¿Dónde ubicar la función de seguridad y control de la información en las organizaciones modernas? Una decisión multidimensional y evolutiva

Una de las preguntas que con frecuencia se hacen las organizaciones y en general las personas que trabajan en seguridad de la información es ¿dónde debe ir ubicado el ejecutivo de seguridad de la información? Una inquietud que no sólo tiene implicaciones prácticas para el ejercicio de la función de seguridad y control de la organización, sino exigencias corporativas, económicas y políticas que las empresas deben asumir y comprender para definir qué tan importante es la protección de la información y cómo se entiende en el desarrollo de su modelo de generación de valor (Choudhary, 2015).

Figura 1. Evolución de la función de seguridad de la información (Autoría propia)

Una primera aproximación para dar respuesta a esta pregunta, la podemos ver en la evolución de la función de seguridad de la información (ver figura 1). En los años 60 y 70 la seguridad de la información estaba concentrada en el desarrollo y aplicación de controles tecnológicos de control de acceso, los cuales aún tenemos en la actualidad. Esta connotación técnica ubicaba a la función en el escenario de las áreas de tecnología de información, pues los especialistas del tema estaban allí y conocían bien la manera de configurarla para asegurar el acceso a la información a las personas y programas autorizados (Department of Defense, 1970).

Luego con la llegada de internet, durante los 80 y 90, la seguridad de la información se observa desde la vista de procesos y riesgos, es decir, la comprensión de la inevitabilidad de la falla se incorpora en la dinámica de las actividades de la empresa, ubicando a la información en un lugar visible y con impactos particularmente claves, motivando reflexiones adicionales que sacan a la seguridad de un lindero eminentemente tecnológico, para leerlo a la luz de los resultados propios de la realización de las funciones del negocio.

Ahora no es solamente que tan bien está configurado el control de acceso, sino comprender los impactos de una gestión inadecuada de los riesgos que se identifican en los procesos, lo cual ubica al área de seguridad en la lectura de los dominios de los sistemas de riesgo empresariales.

Entrado el nuevo milenio y su primera década, el tema de la seguridad y control evoluciona hacia un lugar más empresarial, se incorpora dentro de las exigencias de cumplimiento regulatorio, como quiera que el ejercicio empresarial en el contexto de una sociedad de la información y el conocimiento, demanda una serie de condiciones básicas para aumentar la confianza de los clientes y proteger el valor de los inversionistas. La proliferación de normas con exigencias de protección y aseguramiento de información, elevan la discusión de la seguridad al escenario del satisfacer requerimientos por los cuales las empresas pueden o no pertenecer a un grupo particular.

En este sentido, no son solo los controles tecnológicos, ni la gestión del riesgo sobre el inadecuado tratamiento de la información, sino ahora las implicaciones sobre los reguladores por incumplimientos de las normas y estándares que generan confianza a los terceros interesados, llevando a la función de seguridad a los dominios de las áreas de cumplimiento.

Con la modificación acelerada del mundo a través de la tecnología, que revela una sociedad digitalmente modificada hacia 2020, donde el flujo de información se percibe con mayor claridad en los nuevos productos y servicios de las “cosas conectadas”, estamos entrando en una nueva revolución industrial donde de forma instantánea tenemos información sobre el estado de las cosas y las personas. Una realidad que experimenta cambios y se ajusta conforme las personas actúan y se relacionan con otras. En este escenario, la seguridad de la información se convierte en un valor fundamental, en una exigencia necesaria y mandatoria que permita a las personas mantenerse conectadas con la tranquilidad que su “realidad digital”, representada en todo lo que recibe y transmite, se mantiene dentro del dominio de experiencia que ellas han declarado compartir (Porter y Heppelmann, 2015).

Así las cosas, la protección de la información no sólo se traduce en medidas tecnológicas al interior de la organización, orientadas por una gestión de riesgos y controles propios de los procesos, que asisten las exigencias de cumplimiento normativo nacionales e internacionales, sino que ahora deben concretar elementos de protección más allá de los límites empresariales y asegurar que los productos y servicios que consumen sus clientes funcionen de tal manera que no permitan que una falla al interior de los mismos comprometa o afecte la esfera personal y familiar de los mismos. Por tanto, pasamos de una distinción de protección de afectaciones que vienen del exterior a mantener una operación interna de productos y servicios confiable, que funcione y sobreviva a pesar de los ataques externos (Bughin, Lund y Manyika, 2016).

En este contexto, la función de seguridad de la información adquiere mayor visibilidad y sensibilidad por parte de los clientes y por tanto de los ejecutivos de la empresa, generando mayor necesidad de conocimiento de los avances y prácticas de protección tanto al interior de la operación de la empresa, como en los procesos de producción y fabricación de los productos y servicios, habida cuenta que un falla generalizada en un uno de ellos, no solo tiene alcances técnicos sino repercusiones económicas, sociales, políticas y administrativas; en pocas palabra se hace evidente las relaciones sistémicas que la empresa mantiene con su entorno y cómo éste afecta la manera como ella desarrolla su actividad económica (De Geus, 2011).

Bajo este escenario la función de seguridad y control, se especifica a través de lo que se denomina riesgo “ciber”, una categoría que no solo concreta lo tecnológico como tal, sino como la integración o convergencia entre lo físico y lo lógico cambia la forma como entendemos la relación entre la empresa y los clientes, así como la manera en que se conciben los impactos dentro y fuera de la organización. Lo “ciber” conecta a la empresa en un espacio de relaciones hacia el exterior, para entender cómo ella y sus operaciones afectan a otros y cómo los otros y sus actividades concretan efectos en su desarrollo de negocio (Frappolli, 2015).

En consecuencia, la función de seguridad de la información eleva su discurso de cumplimiento a una lectura de valor para el negocio, de implicaciones políticas para los miembros del directorio, de impactos en las expectativas de los clientes y sobremanera en la supervivencia de la empresa en un entorno digital. Con esta lectura, el ejecutivo de seguridad deberá madurar y desarrollar un discurso políticamente correcto, que, asistido por su conocimiento del entorno, como buen estratega que debe ser, ilustra la forma como superar el laberinto de las amenazas emergentes de este entorno, comprometiendo las voluntades de los directores de la junta para concebir una lectura conjunta de estrategia corporativa digitalmente sostenible, a pesar de la inevitabilidad de la falla, que en últimas lo que significa es construir confianza y ofrecer orientación para concretar una estrategia empresarial (Cano, 2015).

Bajo este entendimiento, la función de seguridad de la información no estará atada a las connotaciones técnicas de los dispositivos tecnológicos, ni a las normas o riesgos particulares de las plataformas, sino a las lecturas ejecutivas que definen el futuro de las empresas. Las discontinuidades del entorno, particularmente basadas en estrategias digitales, se transforman en eventos relevantes que alteran la realidad empresarial y que son leídos por los miembros de la junta como eventos para revisar, bien como oportunidades o amenazas, donde el ejecutivo de seguridad y control, hace parte de la vista valiosa que define el posicionamiento de la empresa entre los clientes (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015).

