipo de empresa. Pero la paradoja reside en que, pese a su importancia, las políticas de seguridad a menudo no son seriamente consideradas por los gestores empresariales hasta que la organización ha sufrido algún incidente de seguridad importante. Cuando lo cierto es que la política más efectiva no es aquella que se desarrolla durante un momento de crisis, sino la que se construye, actualiza y comunica de manera continuada después de una revisión sistemática de las necesidades de seguridad corporativas.

¿Cuál es la forma de desarrollar las mejores políticas de seguridad? Las grandes compañías y aquellas que tienen más en juego han dedicado recursos significativos a estudiar este asunto. Por ejemplo, la firma de transporte rápido aéreo de paquetería FedEx, que invierte más de 1.000 millones de dólares anuales en TI, concede una importancia fundamental al desarrollo de una estrategia de seguridad TI sólida y consistente, que no sólo abarque y se geste en la sala de servidores, sino en la que también se impliquen sus ejecutivos de alto nivel.

FedEx entrega más de 3,3 millones de paquetes cada día laborable, así como la información asociada a cada uno de ellos a empleados y clientes que la soliciten. Para la compañía, “la información sobre el paquete es tan importante como el paquete mismo”, en palabras de su cofundador Frederick W.Smith. Dado el alto nivel de penetración de las TI en esta organización, no es pues extraño que la seguridad de la información se haya convertido en una cuestión de máxima prioridad para FedEx.