Demostrar la seguridad de tu empresa resulta cada vez más importante conforme la organización incorpora nuevos proveedores, plataformas, servicios en la nube e inteligencia artificial.
Sin embargo, muchas empresas siguen asociando la seguridad con la implantación de tecnología.
Se incorpora un nuevo sistema.
Se activa la autenticación multifactor.
Se contrata un proveedor cloud.
Se despliega un firewall.
Y la sensación es que todo está bajo control.
Pero existe una pregunta que muy pocas organizaciones pueden responder con evidencias.
¿Podrías explicar hoy por qué se tomó cada una de esas decisiones, quién las aprobó y cuándo se revisaron por última vez?
Con el paso de los años cambian las personas, evolucionan los sistemas, aparecen nuevas integraciones y se incorporan nuevos proveedores.
La tecnología permanece.
Lo que muchas veces desaparece es la capacidad de explicar cómo sigue gobernándose.
Por ese motivo, demostrar la seguridad de tu empresa no consiste únicamente en acreditar que existen medidas técnicas.
También implica conservar la memoria de las decisiones tecnológicas, mantener la supervisión sobre ellas y disponer de evidencias que permitan seguir gobernándolas con criterio.
Porque la verdadera seguridad no se mide únicamente por la tecnología que utilizas.
Se demuestra por la capacidad que conservas para explicar, supervisar y justificar las decisiones que siguen protegiendo tu empresa.
Demostrar la seguridad de tu empresa empieza mucho antes de que alguien te pida evidencias
Muchas organizaciones creen que demostrar la seguridad de tu empresa consiste en disponer de tecnología avanzada.
- Firewalls.
- Copias de seguridad.
- Autenticación multifactor.
- Servicios en la nube.
- Todas estas medidas son importantes.
Sin embargo, ninguna de ellas explica por sí sola cómo se gobierna la tecnología de la organización.
La verdadera diferencia aparece cuando alguien formula una pregunta sencilla.
¿Podrías explicar hoy por qué existen esas medidas, quién decidió implantarlas y cuándo se revisaron por última vez?
Responder con claridad no depende únicamente de la memoria de las personas.
Depende de la capacidad de la organización para conservar el contexto de sus decisiones.
Esa capacidad comienza mucho antes, cuando sabes cómo evaluar una decisión tecnológica antes de implantarla.
Porque la seguridad no se demuestra únicamente por lo que existe.
También por la forma en que continúa gobernándose.
La falsa sensación de seguridad comienza cuando dejamos de hacernos preguntas
Una tecnología puede seguir funcionando durante años.
Un proveedor puede continuar prestando el servicio.
Las integraciones pueden permanecer activas.
Y los usuarios pueden trabajar con normalidad.
Todo parece indicar que la organización mantiene el control.
Precisamente por eso resulta recomendable revisar periódicamente las decisiones tecnológicas, aunque todo parezca funcionar con normalidad.
Sin embargo, basta con formular algunas preguntas para descubrir una realidad diferente.
- ¿Quién autorizó este proveedor?
- ¿Por qué se eligió esta solución y no otra?
- ¿Cuándo se revisaron por última vez los permisos?
- ¿Quién supervisa actualmente esa integración?
- ¿Qué evidencias permiten demostrar que la decisión sigue siendo válida?
Cuando nadie puede responder con seguridad, el problema no suele ser tecnológico.
Lo que empieza a desaparecer es la capacidad de gobernar esas decisiones.
Y una organización que deja de comprender cómo gobierna su tecnología termina dependiendo de la memoria de las personas, no de un proceso.
Demostrar la seguridad de tu empresa también significa poder explicar cada decisión tecnológica
Cada herramienta implantada, cada proveedor contratado y cada integración incorporada responden, en teoría, a una decisión.
Sin embargo, con el paso del tiempo esa información suele desaparecer.
- Cambian las personas.
- Evolucionan los procesos.
- Se sustituyen responsables.
Y muchas decisiones continúan vigentes aunque nadie recuerde por qué se tomaron.
Por ese motivo, demostrar la seguridad de tu empresa no consiste únicamente en verificar que una medida sigue funcionando.
También implica poder explicar qué necesidad resolvía, quién la aprobó y por qué continúa siendo adecuada para la organización.
Cuando esa información desaparece, la tecnología sigue funcionando.
Lo que deja de funcionar es el gobierno sobre ella.
Toda decisión tecnológica debería dejar una evidencia de gobierno
Cada decisión relevante debería responder, al menos, a estas preguntas:
- ¿Qué necesidad resolvía?
- ¿Quién autorizó la decisión?