Otros análisis efectuados por firmas de consultoría internacionales (Rose, 2012; Scholtz, 2014) y estudios de industria (Veltsos, 2016) establecen otros factores adicionales para establecer dónde se debe ubicar el área de seguridad de la información. Entre los elementos que estos estudios indican están la madurez de la organización en su sector de negocio, el nivel de cercanía con el área de tecnología de información, el lenguaje de negocio que utiliza el ejecutivo de seguridad para comunicarse con la junta, la complejidad del reporte de cumplimiento empresarial, las tensiones entre el área de riesgo y cumplimiento, entre otras, los cuales advierten relaciones claves que de igual forma deben considerarse para tomar la decisión de ubicar esta área.

Cualquiera que sea la ubicación que se defina, habrá que tener claridad de las bondades y limitaciones del enfoque que se decidido, esto es, cómo estará afectada la visibilidad del área, cómo serán las relaciones necesarias con el área de tecnología de información, qué sintonía debe desarrollar con las áreas de negocios y la necesidad para alcanzar resiliencia en su operaciones, qué lenguaje será el más adecuado para comunicar su promesa de valor, cómo será el perfil de sus analistas de seguridad y control, el alcance de su labor empresarial: seguridad, privacidad, ciberseguridad, fraude, seguridad física, seguridad electrónica, las relaciones con los entes de control, instituciones de estándares y buenas prácticas, así como con los supervisores de su sector y el gobierno.

Por tanto, ubicar organizacionalmente el área de seguridad de la información en una empresa, en un escenario volátil, incierto, complejo y ambiguo (Johansen, 2009), deberá reconocer las oscilaciones estructurales que la dinámica empresarial exhibe y la necesidad de agilidad permanente frente a sus competidores, para desarrollar una capacidad de aprender y desprender de forma acelerada, por lo cual deberá tener en cuenta los siguientes aspectos:

• Ser lento es especialmente peligroso en un mundo de frecuentes cambios.
• Es necesario experimentar permanentemente con la realidad. Por tanto, fallar de forma segura todo el tiempo debe ser la norma.
• El temor a los riesgos impregna los procesos de pensamiento de los ejecutivos. La audacia de las opciones creativas requiere quebrar estándares conocidos y hacer apuestas sobre entornos inestables.
• Las negociaciones entre seguridad y funcionalidad no pueden ser opciones exclusivas de atajos de tiempo hacia el futuro, sino opciones de riesgos calculados e informados para concretar oportunidades.
• La función de seguridad y control no es un ente pasivo manipulado por fuentes externas, por lo que no puede ser explicada solamente por relaciones causa-efecto.

Referencias

Bughin, J., Lund, S. y Manyika, J. (2016) Five priorities for competing in an era of digital globalization. Mckinsey Quarterly. Mayo. Recuperado de: http://www.mckinsey.com/business-functions/strategy-and-corporate-finance/our-insights/five-priorities-for-competing-in-an-era-of-digital-globalization

Cano, J. (2015) Juntas directivas. Descifrar e influenciar su imaginario vigente sobre la seguridad de la información. Blog IT-Insecurity. Recuperado de: http://insecurityit.blogspot.com.co/2015/08/juntas-directivas-descifrar-e.html

Choudhary, U. (2015) This Might Be The Next Coveted Leadership Position Of 2015. F@stcompany Magazine. Recuperado de: https://www.fastcompany.com/3043376/how-to-earn-respect-from-the-hottest-seat-in-leadership-today

De Geus, A. (2011) La empresa viviente. Hábitos para sobrevivir en un ambiente de negocios turbulento. Buenos Aires, Argentina: Gránica.

Department of Defense (1970) Security controls for computer systems (U). Report of Defense Science Board Task Force on Computer Security. Febrero. Recuperado de: http://seclab.cs.ucdavis.edu/projects/history/papers/ware70.pdf  

Frappolli, M. (2015) Managing cyber risk. Malvern, Pennsylvania.USA: American Institute for Chartered Property Casualty Underwriters.

Johansen, B. (2009) Leaders Make the Future: Ten New Leadership Skills for an Uncertain World. San Francisco, USA:Berrett-Koehler Publishers.

Kaplan, J., Bailey, T., O’Halloran, D., Marcus, A. y Rezek, C. (2015) Beyond cybersecurity. Protecting your digital business. Hoboken, New Jersey. USA: Wiley.

Porter, M. y Heppelmann, J. (2015) How Smart, connected products are transforming companies. Harvard Business Review. Octubre.

Rose, A. (2012) Role Job description: Chief information security officer. Forrester Research.

Scholtz, T. (2014) Determining Whether the CISO Should Report Outside of IT. Gartner Research.

Veltsos, C. (2016) Is Your CISO Out of Place? Recuperado de: https://securityintelligence.com/is-your-ciso-out-of-place/

Ecosistemas Digitales Criminales. La nueva frontera de los investigadores forenses informáticos

Introducción

Al ver las tendencias tecnológicas que aceleran los cambios y establecen nuevos referentes de comportamiento de las personas, se puede advertir que estamos entrando una dinámica de transformaciones sociales que aumentan los flujos de información, abren nuevas oportunidades para concretar negocios antes inexistentes y sobre manera plantean plataformas digitales donde se posibilitan conexiones entre grupos de interés que definen una nueva “ecología digital” esto es, la gestión de lo digital de forma creativa y disruptiva, para crear nuevas relaciones y experiencias en un ecosistema digital.

Un ecosistema de acuerdo con Capra (2003, p.294) es una red flexible en fluctuación permanente, cuya flexibilidad es una consecuencia de múltiples bucles de retroalimentación que mantienen al sistema en un estado de equilibrio dinámico y donde ninguna variable es maximizada, sino que fluctúan alrededor de sus valores óptimos; esta definición en el escenario digital, implica la creación de una cultura que se crea y se sostiene a través de un tejido de comunicaciones y relaciones que modifican la percepción de la realidad, cuya estabilidad y resistencia está basada la diversidad de iniciativas e ideas que generan sus participantes.

En este sentido, explicar la rápida expansión e innovación de la delincuencia informática, demanda conectar las prácticas de los “chicos malos” alrededor de los fundamentos de los ecosistemas digitales, de tal forma que los patrones de análisis basados en causa-efecto, comienzan a ceder terreno frente a los modelos dinámicos y circulares, que demandan entender la capacidad de adaptación y anticipación que han desarrollado, para así motivar nuevos referentes de entendimiento de sus propuestas y los nuevos vectores de actividades delictivas que se observen o propongan en el mediano y largo plazo.

Los delincuentes informáticos son parte de una evolución natural del crimen tradicional, de una transformación de la vista digital del mundo, donde las relaciones y posibilidades son parte de una mente colectiva que se construye sobre formas diferentes e inexistentes a la fecha, en palabras de Castells (mencionado por Capra, 2003, p.196), se fundamentan en una organización flexible en red, bien enraizada en la tradición y la identidad dentro de un marco institucional favorable, con una actuación local bien definida y un pensamiento global basado en alianzas estratégicas, generalmente con plataformas digitales de uso masivo y en lo posible gratuitas.

Así las cosas, este documento busca comprender los retos de los ecosistemas digitales criminales, como la nueva frontera de la investigación criminal, con el fin desconectar los conceptos hasta ahora vigentes para entender la delincuencia informática, incorporar la dinámica de las relaciones que se advierten en la conformación de comunidades ilegales y abiertamente contrarias a las leyes, que encuentran en un mundo digitalmente modificado nuevas oportunidades para alcanzar sus objetivos, comprometer la propiedad privada, dejar el menor número de rastros y pistas, y así reconectar la realidad del delincuente en un mundo digital desde la inevitabilidad de la falla como fundamento de sus actuaciones.

