La cultura es el conjunto de creencias compartidas, hábitos y reglas no escritas que determinan cómo se comporta realmente la gente en el trabajo. Importa para la seguridad porque la mayoría de los controles dependen de las personas: deben reportar correos sospechosos, seguir los procedimientos de cambio, bloquear la pantalla y negarse a compartir contraseñas. Una política escrita sólida que choca con la cultura se evade en silencio, mientras que una política modesta que encaja con la cultura puede cumplirse bien.
La cultura de seguridad tiene varias señales visibles. ¿La gente reporta errores e incidentes rápido, o los oculta por miedo a que la culpen? ¿Los líderes siguen las mismas reglas que todos los demás? ¿Se ve a seguridad como un socio que ayuda al negocio a lograr cosas, o como el departamento del 'no'? ¿Los requisitos de seguridad se consideran temprano en los proyectos o se agregan al final? Estas señales te dicen qué parte de tu programa operará realmente como se diseñó.
La cultura se forma sobre todo desde arriba. Cuando los ejecutivos apoyan la seguridad de forma visible, usan ellos mismos la autenticación multifactor, financian la capacitación y preguntan por el riesgo en las reuniones de negocio, los empleados la toman en serio. Cuando se conceden excepciones a sí mismos, los empleados concluyen que la seguridad es opcional. Por eso CISM da tanto peso al compromiso de la alta dirección: sin él, incluso los controles bien diseñados se desgastan.
Un gerente de seguridad de la información influye en la cultura entendiéndola primero. Antes de implementar un nuevo control, aprende cómo se hace el trabajo, qué equipos sienten más fricción y por qué la gente toma atajos. Luego diseña controles que cumplan el objetivo de control con la menor interrupción, explica el porqué de las reglas, reconoce la buena conducta y haz que reportar sea fácil y sin culpas. Los programas de concientización, que se ven más adelante, son una herramienta, pero el cambio cultural también viene del diseño de procesos y del ejemplo de los líderes.
La cultura organizacional también varía entre regiones y unidades de negocio. Un control que funciona en una oficina central muy regulada puede encontrar resistencia en un equipo de ventas de ritmo rápido o en un país con expectativas distintas sobre monitoreo y privacidad. El gerente debe anticiparlo y adaptar la comunicación y la implementación sin cambiar el objetivo de control.
Términos clave
- Cultura de seguridad
- Las actitudes y hábitos compartidos que determinan si la gente actúa con seguridad cuando nadie la está revisando.
- Ejemplo desde arriba (tone at the top)
- El ejemplo y las prioridades que fijan los altos líderes, que influyen fuertemente en la conducta de los empleados.
- Reporte sin culpas
- Una práctica en la que las personas pueden reportar errores e incidentes sin miedo a castigos, para que los problemas salgan a la luz pronto.
Una empresa de software exige revisión de código en cada cambio, pero los desarrolladores aprueban sus propios pull requests con frecuencia bajo presión de plazos. En lugar de agregar sanciones, el gerente de seguridad trabaja con los líderes de ingeniería para crear una rotación de segundo revisor y verificaciones automáticas, y el CTO sigue públicamente la misma regla. Las autoaprobaciones bajan en un mes.
Comprueba lo que sabes
¿Por qué puede fallar una política técnicamente sólida?
Si choca con la cultura de la organización o no tiene un apoyo visible de los líderes, la gente le dará la vuelta.
¿Cuál es la influencia más poderosa en la cultura de seguridad?
El compromiso visible y el ejemplo de la alta dirección, lo que se conoce como tone at the top.