SIC

– ¿Estaría de acuerdo con la siguiente afirmación: los fabricantes de herramientas y productos tecnológicos ponen a la venta soluciones poco probadas en materia de seguridad técnica, o que no disponen de las funcionalidades y mecanismos de seguridad que se necesitan hoy en los negocios?

– Hace unos años, el mercado no demandaba determinadas capacidades y servicios de seguridad en productos de TIC, y sí funcionalidad. La seguridad, por tanto, era algo marginal y añadido. Últimamente esto está cambiado, pero hasta que los procesos de calidad en el desarrollo de software adquieran la madurez necesaria para controlar adecuadamente el desarrollo de las funcionalidades de seguridad pasará un cierto tiempo. Digamos que los fabricantes de TIC están precisamente ahora adaptándose a las demandas de los usuarios. Por otra parte, quizá la rápida velocidad de los acontecimientos puede estar propiciando un cierto apresuramiento en el lanzamiento de algunas herramientas tecnológicas.

– A grandes rasgos, ¿en qué debería consistir el trabajo de un director de seguridad TIC en una organización?

– Depende mucho del tamaño de la organización. Las pequeñas tendrán a la seguridad en el último puesto de sus prioridades. A medida que la organización crece, empieza a haber especialización y segregación de funciones, hasta que se llega a las grandes organizaciones, en las que sí existe la figura de responsable de seguridad TIC. Su misión es la de gestionar y marcar las políticas, pero no debería ser la de administrar. Gestionar consiste en recoger información lo más automatizadamente posible de los distintos registros, compilarla, y estudiarla y analizarla. La seguridad, sin duda, debe formar parte de la gestión empresarial. La otra labor, la de la administración del día a día de la seguridad, debe automatizarse con la ayuda de herramientas adecuadas y/o descentralizarse por áreas, departamentos... etc.

– ¿Cómo estratificaría las distintas áreas de trabajo de un departamento de seguridad TIC en una organización típica?

– Así, sin más, creo que sería procedente una primera división obvia por tecnologías y plataformas: red, ebusiness, mainframe, Unix, NT, Windows 2000... En todo caso, una de las funciones básicas que debe tener ese departamento de seguridad, ya se incardine en su director ya se comparta, es la de conseguir la uniformidad de las políticas, de los procedimientos y de las normas de aplicación en los distintos entornos tecnológicos. Ocurre, sin embargo, que la respuesta de los fabricantes en las diversas plataformas en lo concerniente a funcionalidades de seguridad, es bastante diferente.

– ¿Qué argumentos puede utilizar un Director de seguridad TIC para convencer a los directivos de departamentos de su organización con responsabilidades de pérdidas y ganancias de que han de invertir en seguridad? ¿Asustar?

– Es uno de ellos, y que conste que lo ha mencionado usted. Más en serio le diré que ‘vender’ internamente la seguridad con argumentos de ahorro de coste no me parece procedente en todos los casos. En la gestión centralizada de usuarios, la sincronización de contraseñas y la entrada única, por ejemplo, sí se puede argumentar; en la implantación de una PKI, no. La PKI no genera ahorro de costes, sino que facilita nuevos negocios.
En ocasiones yo he utilizado el argumento del coste de la ‘no–seguridad’, que se concreta en los daños económicos y en los daños de imagen. No bastante, en mi experiencia no he tenido nunca que justificar un proyecto de seguridad en base a conceptos como el ahorro de costes o similares. La seguridad es una inversión, y dicha inversión debe hacerse con ‘luz y taquígrafos’.

– Hablemos de mercado. ¿Qué ofrece Arthur Andersen a sus clientes o posibles clientes en el epígrafe de seguridad TIC?

– Tres valores: primero, conocimiento –hace algunos años a esto se le llamaba experiencia–; segundo, método, en decir la aplicación de ese conocimiento siguiendo unas pautas, una estructura y una sistematización, y tercero, independencia frente a cualquier fabricante. Arthur Andersen quiere mantenerse independiente, aunque admito y me parece defendible que otras compañías opten por ‘casarse’ con una buena tecnología. Pero son modelos de negocio distintos. Arthur Andersen apuesta por la independencia.
Bajo estas premisas, le puedo indicar, más específicamente, que nuestra oferta en seguridad TIC se centra en tres grandes áreas: revisión y diagnóstico con emisión de informes de estado y recomendaciones, diseño de sistemas de seguridad, e implantación de herramientas e integración de sistemas de seguridad.

– ¿Cuáles son las líneas de trabajo en seguridad TIC que más les están demandando sus clientes?

– Aunque seguimos teniendo trabajos en el mundo mainframe, he de reconocer que hoy ebusiness es la palabra para todo. Descendiendo a aspectos más concretos, ciertamente hemos registrado entradas en la creación de sistemas centralizados de recogida de datos sobre la actividad de la seguridad. Con esos datos se puede obtener una información de incalculable valor sobre los estados de seguridad en las redes y sistemas heterogéneos de una empresa. También tenemos demandas en la prescripción de herramientas tecnológicas, ya por necesidades puntuales de clientes, ya en el contexto de proyectos más amplios.
Por otra parte, estamos notando un cierto despertar en el planteamiento de proyectos de administración centralizada de usuarios, y una muy importante actividad en la revisión y diagnóstico de la seguridad de las redes corporativas.

– En su opinión, ¿qué distingue a su compañía de otras que podrían considerarse como ‘la competencia?

– Como actitud general, en todo proyecto, además de aplicar el conocimiento, el método y la independencia que creo nos definen, procuramos entender lo que en realidad es importante para el negocio del cliente. Hay otro aspecto esencial en nuestra forma de abordar el mercado: la focalización. Nuestra Unidad lleva ya muchos años dedicándose en exclusiva a la gestión de los riesgos tecnológicos. No somos, precisamente, unos recién llegados.
También es cierto que en la Unidad, desde hace muchos años, apoyamos y financiamos el estar en posesión del título CISA y mantenerlo vivo. Es un requisito indispensable para ‘hacer carrera’ interna.