Ecosistema digital criminal. Repensando el modus operandi en un mundo digitalmente modificado

Para repensar la forma como la criminalidad ha evolucionado en un contexto digital como el actual, debemos superar la vista análoga del mundo, esto es la vista de los productos y servicios conocidos, basados en infraestructuras física y capitales económicos tradicionales, por una donde las conexiones se basan en infraestructuras lógicas, plataformas digitales (libres o gratuitas) y consumidores modernos, aquellos que han adoptado la tecnología como una oportunidad para transformar su contexto y hacer cosas distintas o mejorando las existentes de forma novedosa (McQuivey, 2013).

Lo anterior supone estresar los modelos lineales que explican la forma como se concreta un delito, donde existe un delincuente, una persona u objeto valioso, unas acciones concretas que afectan la persona u objeto y una consecuencia de la acción contraria a la ley, por una mentalidad circular y digitalmente modificada, donde existen comunidades socialmente conectadas, que motivadas por temas políticos, económicos o sociales, actúan sobre objetivos individuales o nacionales, para concretar acciones transversales contrarias a los ordenamientos jurídicos que afectan personas o naciones, aprovechando los vacíos normativos existentes.

Este contexto reta no solamente las prácticas de investigación criminal vigentes, sino el entrenamiento de las instituciones de policía judicial, pues ahora es necesario comprender la dinámica que supone un Ecosistema Digital Criminal - EcoDC, como ese conjunto de relaciones entre participantes locales y globales, que crean una red flexible de capacidades criminales para concretar nuevas posibilidades de acción ágiles, livianas, sencillas y efectivas, que alteren y confundan la realidad de los afectados y así, se alcancen los objetivos planeados con el máximo de anonimato y el mínimo de evidencia disponible.

Una vista concreta de este EcoDC, se puede leer desde los cinco dominios de la transformación digital de Rogers (2016): los clientes, la competencia, los datos, la innovación y el valor. Esto es, aprovechar las redes de clientes asistidas por las redes sociales digitales, construir plataformas digitales para potenciar las capacidades entre los competidores, convertir los datos en activos, que revelen patrones y oportunidades para crear realidades emergentes, crear prototipos experimentales de bajo costo que validen ideas y apalanquen el aprendizaje sobre aspectos inciertos de la realidad y finalmente reimaginar el presente, anticipando nuevas oportunidades y riesgos leídos en términos de los rápidos cambios de los clientes, sus necesidades y gustos.

La delincuencia informática leída en esta dinámica digital se concreta en redes sociales de comunidades criminales que han desarrollado habilidades colaboración y estatus basada en sus acciones delictivas, las cuales cuentan con plataformas digitales basadas en herramientas, generalmente abiertas o gratuitas, que se aprovechan de debilidades de los sistemas informáticos, que confunden a sus víctimas y demoran a las autoridades, las cuales recaban información de sus objetivos comprometidos para crear perfiles y patrones que puedan anticipar y analizar, con los cuales pueden experimentar para crear nuevos vectores de ataque, con ligeros cambios en las prácticas actuales que aumenten la efectividad de sus acciones, aseguren bajos niveles de detección, así como inhabilitación, desactivación o destrucción de cualquier rastro disponible.

Lo anterior plantea un reto estratégico para las autoridades de justicia, pues la promesa de valor criminal, cuenta con una variedad y complejidad superior a la que un investigador tradicional puede manejar, lo que necesariamente obliga a concretar una vista que procure una destrucción creativa de los paradigmas actuales. Un proceso de deconstrucción de prácticas de investigación criminal estáticas, hacia una aproximación dinámica donde los miembros de la comunidad tienen acceso abierto a toda la información, en lugar de restringir su flujo basado en la “necesidad de conocer” (Nolan y Croson, 1995, p.91) y donde las plataformas digitales abiertas ofrecen posibilidades para desarrollar conocimiento superior sobre tendencias y patrones de los delincuentes.

La estrategia digital criminal. La inestabilidad y la incertidumbre como promesa de valor

La estrategia de los delincuentes en internet no ha variado. La industria del engaño y el exceso de confianza en los mecanismos de seguridad y control, confirman de forma permanente la esencia de los movimientos de aquellos que actúan en contra del ordenamiento jurídico, afectando los derechos, libertades y garantías de las personas. En este sentido, la estrategia digital criminal establece una frontera confusa para las autoridades, como quiera que crean ventanas de oportunidad o de amenaza que revelan aspectos desconocidos de sus actuaciones, ahora en un ecosistema digital criminal.

Considerando la definición de un ecosistema digital criminal, previamente comentada, es claro que se requiere desarrollar una red flexible de capacidades, creando confusión en los afectados, con el máximo de anonimato y el mínimo de rastros. En este entendido, las comunidades de delincuentes en redes sociales o bajo escenarios como la “web profunda”, comparten ideas, tendencias, desarrollos y propuestas para aumentar la efectividad de sus acciones, actividades que crean tejidos de conocimiento que anticipan acciones delictivas no conocidas e inciertas para la sociedad.

Este ejercicio de compartir, por lo general recibe la crítica y el debate de los participantes, con el fin de concretar y mejorar la perspectiva de la acción propuesta con el fin de aumentar la contundencia de la misma, en términos de crear el desconcierto y desorientación, como fundamento de su actuación y disminuir la generación de evidencia verificable que pueda motivar una investigación y reconstruir la forma como el plan de la delincuencia se ha formulado y cuáles han sido sus motivaciones.

Mientras las autoridades basan sus investigaciones y acciones sobre la certeza de los ataques o acciones delictivas, para concretar sus dictámenes, los delincuentes asumen y se recrean en lo incierto como fundamento para repensar sus propias actuaciones desde diferentes puntos de vista. Lo anterior, implica que, en un entorno digitalmente modificado (Porter y Heppelmann, 2015), los maleantes informáticos saben que la promesa de valor de sus acciones está fundada en la creación de inestabilidad e incertidumbre que confunda, engañe, destruya, altere, degrade o niegue el acceso a los recursos, servicios, productos y operaciones que una organización o persona tiene.

Así las cosas, no es la acción delictiva en sí misma la fuente de la comprensión de los móviles en los delitos de alta tecnología, sino las capacidades de experimentación y tolerancia a la falla disponibles en las comunidades criminales, lo que permite celebrar como la inevitabilidad de la falla concreta momentos inesperados que abren posibilidades para adelantar actividades, basadas en las capacidades de otros participantes y potenciando los nuevos aprendizajes que retan el estado del arte de la práctica de seguridad y control.

En pocas palabras, la estrategia digital criminal se configura como una capacidad resiliente que se adapta antes que las nuevas tendencias le indiquen que lo hagan (Aurik, Fabel y Jonk, 2015). Es un ejercicio donde se crean nuevas propuestas que cambian el status quo de la práctica de seguridad y control, aumentando la oferta de opciones contrarias a la ley, a través de un ecosistema digital criminal como plataforma de despliegue, para generar nuevos potenciales elementos de valor (nuevas tecnologías, tendencias socioculturales, necesidades no satisfechas) (Rogers, 2016, p.181) que aumenten la ambigüedad y la incertidumbre como fuente de nuevas técnicas ofensivas complejas, de bajo costo, altamente confiables y basadas en el anonimato.