- ¿Qué riesgos se valoraron antes de implantarla?
- ¿Qué proveedor o proveedores intervienen?
- ¿Qué responsabilidades conserva la organización?
- ¿Cuándo deberá revisarse de nuevo?
Responder a estas cuestiones no supone generar más burocracia.
Supone conservar el contexto necesario para seguir gobernando la tecnología cuando cambian las personas, evolucionan los sistemas o aparecen nuevas obligaciones.
Porque una organización madura no depende de la memoria de quienes estuvieron presentes cuando se tomó una decisión.
Depende de la capacidad para comprenderla años después.
Demostrar la seguridad de tu empresa exige evidencias, no suposiciones
Con frecuencia aparecen afirmaciones como estas:
- «Siempre se ha hecho así.»
- «Lo decidió el antiguo responsable.»
- «Entiendo que el proveedor sigue cumpliendo.»
- «Nunca hemos tenido problemas.»
Aunque resulten habituales, ninguna de ellas constituye una evidencia.
Una evidencia permite demostrar que una decisión continúa siendo válida porque ha sido revisada, supervisada y documentada.
Ese enfoque conecta directamente con el principio de responsabilidad proactiva recogido en el artículo 24 del RGPD, que exige a la organización aplicar medidas apropiadas y poder demostrar que siguen siendo adecuadas.
Del mismo modo, el artículo 28 recuerda que la relación con los proveedores no termina cuando se firma un contrato.
Además de cumplir los requisitos normativos, resulta recomendable revisar periódicamente las medidas de seguridad y buenas prácticas publicadas por INCIBE, ya que ayudan a mantener una supervisión continua sobre la tecnología y los proveedores que participan en la actividad de la organización.
También exige seleccionar encargados del tratamiento que ofrezcan garantías suficientes y mantener la supervisión sobre esa relación.
Por ese motivo, demostrar la seguridad de tu empresa implica conservar evidencias que permitan explicar cómo se gobiernan las decisiones tecnológicas y no únicamente confiar en que siguen siendo correctas.
El Mapa YWEN de Evidencia Operativa para demostrar la seguridad de tu empresa
Demostrar la seguridad de tu empresa no depende únicamente de las medidas técnicas implantadas.
También exige conservar evidencias que permitan explicar cómo se gobierna cada decisión tecnológica a lo largo del tiempo.
En YWEN utilizamos un enfoque sencillo.
Antes de considerar que una decisión continúa bajo control, comprobamos si la organización puede demostrar siete aspectos fundamentales.
No se trata de preparar una auditoría.
Se trata de verificar que la empresa sigue conservando la capacidad de gobernar su propia tecnología.
1. Decisión
¿Puede explicarse por qué se adoptó esa medida tecnológica?
Toda decisión debería conservar el contexto que la justificó.
Cuando desaparece esa información, la organización pierde la capacidad de valorar si la decisión sigue siendo adecuada.
2. Responsabilidad
¿Está claro quién debe supervisarla hoy?
Los responsables cambian.
Los proveedores evolucionan.
Los equipos también.
Sin un responsable identificado, ninguna medida permanece realmente gobernada.
Lo mismo ocurre con la gestión y revisión de permisos, ya que conocer quién accede a la información sigue siendo una de las bases del gobierno tecnológico.
3. Supervisión
¿Existe una revisión periódica o simplemente se da por hecho que todo sigue funcionando?
Muchas organizaciones mantienen herramientas críticas durante años sin volver a revisar las condiciones bajo las que fueron implantadas.
La confianza nunca debería sustituir a la supervisión.
5. Proveedores
¿Se conocen las responsabilidades que asume cada proveedor y las que conserva la organización?
Externalizar un servicio no elimina la responsabilidad de supervisarlo.
La empresa continúa siendo responsable de conocer qué depende del proveedor, qué garantías ofrece y cómo responderá si cambian las circunstancias.
6. Continuidad
¿Podría mantenerse la actividad si esa decisión dejara de ser válida mañana?
Toda medida debería contemplar también qué ocurrirá cuando deje de existir.
La continuidad forma parte del gobierno tecnológico.
No únicamente de la ciberseguridad.
7. Revisión
¿Existe una fecha prevista para volver a evaluar esa decisión?
Las organizaciones evolucionan.
La tecnología también.
Una decisión correcta hace tres años puede necesitar cambios hoy.
Gobernar significa revisar.
No únicamente implantar.
Las principales normas ya exigen demostrar cómo se gobierna la tecnología
El concepto de evidencia no aparece únicamente en las auditorías.
