{"id":28370,"date":"2023-02-07T10:47:07","date_gmt":"2023-02-07T08:47:07","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=28370"},"modified":"2023-02-07T10:47:07","modified_gmt":"2023-02-07T08:47:07","slug":"business-soc-communications","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/business-soc-communications\/28370\/","title":{"rendered":"C\u00f3mo mejorar la comunicaci\u00f3n entre el personal de seguridad de la informaci\u00f3n y la directiva"},"content":{"rendered":"

Ninguna empresa puede operar correctamente sin una cooperaci\u00f3n fluida entre la direcci\u00f3n general y los especialistas responsables de las diferentes \u00e1reas empresariales. Por supuesto, dicha cooperaci\u00f3n requiere comunicaci\u00f3n, lo que a veces puede ser dif\u00edcil, ya que los gerentes y especialistas trabajan en diferentes burbujas de informaci\u00f3n y, a menudo, hablan diferentes idiomas. La directiva piensa en las ganancias, los costes y el desarrollo; los especialistas, y el servicio de seguridad de la informaci\u00f3n no es una excepci\u00f3n, piensan en sus tareas t\u00e9cnicas espec\u00edficas.<\/p>\n

Un estudio reciente<\/a> realizado por nuestros compa\u00f1eros demostr\u00f3 que, si bien el entendimiento mutuo entre los directivos y los especialistas en seguridad de la informaci\u00f3n est\u00e1 creciendo en general, a\u00fan siguen existiendo problemas. De hecho, el 98 % de los representantes empresariales encuestados afirmaron haber experimentado alg\u00fan tipo de malentendido con el servicio de seguridad de la informaci\u00f3n al menos una vez que, como consecuencia directa, habr\u00eda provocado al menos un incidente de seguridad en el 62 % de los casos, mientras que el 61 % inform\u00f3 de impactos negativos en la empresa, incluidas las p\u00e9rdidas, el abandono de empleados clave o un deterioro de la comunicaci\u00f3n entre departamentos. A su vez, los propios profesionales de la seguridad no siempre son conscientes de los problemas: al 42 % de los l\u00edderes empresariales les gustar\u00eda que los especialistas en seguridad se comunicaran con m\u00e1s claridad<\/strong>, \u00a1pero el 76 % de estos especialistas est\u00e1 seguro de que todos los entienden perfectamente!<\/p>\n

A menudo hay problemas con el lenguaje utilizado: los directivos no suelen entender todos los tecnicismos que usan los servicios de seguridad de la informaci\u00f3n. Pero la terminolog\u00eda no es el \u00fanico problema en su comunicaci\u00f3n; de hecho, ni siquiera es el problema principal. Intentemos comprender el resto de problemas con la ayuda de Patrick Miller, socio gerente de Archer International, y su discurso<\/a> en la Kaspersky Industrial Cybersecurity Conference del 2019.<\/p>\n

Una concepci\u00f3n del riesgo muy diferente.<\/h2>\n

La mayor\u00eda de los especialistas en seguridad de la informaci\u00f3n tienen un umbral de tolerancia al riesgo muy bajo. Pero en los negocios, ocurre lo contrario: sin riesgo, no hay beneficio, por lo que los directivos a menudo est\u00e1n dispuestos a asumir mayores riesgos. Para el jefe, el objetivo principal es encontrar el equilibrio ideal entre las ganancias y las p\u00e9rdidas potenciales. El verdadero objetivo del departamento de seguridad, por extra\u00f1o que parezca, no es eliminar todas las amenazas, sino ayudar a la empresa a ganar tanto como sea posible.<\/p>\n

Desde el punto de vista empresarial, los riesgos pueden aceptarse, evitarse, reducirse o transferirse (por ejemplo, a las aseguradoras). Los directivos intentar\u00e1n tomar los m\u00e1ximos riesgos posibles para aumentar las ganancias. Para ellos, la seguridad de la informaci\u00f3n es solo una peque\u00f1a parte de la imagen, de hecho, probablemente ni siquiera quieran pensar en ello.<\/p>\n

Por lo tanto, los especialistas en seguridad de la informaci\u00f3n no deben pensar en c\u00f3mo cerrar todas las brechas, sino en c\u00f3mo identificar y neutralizar aquellas amenazas que realmente<\/em> puedan causar da\u00f1os graves a la empresa. Y, en consecuencia, tambi\u00e9n deber\u00edan pensar en c\u00f3mo explicar a los directivos por qu\u00e9 vale la pena gastar dinero en resolver algo.<\/p>\n

El miedo, la incertidumbre y la duda no funciona<\/h2>\n

Tratar de persuadir a los directivos usando t\u00e1cticas de miedo, incertidumbre y duda (FUD por sus siglas en ingl\u00e9s) no va a funcionar, ya que la empresa no paga al servicio de seguridad de la informaci\u00f3n para que los asusten. Los especialistas est\u00e1n para resolver problemas y, mejor a\u00fan, para que nadie se d\u00e9 cuenta de que haya ninguno.<\/p>\n

Otro problema con el uso del concepto FUD es que los directivos ya andan bastante estresados, simplemente por el hecho de que cualquier error que cometan podr\u00eda ser el \u00faltimo; por ejemplo, hay muchas personas alrededor que aprovechar\u00edan la oportunidad para ocupar su lugar, por lo que no pueden confiar en cualquiera. Por tanto, no necesitan ning\u00fan factor de miedo adicional.<\/p>\n

Y, por \u00faltimo, a ning\u00fan jefe le gusta demostrar que no sabe de algo. Por tanto, cualquier intento de bombardear a la direcci\u00f3n con t\u00e9rminos que suenen inteligentes obviamente est\u00e1 condenado al fracaso.<\/p>\n