La preparación forense digital. Reinventando las prácticas de investigación criminal

Ante esta realidad volátil, incierta, compleja y ambigua (Johansen, 2009) que plantea el nuevo EcoDC, se hace necesario desconectar los fundamentos de la práctica forense digital conocidos hasta el momento, para lograr, como anota García (2014, p.9) un equilibro entre creación de potencial y explotación de potencial, y de esta manera superar la inercia y tranquilidad que generan la confianza en las prácticas y procedimientos se usan de forma cotidiana para enfrentar la criminalidad informática.

Mientras el proceso de la práctica forense digital, sigue un paso a paso lineal, que debe ser asegurado en cada uno de sus momentos para mantener la integridad de la evidencia y su adecuado tratamiento, la preparación forense digital responde a una lógica circular y dinámica que busca asegurar al menos cinco objetivos fundamentales: (Adaptado de: Sachowski, 2016, p.21)

• Maximizar el uso potencial de la evidencia digital
• Minimizar el costo de las investigaciones forenses digitales
• Minimizar la interrupción e interferencia de los procesos de negocio
• Preservar y mejorar la postura de seguridad de la información
• Maximizar la inteligencia de fuentes abiertas de nuevos vectores y prácticas criminales informáticas

En este sentido, la preparación forense digital es la capacidad que tiene una organización o individuo para maximizar de manera proactiva el uso prospectivo de la información electrónicamente almacenada y los resultados de la inteligencia de fuentes abiertas, para reducir el costo de las investigaciones forenses digitales y fortalecer su postura vigilante frente a la inestabilidad e incertidumbre que genera la inevitabilidad de la falla (Adaptado de: Sachowski, 2016, p. 45).

Lo anterior supone la convergencia de las prácticas forenses digitales y las de seguridad de la información, una combinación y desarrollo de capacidades que buscando la minimizar la interrupción de las funciones del negocio y aumentando su resistencia a los ataques, mantenga la relevancia, pertinencia y admisibilidad de la evidencia digital. Esta nueva realidad, establece no solo una estrategia forense y de seguridad conjunta, sino acciones proactivas y de prevención que crean una plataforma de defensa que disuada a los potenciales atacantes, aumente su tolerancia a las fallas y anticipe escenarios de investigación criminal no conocidos.

Esta convergencia habilita una vista dinámica y sistémica de la investigación criminal digital que cambia las reglas de los análisis forenses digitales creando nuevos normales que conectan la realidad de los ecosistemas digitales criminales. Esto significa, trabajar de forma conjunta con los profesionales de seguridad y control en las organizaciones para: (Adaptado de: Sachowski, 2016, p. 51)

• Definir escenarios de riesgos conocidos, latentes, focales y emergentes (Cano, 2014) que requieren contar con evidencia digital
• Identificar las fuentes de datos disponibles y los diferentes tipos de evidencia digital
• Determinar los requerimientos para recopilar la evidencia digital
• Establecer las capacidades de recolección de evidencia digital que soporte las reglas de la evidencia
• Desarrollar un marco de gestión de la evidencia digital sobre ecosistemas digitales
• Diseñar controles de monitoreo activo para detectar patrones y eventos no convencionales que afecten las operaciones, servicios y/o productos de la organización
• Especificar criterios de escalamiento de incidentes para adelantar investigaciones forense digitales
• Adelantar entrenamientos para educar y formar sobre las nuevas amenazas y vectores de ataque identificados a los diferentes roles en la organización
• Documentar y presentar los hallazgos y conclusiones de las investigaciones basados en evidencia digital formalmente tratada
• Asegurar una adecuada revisión legal que facilite acciones de respuesta concreta a los eventos o incidentes detectados

Como quiera que tanto la práctica de seguridad de la información como la de investigaciones forenses digitales tienen sus propios referentes teóricos y tradición científica, la evolución de la criminalidad informática sobre EcoDC, motiva una transformación de ambos dominios para crear un modelo de práctica convergente que identifique los nuevos retadores de sus estándares, revele las nuevas personas o industrias afectadas por las inéditas capacidades criminales y persiga y confronte los clientes emergentes a los cuales los nuevos retadores sirven (Rogers, 2016, p.220).

Reflexiones finales

Los ecosistemas digitales, como nueva referencia básica de las organizaciones, en un mundo digitalmente modificado, plantean retos permanentes que motivan transformaciones empresariales que crean inestabilidades en los mercados cambiando las reglas sobre las cuales se hacen y crean relaciones de negocio (Weinman, 2015); un reto para los ejecutivos de las juntas directivas que definen y asumen niveles aceptables de riesgo en una realidad dinámica e incierta (Ormazabal, 2016).

De esta misma forma, la delincuencia ha asumido esta nueva realidad para crear ecosistemas digitales criminales donde transforman productos en plataformas de acción, que habilitan la introducción de capacidades distintivas para comunidades socialmente conectadas de delincuentes, con el fin de acelerar y extender las oportunidades para concretar sus actos contrarios a la ley.

En este sentido, las intervenciones de la criminalidad se hacen socialmente más fuertes, dado los impactos de sus actividades para crear miedo, incertidumbre y dudas, que crean efectos masivos en los ciudadanos, los cuales ven como los “chicos malos” establecen referentes de actuación de acción local y con soporte global, donde las autoridades se declaran sorprendidas y particularmente superadas con las capacidades novedosas que los ataques y engaños exhiben.

Sin perjuicio de lo anterior, la respuesta de la institucionalidad de la sociedad viene ganando terreno para aumentar y desarrollar mayores capacidades para anticipar la dinámica de las redes criminales y las posibilidades que plantean las plataformas digitales habilitadas desde los EcoDC. En este entendido, la investigación criminal digital establece una vista convergente de las prácticas de seguridad y control con las forenses digitales, para aunar esfuerzos que permitan observar de manera cercana los patrones emergentes de acciones criminales no conocidos y pensar por fuera de lo establecido en el status quo, y así reconfigurar los procedimientos y estándares desde una epistemología sistémica y compleja.

Si entendemos que cualquier cosa puede ser digitalmente modificada, es decir que esencialmente puede tener un procesador que genere datos sobre el comportamiento del objeto modificado (Raskino y Waller, 2015), estamos ante un cambio de perspectiva del mundo análogo y de fronteras difusas, donde la información se convierte en un activo estratégico valioso para crear nuevas fronteras en los negocios y propuestas de valor que anticipen o motiven tendencias inexistentes en la sociedad.

Habida cuenta de loa anterior, estamos entrando en una acelerada transición hacia ecosistemas digitales que crean características, funciones y desempeños inéditos que habilitan capacidades para cambiar la realidad actual y crear las tendencias del futuro. En un mundo de productos, servicios y operaciones digitales activos y conectados, la delincuencia informática encuentra un escenario natural para repensar sus actuaciones, aprovechando al máximo la inexperiencia, el desconocimiento y la novedad de la sociedad frente a esta realidad emergente.

Por tanto, tendencias tecnológicas como la computación en la nube, el internet de las cosas, la computación móvil, los grandes datos y la analítica, las redes sociales, las criptomonedas, los drones, el almacenamiento 5D, entre otras, establecen referentes para observar, conocer y aprovechar, de tal modo que la investigación criminal digital no se concentre en encontrar la solución correcta frente a los casos que enfrenta, sino que explore y resuelva el problema correcto, esto es, asuma los ecosistemas digitales criminales como una ventana de aprendizaje y desaprendizaje que quiebre sus verdades vigentes y posibilite la convergencia con otras disciplinas.

