Todo profesional certificado en seguridad de sistemas de información (CISSP, Certified Information Systems Security Professional) se compromete a seguir el Código de Ética de ISC2, y una violación comprobada puede costarte la certificación. El examen rara vez te pide recitar el código palabra por palabra. En cambio, te presenta un dilema breve, a menudo con un gerente, un cliente o un colega que te presiona, y te pregunta qué debería hacer primero o qué es lo más apropiado para el profesional certificado. Para responder bien necesitas conocer los cuatro cánones y, sobre todo, el orden en que se aplican cuando apuntan en direcciones distintas.
El código comienza con un preámbulo: la seguridad y el bienestar de la sociedad y el bien común, el deber hacia nuestros mandantes y el deber de unos hacia otros exigen que los miembros se adhieran, y se vea que se adhieren, a los más altos estándares éticos de conducta. La adhesión estricta es una condición de la certificación. Fíjate en la frase «se vea que se adhieren». Una conducta que simplemente parece un conflicto de intereses, como recomendar discretamente a un proveedor que te paga una comisión por referencia, puede dañar la confianza aunque la recomendación haya sido acertada. La transparencia y la divulgación forman parte del comportamiento ético, no son extras opcionales.
Los cuatro cánones, en orden de prioridad, son: (1) proteger a la sociedad, el bien común, la necesaria confianza pública y la infraestructura; (2) actuar de forma honorable, honesta, justa, responsable y legal; (3) brindar un servicio diligente y competente a los mandantes; (4) hacer avanzar y proteger la profesión. Un mandante (principal) es a quien sirves profesionalmente: tu empleador, un cliente o un consumidor. Cuando los cánones entran en conflicto, gana el de mayor rango. Si tu empleador te pide ocultar una falla que pone en peligro al público, el canon uno prevalece sobre el canon tres. Si un cliente te pide saltarte un requisito legal para ahorrar dinero, el canon dos prevalece sobre el canon tres. Servir a la profesión, el canon cuatro, nunca justifica dañar al público ni actuar con deshonestidad.
ISC2 administra un proceso formal de denuncias a través de un comité de ética. En términos generales, cualquier persona puede presentar una denuncia por el incumplimiento de los dos primeros cánones, solo los mandantes pueden denunciar incumplimientos del tercero, y otros profesionales certificados o con licencia que se rijan por un código de ética pueden denunciar incumplimientos del cuarto. Las denuncias deben presentarse por escrito, ser específicas y estar respaldadas, y el miembro acusado tiene la oportunidad de responder. También se espera que los miembros apoyen el proceso, lo que significa que guardar silencio a sabiendas sobre una violación grave puede constituir un problema en sí mismo.
La ética organizacional es la segunda mitad de este tema. Tu empleador tendrá su propio código de conducta, su política de uso aceptable y su declaración de valores, y se espera que un CISSP ayude a construirlos y a ponerlos en práctica con el ejemplo. Un programa de ética saludable tiene expectativas por escrito, capacitación, una forma segura de plantear inquietudes (a menudo una línea de denuncia anónima), protección contra represalias para quienes denuncian de buena fe y una aplicación coherente desde la cima. La alta dirección marca el tono: si los ejecutivos ignoran las reglas, ninguna política sobrevivirá. También puedes encontrarte con orientaciones más antiguas, como «Ethics and the Internet» del Internet Architecture Board, que califica como poco éticas actividades como buscar acceso no autorizado, interrumpir el uso previsto de internet y desperdiciar recursos. El tema común es que los profesionales de seguridad tienen más acceso y conocimiento, por lo que cargan con una responsabilidad adicional de no hacer mal uso de ellos.
Veamos un ejemplo práctico. Eres un consultor que está terminando una prueba de penetración para una empresa de agua potable. Descubres que una puerta de enlace de acceso remoto a la red de control de la planta de tratamiento acepta una contraseña predeterminada. El director de TI de la empresa te pide que omitas el hallazgo del informe escrito porque la junta directiva se reúne la próxima semana y no quiere malas noticias. El canon tres dice que debes servir al cliente con diligencia, pero los cánones uno y dos tienen mayor rango: el hallazgo afecta la seguridad pública y omitirlo sería deshonesto. El camino correcto es informarlo con exactitud, explicar el riesgo en términos de negocio, recomendar controles compensatorios inmediatos y escalar a la alta dirección si el director insiste. No lo filtras a la prensa ni lo publicas en internet, porque eso no sería ni honorable ni legal.