Cada vez más normas exigen que las organizaciones puedan demostrar cómo gestionan sus decisiones tecnológicas y cómo supervisan aquello que han externalizado.
Por ejemplo:
- El artículo 24 del RGPD exige aplicar medidas apropiadas y poder demostrar que siguen siendo adecuadas.
- El artículo 28 del RGPD obliga a seleccionar encargados del tratamiento que ofrezcan garantías suficientes y mantener la supervisión sobre esa relación.
- El artículo 32 del RGPD requiere implantar medidas técnicas y organizativas apropiadas para proteger la información.
- NIS2 refuerza la necesidad de gestionar riesgos, supervisar la cadena de suministro tecnológica y mantener el control sobre proveedores críticos.
- El Esquema Nacional de Seguridad (ENS) incorpora la gestión continua de la seguridad, la trazabilidad y la revisión periódica como elementos esenciales del gobierno tecnológico.
Todas estas normas comparten una misma idea.
No basta con afirmar que una organización es segura.
Debe poder demostrar cómo mantiene ese nivel de seguridad a lo largo del tiempo.
Un ejemplo de cómo demostrar la seguridad de tu empresa
Durante una reunión preguntamos:
— ¿Quién autorizó conectar vuestro ERP con esa plataforma?
La respuesta suele ser parecida.
«Lo hizo el proveedor anterior.»
Continuamos.
— ¿Existe algún documento que explique por qué se tomó esa decisión o cuándo debería revisarse?
La sala suele quedarse en silencio.
No porque la integración funcione mal.
Funciona perfectamente.
El problema es que nadie puede explicar si esa decisión sigue siendo la correcta.
Y precisamente ahí deja de existir evidencia de gobierno.
Por ese motivo, demostrar la seguridad de tu empresa no consiste únicamente en proteger los sistemas.
También implica conservar la capacidad de explicar, revisar y justificar las decisiones que siguen gobernando la tecnología años después de haber sido adoptadas.
La seguridad de tu empresa se demuestra cuando puedes explicar cómo la gobiernas
A lo largo de este trimestre hemos hablado de cómo elegir tecnología, cuándo revisarla y por qué la supervisión de proveedores forma parte del gobierno tecnológico.
Todo ello conduce a una misma conclusión.
Demostrar la seguridad de tu empresa no consiste únicamente en acreditar que existen herramientas de protección.
Tampoco depende de disponer de más documentación que otras organizaciones.
La verdadera diferencia aparece cuando la empresa conserva la capacidad de explicar por qué tomó cada decisión, quién continúa supervisándola y qué evidencias permiten demostrar que sigue siendo adecuada.
Porque las tecnologías cambian.
Los proveedores evolucionan.
Las personas también.
Lo que no debería perderse nunca es la capacidad de seguir gobernando esas decisiones.
Al final, la pregunta no es cuántas medidas de seguridad tiene tu organización.
La pregunta es mucho más sencilla.
¿Podrías demostrar hoy por qué siguen siendo las adecuadas?
Antes de implantar una nueva medida de seguridad, responde a una última pregunta.
Si dentro de tres años alguien te preguntara por qué esa decisión sigue siendo la adecuada…
¿Podrías demostrarlo con evidencias o únicamente confiarías en la memoria de las personas?
En YWEN creemos que la seguridad no se limita a implantar tecnología.
También consiste en conservar la capacidad de explicar, supervisar y seguir gobernando cada decisión que protege a la organización.
Significa poder acreditar que la organización no solo dispone de medidas técnicas, sino que también conserva evidencias sobre las decisiones adoptadas, los responsables, las revisiones realizadas y la forma en que continúa gobernando su tecnología.
No.
Firewalls, copias de seguridad o autenticación multifactor son medidas importantes, pero por sí solas no demuestran cómo se gestionan, quién las supervisa o cuándo fueron revisadas por última vez.
Resulta recomendable conservar evidencias relacionadas con la aprobación de decisiones tecnológicas, revisiones periódicas, evaluación de proveedores, gestión de accesos, cambios relevantes, responsables asignados y criterios utilizados para mantener cada medida de seguridad.
El RGPD exige aplicar medidas apropiadas y poder demostrar que siguen siendo adecuadas. Del mismo modo, NIS2 y el Esquema Nacional de Seguridad refuerzan la necesidad de supervisar proveedores, gestionar riesgos y mantener evidencias que permitan demostrar un gobierno tecnológico continuo.
No existe un plazo único.
Lo recomendable es revisarlas cuando cambian los procesos, los proveedores, la normativa, las personas responsables o los riesgos que afectan a la organización.