Referencias

Aurik, J., Fabel, M. y Jonk, G. (2015) The future of strategy. A transformative approach to strategy for a World that won´t stand still. A. T. Kearney, Inc. New York, USA: McGraw Hill Education.

Cano, J. (2014) La ventana de AREM. Una herramienta estratégica y táctica para visualizar la incertidumbre. Actas de la XIII Reunión Española de Criptología y Seguridad de la Información. Alicante, España. Septiembre 2 al 5. Recuperado de: http://web.ua.es/es/recsi2014/documentos/papers/la-ventana-de-arem-una-herramienta-estrategica-y-tactica-para-visualizar-la-incertidumbre.pdf

Capra, F. (2003) Las conexiones ocultas. Implicaciones sociales, medio ambientales, económicas y biológicas de una nueva visión del mundo. Barcelona, España: Editorial Anagrama.

García, E. (2014) Supera las crisis reinventándote. Una guía hacia la excelencia empresarial y personal. Barcelona, España: Libros de Cabecera S.L.

Johansen, B. (2009) Leaders Make the Future: Ten New Leadership Skills for an Uncertain World. San Francisco, USA:Berrett-Koehler Publishers.

McQuivey, J. (2013) Digital disruption. Unleashing the next wave of innovation. Forrester Research. Las Vegas, Nevada. USA: Amazon Publishing.

Nolan, R. y Croson, D. (1995) Creative destruction. A six-stage process for transforming the organization. Boston, Massachussets. USA: Harvard Business School Press.

Ormazabal, G. (2016) Lo que todo consejero debería saber. IESE Insight. Primer trimestre. 23-28.

Porter, M. y Heppelmann, J. (2015) How Smart, connected products are transforming companies. Harvard Business Review. Octubre.

Raskino, M. y Waller, G. (2015) Digital to the core. Remastering leadership for your industry, your Enterprise and yourself. Gartner, Inc. Brookline, MA. USA: Bibliomotion, Inc.

Rogers, D. (2016) The digital transformationn playbook. Rethink your business for the digital age. New York, USA: Columbia University Press.

Sachowski, J. (2016) Implementing digital forensic readiness. From reactive to proactive process. Cambridge, Massachussets. USA: Syngress-Elsevier.

Weinman, J. (2015) Digital disciplines. Attaining market leadership via the cloud, Big data, Social, Mobile and the internet of things. Hoboken, New Jersey. USA: John Wiley & Son.

Digital, Disruptivo y Resiliente: Tres conceptos que marcan el futuro de la inseguridad de la información

Introducción

Estamos ad portas de una nueva revolución industrial, de una nueva era de transformación del mundo, donde se pasa de una necesidad de eficiencia, agilidad y costo-efectividad, a otra donde lo digital, lo disruptivo y lo resiliente cobra mayor importancia. Esta transición implica una renovación de la manera como entendemos el mundo y sus relaciones, lo cual exige anticipar una serie de cambios que, desde este momento, requieren las personas y las empresas.

Este cambio que se anticipa en el horizonte de los negocios, demanda una serie de nuevas prácticas de gestión y gobierno que deben estar fundadas en posturas poco convencionales de los negocios y las empresas, como quiera que mantenerse en el statu quo actual implica aislarse de las oportunidades que la nueva era puede anticipar. Sólo aquellos que han sabido explorar en esa nueva frontera de la humanidad, puede estar preparados para asumir los retos que ella les impondrá.

Por tanto, es un imperativo comprender la novedad que lo digital, lo disruptivo y lo resiliente incorpora a las prácticas empresariales, particularmente a la gestión y el gobierno de la seguridad de la información, donde particularmente la inevitabilidad de la falla, establece el parámetro referente donde se fundan las propuestas para avanzar en el aseguramiento de la información en un mundo volátil, incierto, complejo y ambiguo.

Así las cosas, esta breve reflexión desarrolla algunos aspectos de estos tres elementos y sus implicaciones en el ejercicio de la gestión y el gobierno de la seguridad de la información, apalancados desde la pedagogía del error, en la cual la falla, es una oportunidad para descubrir aquello que ha estado oculto los ojos más despiertos y la forma como podemos dejarnos abordar por la sorpresa y la novedad.

Lo digital (Magro, Salvatella, Álvarez, Herrero, Paredes y Vélez, 2014)

No tiene que ver con lo tecnológico, particularmente define toda una nueva manera de relacionarnos, una forma de crear y hacer evidente las conexiones que tenemos con otras personas y con el entorno. Lo digital es una experiencia relacional que termina con una posibilidad de un desarrollo tecnológico que habilita una sintonía más fluida con otros individuos y con el ambiente.

El campo de lo digital habilita la existencia del ecosistema, esa distinción que contextualiza aquellos productos y servicios que han modificado el entorno, creando una red extendida de información, que a través de posibilidades tecnológicas, las empresas y las personas son capaces de capitalizar para concretar nuevas ofertas y oportunidades que cambien la forma de hacer las cosas.

En este sentido, lo digital crea una red de contactos, información y conocimiento que permite la interconexión de expectativas, retos y eventos que puede afectar buena parte del ecosistema del cual se hace parte, bien para manifestar un enfoque novedoso que cambie la manera de ver el mundo o bien por hacer emerger nuevas distinciones de productos o servicios que amplíen la manera de hacer las cosas.

Esta realidad digital, habilita una economía digital que es silente, que se desarrolla en un territorio no físico, inmenso e invisible, y que está regida por múltiples apuestas automáticas que le confieren dos características clave, velocidad e impredecibilidad. En este escenario las transacciones permiten un flujo de información, ahora financiera representada en operaciones que establece una forma de adquirir bienes o servicios de forma más ágil y oportuna.

Lo disruptivo (Gans, 2016)

Suspensión de la realidad, que produce cambios radicales. Una expresión de la contundencia de la creatividad y la innovación que supera las expectativas de los más retadores. Lo disruptivo implica quebrar el paradigma vigente a la fecha, procurando explorar caminos inéditos, creando condiciones encontradas con el statu quo, que hablen a la realidad de una nueva forma de ver el mundo, un mapa que inicialmente revela un territorio y termina modificando el mismo.

Lo disruptivo no aparece solo, se construye desde la realidad de otros, compartiendo expectativas, sumando fuerzas y sobre manera explorando las nuevas necesidades de las personas, ampliando la capacidad para transforma el entorno, no desde una visión particular, sino desde la postura de aquellos que sueñan con un mundo distinto y que visualizan los cambios antes que ésos ocurran.

Este cambio de paradigma opera desde zonas inexploradas, problemas revisados en otros dominios, propuestas contradictorias que cuestionan modelos consolidados, en pocas palabras, desde posturas “abiertamente equivocadas” desde los referentes actuales, pero profundamente documentadas desde la investigación y los espacios psicológicamente seguros, creados para poder avanzar y aprender de aquello que aún no se conoce.

Por tanto, la condición de disruptivo es una apuesta por lo inexplorado, por la contradicción y los inciertos, como fundamento de la experimentación y fallas anticipadas que requieren las organizaciones, para crear entornos distintos y prácticas emergentes, que le abran nuevos espacios en sus sectores de negocio y promuevan movimiento hacia otros sectores donde sus propuestas cambien la forma de hacer las cosas (Krupp y Schoemaker, 2014).