Errores comunes: tratar los cánones como si fueran iguales en lugar de jerarquizados; suponer que la lealtad al empleador siempre va primero; elegir la respuesta más dramática, como acudir directamente a los medios o a las fuerzas del orden, cuando todavía existe la posibilidad de escalar internamente; y confundir el código de conducta de la organización con el código de ISC2. Otra trampa es pensar que la ética solo abarca las grandes decisiones. Usar un acceso privilegiado para mirar el archivo salarial de un colega, o aceptar un regalo costoso de un proveedor que está siendo evaluado, son violaciones cotidianas.
En el examen, palabras clave como «seguridad pública», «infraestructura crítica» o «sociedad» apuntan al canon uno. «Mentir», «ocultar», «ilegal» o «falsificar» apuntan al canon dos. «Cliente», «empleador» o «servicio competente» apuntan al canon tres, y «mentoría», «reputación de la profesión» o «práctica sin calificación» apuntan al canon cuatro. Piensa como gerente y como profesional al mismo tiempo: elige la respuesta que sea honesta, legal y que proteja a las personas, plantea tus inquietudes primero por los canales adecuados y documenta lo que hiciste. La mejor respuesta suele ser mesurada y basada en principios, en lugar de silenciosa o explosiva.
Términos clave
- Código de Ética de ISC2 (ISC2 Code of Ethics)
- El preámbulo y los cuatro cánones que todo miembro certificado por ISC2 se compromete a seguir como condición de su certificación.
- Canon
- Uno de los cuatro principios jerarquizados del código; cuando dos entran en conflicto, tiene prioridad el canon de mayor rango.
- Mandante (principal)
- La parte a la que sirves profesionalmente, como un empleador, un cliente o un consumidor.
- Conflicto de intereses
- Situación en la que un beneficio personal o una lealtad dividida podría influir, o parecer que influye, en el juicio profesional.
- Código de conducta
- Declaración escrita propia de una organización sobre el comportamiento esperado, sus valores y las consecuencias de las violaciones.
- Línea de denuncia ética (ethics hotline)
- Canal confidencial o anónimo para que el personal denuncie sospechas de mala conducta sin temor a represalias.
- Tono desde la cima (tone at the top)
- El clima ético que establece la alta dirección mediante su propio comportamiento y la aplicación de las normas.
Una ingeniera de seguridad de un fabricante de dispositivos médicos descubre que la interfaz inalámbrica de una bomba de insulina carece de autenticación. Su gerente quiere retrasar la divulgación hasta después del lanzamiento de un producto. Ella documenta el riesgo, escala el asunto al director de seguridad de la información y al comité de seguridad del producto, e impulsa una divulgación coordinada con los reguladores y los clientes. Elige proteger a los pacientes (canon uno) y la honestidad (canon dos) por encima del calendario de lanzamiento, pero sigue trabajando a través de canales internos legítimos.
Comprueba lo que sabes
¿Cuál es el orden de prioridad correcto de los cuatro cánones de ISC2?
Proteger a la sociedad y la infraestructura; actuar de forma honorable, honesta, justa, responsable y legal; servir a los mandantes con diligencia y competencia; hacer avanzar y proteger la profesión.
Tu empleador te pide ocultar una vulnerabilidad que podría poner en peligro al público. ¿Qué canon rige tu respuesta?
El canon uno, proteger a la sociedad y el bien común, que tiene prioridad sobre el deber hacia los mandantes del canon tres.
¿Quién puede presentar una denuncia ética por el incumplimiento del canon tres?
Solo los mandantes, es decir, los empleadores, clientes o consumidores a los que sirvió el miembro.
¿Por qué el preámbulo dice que debe «verse» que los miembros se adhieren a altos estándares?
Porque la apariencia de conducta indebida, como un conflicto de intereses no revelado, erosiona la confianza pública aunque no se haya producido ningún daño real.