La gobernanza es el sistema mediante el cual una organización se dirige y se controla. El consejo y la alta dirección fijan el rumbo, deciden qué riesgos son aceptables y se aseguran de que los recursos se usen de forma responsable. La gobernanza de seguridad de la información es la parte de la gobernanza empresarial que se ocupa de proteger la información y los sistemas que la manejan. CISM trata la seguridad primero como una función de negocio y después como una función técnica, y casi todas las preguntas del examen están escritas desde ese punto de vista.
Conviene separar la gobernanza de la gestión. La gobernanza fija el rumbo y supervisa los resultados: responde a '¿estamos haciendo lo correcto?'. La gestión planifica, construye, opera y monitorea las actividades dentro de ese rumbo: responde a '¿lo estamos haciendo bien?'. El consejo aprueba la estrategia y el apetito de riesgo; el gerente de seguridad de la información los convierte en un programa, lo opera y reporta los resultados. COBIT, el marco de gobernanza de ISACA, traza la misma línea entre evaluar-dirigir-monitorear (gobernanza) y planificar-construir-operar-monitorear (gestión).
El gerente de seguridad de la información, a menudo con el título de CISO, se ubica entre ambas. Su rol es entender los objetivos del negocio, identificar los riesgos de información que los amenazan, proponer una estrategia y un programa para gestionarlos y darle a la dirección la información que necesita para decidir. El gerente es responsable del programa, pero no es el dueño del riesgo del negocio. Los gerentes de negocio son dueños de los riesgos de sus procesos; el consejo y los ejecutivos siguen rindiendo cuentas por la exposición general de la organización.
Una buena gobernanza produce un puñado de resultados que ISACA menciona una y otra vez: alineación estratégica con los objetivos del negocio, gestión de riesgos que mantiene la exposición dentro del apetito, entrega de valor (un gasto en seguridad que apoya al negocio de forma eficiente), gestión de recursos, medición del desempeño y aseguramiento de que los controles funcionan. Cuando una opción del examen habla de uno de estos resultados, suele ser más fuerte que una opción sobre una sola herramienta o tarea.
La mentalidad del examen se deriva de esto. Cuando una pregunta pide qué debe hacer primero el gerente, busca la respuesta que reúne contexto del negocio, informa a quienes deciden o sigue un proceso acordado. Las opciones en las que el gerente actúa por su cuenta, como bloquear una iniciativa del negocio, aceptar un riesgo en nombre de la dirección o comprar tecnología antes de entender la necesidad, suelen ser incorrectas. Tú asesoras, facilitas y reportas; la alta dirección decide.
Términos clave
- Gobernanza
- Dirección y supervisión a cargo del consejo y los ejecutivos: fijar objetivos, apetito de riesgo y rendición de cuentas, y monitorear los resultados.
- Gestión
- Planificar, construir, operar y monitorear actividades dentro del rumbo fijado por la gobernanza.
- Rendición de cuentas (accountability)
- La obligación de responder por un resultado; no se puede delegar, aunque sí se delegue la responsabilidad del trabajo.
- Alineación estratégica
- Las metas y el gasto de seguridad se derivan de los objetivos del negocio y los apoyan.
El consejo de un hospital aprueba una estrategia para ampliar la telemedicina. La gerente de seguridad de la información no decide si la telemedicina es demasiado riesgosa; identifica los riesgos para los datos de pacientes y la disponibilidad del servicio, propone controles y costos, y presenta el riesgo residual para que el patrocinador ejecutivo decida si seguir adelante.
Comprueba lo que sabes
¿Quién rinde cuentas en última instancia por la seguridad de la información?
El consejo y la alta dirección. El CISO es responsable de dirigir el programa, pero la rendición de cuentas sigue en la dirección.
¿Cuál es la diferencia entre gobernanza y gestión?
La gobernanza fija el rumbo y supervisa si la organización hace lo correcto; la gestión planifica y opera actividades para hacerlo bien dentro de ese rumbo.