Piensa como una empresa<\/h2>\n

El objetivo principal de cualquier empresa comercial es ganar dinero, por lo que los directivos miran todo desde este punto de vista, es lo que saben hacer. Por lo tanto, si un especialista en seguridad de la informaci\u00f3n se les acerca y les dice: \u201cha aparecido una amenaza y necesitamos invertir X cantidad de los fondos para neutralizarla\u201d, lo que escucha es \u201csi nos arriesgamos y no hacemos nada, ahorraremos X cantidad de dinero\u201d. Suena loco, pero as\u00ed es exactamente c\u00f3mo piensan las empresas.<\/p>\n

Para el directivo, es esencial que cualquiera de sus acciones (o inacciones) d\u00e9 como resultado n\u00fameros financieros positivos, incluso aunque esta cifra positiva resulte de la diferencia entre dos negativos. Por lo tanto, la situaci\u00f3n debe presentarse de una forma que pueda comprender: \u201cExiste una amenaza con una probabilidad del Z % de causar un da\u00f1o Y al negocio. Necesitamos gastar X para neutralizarlo\u201d.<\/strong> Esta es una ecuaci\u00f3n que tiene sentido en la mentalidad empresarial.<\/p>\n

Por supuesto, no siempre es posible predecir de forma realista el coste del da\u00f1o potencial<\/strong>, por lo que puedes usar valores conocidos<\/strong> como el tiempo de inactividad<\/strong> (durante el cual se limpiar\u00edan las consecuencias del incidente), la cantidad y<\/strong> el tipo de datos que podr\u00edan perderse o comprometerse<\/strong>, las p\u00e9rdidas de reputaci\u00f3n<\/strong>, etc. Despu\u00e9s, la empresa podr\u00e1 convertir esta informaci\u00f3n en n\u00fameros comprensibles, con la ayuda de especialistas. Pero es mejor si el equipo de seguridad de la informaci\u00f3n puede hacerlo por s\u00ed mismo, ya que se ahorra mucho tiempo.<\/p>\n

Naturalmente, siempre existe la posibilidad de que la ecuaci\u00f3n no funcione a favor de la seguridad de la informaci\u00f3n. Esto no siempre es un problema de falta de comunicaci\u00f3n<\/strong>; puede que la directiva escuche y entienda todo<\/strong> perfectamente, pero sea m\u00e1s rentable correr el riesgo<\/strong>. Eso o que la seguridad de la informaci\u00f3n no haya podido argumentar de forma convincente su posici\u00f3n dado que no ha aprendido a pensar como una empresa.<\/p>\n

La clave aqu\u00ed es tener una buena comprensi\u00f3n de la posici\u00f3n del servicio de seguridad de la informaci\u00f3n dentro de la empresa y las ganancias que genera. Esto permitir\u00e1 evaluar y clasificar mejor las posibles amenazas, evitar la p\u00e9rdida de tiempo y los nervios propios y ajenos en iniciativas que claramente no llegar\u00e1n a ning\u00fan lado y, en general, trabajar de forma m\u00e1s eficiente.<\/p>\n

El factor tiempo y los plazos<\/h2>\n

Para la seguridad, el factor tiempo es crucial<\/strong>: algunas amenazas deben protegerse de inmediato<\/strong>. Pero el tiempo tambi\u00e9n es importante para las empresas<\/strong>, donde el tiempo es dinero<\/strong>. Hoy puedes gastar X cantidad de dinero antes mencionada, pero si lo haces en un mes, entonces, en manos h\u00e1biles, X se convertir\u00e1 en X*n y X*(n-1) permanecer\u00e1 en el banco.<\/p>\n

Incluso aunque la directiva comprenda el problema y sepa que debe resolverse, no se apresurar\u00e1n a gastar dinero a menos que se les d\u00e9 una fecha l\u00edmite clara y bien argumentada. Tambi\u00e9n deben saber que, una vez vencido el plazo, autom\u00e1ticamente deben asumir la responsabilidad por el riesgo en espec\u00edfico, ya que entonces la seguridad de la informaci\u00f3n solo puede limpiar las consecuencias.<\/p>\n

Este plazo debe ser lo m\u00e1s realista posible. Si la seguridad de la informaci\u00f3n siempre exige que se tome una decisi\u00f3n \u201cpara ayer\u201d, la directiva dejar\u00e1 de escuchar y los tratar\u00e1 como el ni\u00f1o del cuento del lobo. Y si siempre dice \u201cbueno, tienes un a\u00f1o para pens\u00e1rtelo\u201d, los despedir\u00e1n despu\u00e9s del pr\u00f3ximo incidente (o directamente). Es importante poder evaluar y establecer el plazo real y resaltar los riesgos potenciales.<\/strong><\/p>\n

Vale la pena se\u00f1alar que muy pocas empresas guardan un dinero de reserva en sus cuentas, esperando que el director de seguridad de la informaci\u00f3n venga y les diga d\u00f3nde gastarlo lo antes posible. Los fondos para resolver problemas tendr\u00e1n que cogerse o pedirse prestados de alguna parte, y esto puede llevar un tiempo. Y, por cierto, para entender este tiempo, tambi\u00e9n es importante saber c\u00f3mo funciona y se financia una empresa.<\/p>\n

Piensa en marketing<\/h2>\n

Para comunicarte correctamente, los especialistas en seguridad de la informaci\u00f3n deben tener algunas habilidades de marketing; as\u00ed podr\u00e1n vender sus soluciones a los jefes.<\/p>\n