Lo resiliente (Charan, 2015)

La resiliencia en capacidad de respuesta y adaptación, es poder seguir operando y en movimiento aún en una condición contraria y muchas veces incierta, para luego reconectarse con aquellos puntos afectados y nuevamente recuperar la normalidad, no sólo ajustándose a la nueva realidad, sino avanzando de forma expedita en el nuevo entorno que opera.

Las organizaciones y personas resilientes, son personas y estructuras que tienen la flexibilidad para moldear y acoger situaciones de cambio, ajustando sus prácticas internas y habilitando la infraestructura requerida para hacerlo, como fundamento de la transformación que debe hacer para conquistar la situación adversa. No es resiliente sólo quien vuelve a la normalidad, sino quien se hace una mejor versión de sí mismo.

Cuando una empresa o individuo mantiene una postura positiva y propositiva frente a la adversidad, y asume estados proactivos que motivan cambios que aceleran la recuperación y control de las situaciones contrarias, estamos ante organizaciones y personas que entienden la falla como una oportunidad para desaprender y construir nuevos fundamentos de conocimiento, que generalmente terminan en una operación más ágil y confiable frente a la inevitabilidad de la falla y en personalidades robustas y resistentes cuyo coraje y valentía son signos de su capacidad de respuesta.

Digital, Disruptivo y resiliente. Una vista desde la inseguridad de la información

Analizar estas tres tendencias sobre el ejercicio de la seguridad de la información, es concretar la dinámica inherente del tratamiento y gestión de la inseguridad de la información. Es entender que el gobierno de la seguridad de la información, está fundado en la distinción de seguridad por vulnerabilidad (Cano, 2015).

La seguridad de la información en un entorno digital, disruptivo y resiliente, no puede pensar más en parcelas de conocimiento de la empresa, sino en visiones integradas, convergentes y efectivas que integren el concepto de seguridad y control como fundamento del valor percibido por las personas, en un mundo digitalmente modificado (Bonchek y Steele, 2015).

Esto es, comprender las relaciones que se revelan en el entorno del ecosistema digital donde opera la empresa, no para restringir o acomodar, sino para motivar un uso responsable de los activos y un tratamiento acorde con las motivaciones y necesidades que tienen los actores. Lo anterior implica condiciones de monitoreo y tendencias de utilización, como quiera que dicho activo representa siempre no sólo la imagen de la compañía, sino el valor que se percibe por sus clientes.

Así las cosas, se privilegian bajo estos nuevos normales de las empresas del siglo XXI, la necesidad de habilitar prácticas que permitan a la seguridad de la información fallar de manera anticipada, esto es, una inversión en la inseguridad de la información que genere nueva ventanas de aprendizaje y desaprendizaje, para valorar riesgos emergentes y situaciones desconocidas, las cuales nutran el ejercicio de pronóstico que ahora los líderes de las áreas de seguridad deben tener como fuente natural de sus procesos.

Cuando lo anterior ocurre, estamos advirtiendo una nueva era para los oficiales de seguridad de la información donde inicialmente estaban avocados al cumplimiento de expectativas relacionadas con agilidad, eficiencia y costo-efectividad, y ahora, se requiere dar respuesta a las exigencias propias de lo digital, lo disruptivo y lo resiliente.

Esto significa que el Chief Information Security Officer, concentrado en los aspectos claves de los flujos de información corporativos, se encuentra con el Chief Digital Security Officer, que conoce y revela las relaciones extendidas de la organización con su ecosistema tecnológico, para habilitar un uso adecuado y transparente de la información, así como el cuidado del valor en sí mismo de los activos digitales de la empresa.

Estos dos roles (ver figura 1), plantean todo un desafío corporativo para desconectar las prácticas que tenemos hoy desde los estándares de la industria ampliamente referenciados e integrarlos con una realidad extendida y un mundo digitalmente modificado, para reconectarlos desde la vista de un ecosistema digital, donde tanto el entorno y todo lo que ello conlleva, así como las expectativas de las empresas, se hagan parte de una estrategia digital (Curran, Puthiyamadan y Wendin, 2016), que no solo beneficie a los usuarios finales, sino que habilite nuevas capacidades para crear nuevas disrupciones.

Gráfica No. 1 Chief Information Security Officer y Chief Digital Security Officer

Reflexiones finales

En conclusión, podemos afirmar que la seguridad de la información desde la perspectiva de lo digital, lo disruptivo y lo resiliente, debe evolucionar para continuar acompañando al negocio para concretar sus retos como organización y procurar potenciar el valor que los clientes reciben de aquellos nuevos productos digitalmente modificados.

Dicha evolución no se puede dar sólo extendiendo la aplicación de los estándares conocidos a la fecha, que si bien han fortalecido una práctica virtuosa de la seguridad y el control, deben ser repensado y ajustados a una realidad que evoluciona mucho más rápido, genera mayores contradicciones y donde los “errores” son oportunidades que crean entornos inestables y propicios para avanzar y posicionar nuevos negocios.

Así las cosas, el gobierno de la seguridad digital, alineado con esta realidad, no puede basarse en las certezas y contextos conocidos, sino en la inevitabilidad de la falla, en el constante aprendizaje de la seguridad por vulnerabilidad, que permite a la organización estresar sus supuestos de protección actuales y revelar aspectos opacos del control que la inercia de la práctica actual no revela.

Por tanto, los responsables de la seguridad de la información deben advertir los movimientos estratégicos del primer nivel respecto de la nueva estrategia digital de la empresa, para poder cambiar sus propios normales y comenzar la transformación de sus prácticas, que permitan mejorar la propuesta de valor de la empresa, ahora con la protección de la información desde los nuevos activos digitalmente modificados que ofrece la compañía.

Referencias

Bonchek, M. y Steele, E. (2015) What kind of thinker are you? Harvard Business Review. Noviembre. 

Cano, J. (2015) Modelo PERIL. Repensando el gobierno de la seguridad de la información desde la inevitabilidad de la falla. Memorias VIII Congreso Iberoamericano de Seguridad Informática. Universidad de las Fuerzas Militares. Quito, Ecuador. Noviembre. ISBN: 978-9978-301-61-6. 6-13

Charan, R. (2015) The attacker’s advantage. Turning uncertainty into breakthrough opportunities. New York, USA: Perseus Books Groups.

Curran, C., Puthiyamadan, T. y Wendin, C. (2016) Raising your digital IQ. Strategy+Business. Issue 82. Spring.

Gans, J. (2016) Keep calm and manage disruption. Sloan Management Review. Spring. 1-8

Krupp, S. y Schoemaker, P. (2014) Winning the long game. How strategic leaders shape the future. New York, USA: PublicAffairs

Magro, C., Salvatella, J., Álvarez, M., Herrero, O., Paredes, A. y Vélez, G. (2014) Cultura digital y transformación de organizaciones. 8 competencias digitales para el éxito profesional. Barcelona, España: RocaSavatella.

La armonía de los contrarios. Una nueva categoría didáctica para educar en seguridad de la información.

Introducción

La inevitabilidad de la falla es un concepto que poco a poco se ha venido difundiendo a nivel internacional, como quiera que todo es susceptible de fallar, bien de manera deliberada o por situaciones no conocidas. En este escenario, pensar y desarrollar una gestión desde la certeza de una operación sin contratiempos, es una vista efímera que, con el primer percance, puede llegar a comprometer no solo la capacidad de aprendizaje de los involucrados, sino la imagen de aquellos que lo administran.

En este sentido, la falla o el error, se ha mirado por lo general como un resultado, el cual es valorado bajo estándares definidos, generando una emocionalidad contraria, que no siempre motiva y moviliza los cambios requeridos. Por tanto, el error conlleva una carga emocional generalmente negativa, que de alguna forma, recrimina y excluye a todo aquel que no se ha ajustado a la norma establecida.

En este escenario, el error no es ocasión de oportunidades y descubrimiento de nuevas ideas, sino un tribunal de sanciones, que no busca motivar una renovación del pensamiento ni provocar nuevas experiencias para explorar. Esto es, una audiencia pública que margina a todos los involucrados a llevar el peso de una marca que los segrega y limita para continuar aprendiendo, que no es otra cosa que cortarle las alas a su creatividad.

Cuando el error no se mira como un resultado, sino como un proceso, se abre la oportunidad para descubrir las relaciones internas de las acciones que han llevado al resultado. Se inscribe la actuación, como un intento por abordar una situación, cuyas consecuencias dan cuenta de una realidad distinta a la esperada, lo cual puede o no ser útil frente al contexto donde ella se desarrolla.

Bajo estos parámetros, el error se constituye como una herramienta pedagógica que interroga a los participantes sobre aquellos aspectos emergentes de la situación, que permiten explorar linderos antes desconocidos y potenciar el entendimiento de los resultados para una siguiente oportunidad. Así las cosas, como afirma De la Torre (2004) “No es posible no equivocarse en el proceso de aprender”.

Si bien buena parte del aprendizaje, se ha adquirido por ensayo y error, por observación, por experiencias previas en contextos particulares, no se quiere indicar que sea forzosa la “equivocación” para poder aprender, sino que se hace necesario descubrir en los detalles del proceso cognitivo, aquellos aspectos que más ayudan a las personas para apropiarse de un saber y mejorar las aptitudes y estrategias que la permitirán mayor seguridad y confianza en su hacer (De la Torre, 2004).

Lo anterior, establece una vista sistémica del aprendizaje, donde el error como proceso, revela relaciones visibles e invisibles de las elaboraciones cognitivas humanas, que permiten identificar aquellas cosas que no funcionan bien en los marcos y estrategias de enseñanza/aprendizaje. Algunos dirán que esto es susceptible de aplicar en escenarios académicos controlados, pero la realidad nos indica, que de no hacerlo en el mundo empresarial, las organizaciones estarán condenadas repetir historias que no quieren oír y a repetir discursos de gestión que se desgastan en su actuar.

Habida cuenta de lo anterior, este documento establece algunas reflexiones particulares sobre la pedagogía del error (De la Torre, 2004), en el contexto de la formación en seguridad de la información, como una forma de controvertir el status quo de la práctica de entrenamientos en protección de la información y abrir una nueva posibilidad de enseñanza y aprendizaje que conecte la realidad de la empresa y la dinámica del pensamiento de sus empleados frente a la seguridad de la información.

El costo de los errores en seguridad de la información. Una lectura desde la pedagogía del error.

Es claro que los errores en seguridad de la información tienen efectos y consecuencias visibles para las organizaciones en general, que pueden llegar a implicar sanciones legales, económicas y pérdidas de reputación. En esta perspectiva, el error en las prácticas de seguridad de la información se juzga como efecto contrario, que desestabilizando la sensación de confort organizacional, configuran un tribunal de acusaciones en contra de aquellos que han cometido las faltas y de los responsables del aseguramiento del tema.

Es tal la sensibilidad de las acciones que se advierten fuera de los límites permitidos, que terceros evaluadores están listos a documentar los efectos de dichas acciones, para contabilizar las fallas y elaborar valoraciones que den cuenta de la falta de gestión y aseguramiento de las prácticas de seguridad y control en la organización. Si bien, una falla revela algo que no está de acuerdo con un lineamiento establecido, también manifiesta una oportunidad para aprender, un momento para profundizar en las actuaciones y sobre manera una forma de sorprendernos para hacer nuevas distinciones.

En este sentido, los responsables de la seguridad de la información, son enmarcados en estándares que buscan inhibir todo el tiempo la aparición de las fallas de seguridad y cuando aparecen, son catalogadas como fallas del sistema de gestión, por lo cual habrá que aplicar el formato de análisis causa-raíz, que permita llegar al fundo de la situación que ha provocado el resultado y luego activar, en el mejor de los casos, el procedimiento de lecciones aprendidas, las cuales guardan la memoria del evento contrario que ha ocurrido.

Frente a esta situación, donde el error como resultado, es hijo de una vista mecanicista del mundo, que debe ser erradicado del ejercicio de perfeccionamiento del funcionamiento de las cosas, la seguridad de la información se ha nutrido ampliamente creando un escenario cada vez más rígido de acción, que busca alcanzar una meta de protección basada en la invulnerabilidad, sabiendo que en un mundo volátil, incierto, complejo y ambiguo (Johansen, 2009) no es posible lograr.

Lo anterior genera el stress y angustia natural de los profesionales de la seguridad de la información que, cada vez que adelantan acciones proactivas para evitar situaciones de riesgo, los hechos que acontecen desbordan las predicciones establecidas frente a lo ocurrido. Esto no quiere decir que los ejecutivos de seguridad de la información sean víctimas de las inestabilidades del entorno, sino que su perspectiva del ejercicio de protección debe ajustarse con la dinámica de su contexto, no para encontrar responsables afuera de su práctica, sino para incorporar nuevos procesos de aprendizaje que reivindiquen al error como posibilidad de aseguramiento y control.

Lo anterior supone leer el error como una oportunidad que motive mover el estado de la práctica de seguridad de la información fuera de la zona cómoda y la lance a explorar escenarios contradictorios que generen un entorno psicológicamente seguro, donde fallar es una opción, pues el beneficio que se obtiene, es superior al costo de cometer el mismo (Schoemaker, 2011).

A manera de resumen podríamos decir, en lectura de De la Torre (2004), que debemos recuperar el error como herramienta pedagógica que supere el cumplimiento de objetivos y atienda la riqueza del proceso de aprendizaje. Una vista de lo anterior, se condensa en el cuadro a continuación.

Consideración del Error
Mundo Mecanicista	Mundo de los sistemas
Desviación de la norma	Desajuste en lo esperado y obtenido.
Elemento perjudicial en el aprendizaje.	Elemento que activa y motiva el aprendizaje.
Es una condición que deber ser sancionada.	Es una condición natural del proceso de aprendizaje.
Deber ser evitado.	Deber ser aceptado y diagnosticado.
Es indicador de resultados no alcanzados.	Es síntoma de procesos de aprendizaje
Es ocasión de clasificación y exclusión en el proceso de aprendizaje.	Es ocasión de orientación y guía en el proceso de aprendizaje.

Tabla 1. Consideración del error (Basado en: De la Torre, 2004, p.85)

La formación en seguridad de la información. Un ejercicio de la armonía de los contrarios.

Si la práctica de seguridad de la información se ha nutrido de una vista mecanicista del mundo y el error es considerado una condición contraria y por demás costosa frente a las consecuencias que los mismos tienen, es preciso revisar la manera como se ha venido formando a las personas en las organizaciones respecto del tratamiento adecuado de la información.

Mientras un analista de seguridad tradicional, establece su paradigma de protección en una vista lineal de riesgo-control, un atacante desafía el escenario conocido y modifica su dinámica para crear un nuevo entorno, que difícilmente podrá ver un analista en su ejercicio. El atacante tiene un pensamiento circular, donde una causa lleva a un efecto y un efecto una nueva causa, en este ejercicio, logra cuestiona su propio pensamiento y sorprenderse de aquello que el mismo ha logrado.

Si entrenamos a las personas sólo en la vista del analista, siguiendo los parámetros normales de la formación, basada en contenidos establecidos y respuestas debidamente calculadas, los individuos podrán alcanzar la calificación requerida, repitiendo aquello que se encontraba en sus cartillas de entrenamiento. Sin embargo, la pregunta que sigue es ¿esto nos hará más resistentes frente a situaciones inciertas? Posiblemente la respuesta no será positiva, pues los empleados estarán preparados para responder a lo conocido y registrado en los estándares, pero no para variables dinámicas que se encuentran en su contexto.

Por el contrario, si se establece un entrenamiento siguiendo la mente del atacante, buscando elementos para superar los patrones y parámetros de seguridad y control establecidos, tendremos un escuadrón posiblemente de atacantes internos formados para dar cuenta de las fallas y la forma de cómo se materializan, creando un entorno insostenible que lleve a los límites del sistema, comprometiendo su funcionalidad y la identidad del mismo por fuera de los estándares de actuación ética y de mejora continua.

Bajo este escenario, se hace necesario integrar la dos vistas previamente presentadas, que permitan construir un marco pedagógico asistido por la armonía de los contrarios, una vista que, sensible al contexto de las personas en la organización, establezca una zona psicológicamente segura donde las decisiones que se toman frente a situaciones inciertas permitan que los individuos “estudien la situación, definan los problemas, lleguen a sus propias conclusiones sobre las acciones a emprender, contrasten ideas, las defiendan y las reelaboren con nuevas aportaciones” (Acosta, 2014, p.47).

Este marco reconoce la circularidad del pensamiento de los atacantes, la complementariedad de las prácticas y estándares con los riesgos de los procesos para explicar lo que ocurre y sobre manera la autoreferencia del sistema analizado, que significa comprender las relaciones entre sus componentes que definen la identidad del mismo. Esto es, saber que existen propiedades emergentes que son fruto de las relaciones entre sus componentes y que no son inherentes a cada uno de ellos.

Así las cosas, las actuaciones derivadas de una formación basada en este marco pedagógico establecido, establecen las bases de la formulación de una competencia de gestión segura de la información (Cano, 2015) que, una vez negocia los cambios de paradigma en su hacer, reconstruye las prácticas desde la sabiduría del error, es decir, que la inestabilidad de los sistemas y sus posibles fallas, son ocasión para que surjan aprendizajes avanzados en las personas que las habiliten para: (Tobón, 2013, p.101)

• Comprender la situación problemática en un contexto disciplinar, personal, ambiental, social y/o económico.
• Establecer varias estrategias de solución, en las cuales se tenga en cuenta lo imprevisto y la incertidumbre.
• Considerar las consecuencias del problema y los efectos de la solución dentro del conjunto del sistema.
• Aprender del problema para asumir y resolver problemas similares en el futuro.

En consecuencia, la formación en seguridad de la información debe responder a criterios educativos que promuevan quiebre conceptuales respecto de la dinámica de las organizaciones, para que reconociendo el contexto inestable e incierto donde deben actuar los individuos para proteger la información, se puedan tener seres humanos transformados por el entorno y acciones trascendentes de éstos, para potencialmente innovar en sus propios ambientes.

Lo anterior supone, en palabras de Acosta (2014, p.48) “comprender la necesidad de apoyarse en los demás para aprovechar las fortalezas y competencias de todos”, reconocer las limitaciones como oportunidades de desarrollo y “aumentar la sinergia que surge” al participar de un escenario de construcción social de conocimiento, donde las acciones y decisiones que se realicen, benefician necesariamente a los demás.

Reflexiones finales

Si entendemos el aprendizaje como una propiedad emergente del proceso educativo, esto “es una cualidad distinta que el sistema “persona” elabora en un momento dado sin que previamente, como tales, estuviesen contenidas en ninguna de las partes. (…)” (Novo, Marpegán y Mandón, 2011, p.126), estamos ante un cambio de perspectiva en la formación de los individuos, donde “educar” a la persona en seguridad de la información no es enseñarle algo que no sabía, sino convertirlo en un otro distinto que es consciente de los riesgos y asimetrías del entorno donde actúa y está preparado para tomar decisiones que benefician a los demás.

En este sentido, el marco pedagógico propuesto basado en la armonía de los contrarios, lejos del riesgo de la simplificación, permite una aproximación a los escenarios reales de participación de los individuos, creando una vista sistémica de la realidad, que promueve un actuar integrado, innovador y transdisciplinar.

Lo anterior significa, entender e incorporar las diferencias naturales de las personas y las presiones del entorno, teniendo como foco el aprendizaje en los procesos más que sus resultados, motivar momentos de síntesis que consoliden la apropiación del conocimiento y la construcción de una espiral ascendente de comprensión de sus decisiones que lo habiliten para manejar la incertidumbre, producir modelos de actuación y adaptarse a los cambios.

Lograr fundar una educación en seguridad de la información con estas características, implica romper la tradición mecanicista de la formación que se tiene a la fecha, producir escozor y malestar al interior de las prácticas vigentes de protección de la información y sobre manera, quebrar los lentes actuales del entendimiento de la seguridad de la información donde los estándares exigen la repetibilidad del proceso de gestión, para poder establecer una medida del nivel de “protección” disponible y requerido en la organización.

Por tanto, esta reflexión no pretende ser un “elogio de la locura” que exalte lo negativo y reprochable, sino una búsqueda de una comprensión mayor del escenario que se advierte para avanzar en el ejercicio de protección de la información. Esto es, aprendamos a través de las equivocaciones y construyamos desde los estándares probados, para que, como anota De la Torre (2004), “el error sea un incidente esclarecedor del proceso y, no un resultado ni un hecho irremediable de la naturaleza humana”.

Referencias

Acosta, S. (2014) Pedagogía por competencias. Aprender a pensar. México, México: Editorial Trillas.

Cano, J. (2015) Gestión segura de la información. Competencia genérica clave en una sociedad de la información y el conocimiento. Memorias Congreso Internacional de Educación, Tecnología y Ciencia, CIETyC 2015. Universidad de la Guajira, Colombia – Universidad Nacional de San Juan, Argentina. Riohacha, Colombia. Junio 2 al 5.

De la Torre, S. (2004) Aprender de los errores. El tratamiento didáctico de los errores como estrategia de innovación. Buenos Aires, Argentina: Editorial Magisterio del Río de la Plata.

Johansen, B. (2009) Leaders Make the Future: Ten New Leadership Skills for an Uncertain World. San Francisco, USA: Berrett-Koehler Publishers.

Novo, M., Marpegán, C. y Mandón, M. (2011) El enfoque sistémico: su dimensión educativa. Madrid, España: Editorial Universitas, S.A.

Schoemaker, P. (2011) Brilliant mistakes. Finding success on the far side of failure. Philadelphia, USA: Wharton Digital Press.

Tobón, S. (2013) Formación integral y competencias. Pensamiento complejo, currículo, didáctica y evaluación. Bogotá, Colombia: ECOE Ediciones.