Crear una cultura de seguridad

La seguridad es asunto de todos. Durante la última década, muchos ciberataques como NotPetya, Wannacry y más recientemente Locker Goga, han dejado su huella. Su escala y sus consecuencias financieras han sido ampliamente publicitadas y ninguna organización hoy en día puede ignorar las amenazas a las que se enfrenta.

La vulnerabilidad ha aumentado con el uso generalizado de computadoras y el uso de tecnologías digitales haciendo de la ciberseguridad un problema real, a menudo reservado a los expertos. Sin embargo, este tema es más que nunca asunto de todos. No se limita a la implementación de sistemas de protección tan sofisticados como son, sino sobre todo, se trata de crear una cultura de seguridad dentro de la empresa. Las amenazas informáticas no sólo se han vuelto sofisticadas, sino que están explotando las más mínimas debilidades. Hoy en día, los riesgos no son sólo para actos de malicia, sino muy a menudo para la torpeza, error humano o vigilancia reducida.

La seguridad es ante todo una cuestión de disciplina. Las acciones y hábitos simples y sistemáticos pueden evitar muchos contratiempos. De hecho, la experiencia muestra que la gran mayoría de los ataques podrían ser detenidos con estricta disciplina de seguridad. Esto implica definir reglas y principios que se aplican a toda la organización, más allá de los equipos de seguridad, y asegurarse de que se aplican y siguen. También es más barato y más eficiente integrar la seguridad desde el diseño que proporcionar soluciones más adelante.  Para crear una cultura de seguridad, podemos inspirarnos en el movimiento "Rugged Software" y "Rugged DevOps". La prioridad de este enfoque es asegurarse de que el código es seguro en todas las etapas del ciclo de vida del software. En el manifiesto del movimiento "rugged" se afirma claramente que el secreto para escribir un código seguro es cambiar la cultura del desarrollo de software. Aunque este movimiento se refiere al desarrollo de código y software, los principios declarados pueden extenderse a toda la empresa.

La seguridad no debe verse como una barrera a la agilidad. Hoy en día, existen buenas prácticas que proporcionan formas baratas de reducir la vulnerabilidad sin ralentizar los procesos de desarrollo o imponer restricciones indebidas a los usuarios. Para que estas buenas prácticas den sus frutos, deben ser conocidas y compartidas dentro de la empresa. Recordemos una vez más que la seguridad no debe ser el dominio reservado para los frikis y los expertos en seguridad. La educación y la información son esenciales para construir una cultura de seguridad. Es importante darse cuenta de que la amenaza es ahora constante.

La seguridad nunca es definitiva y, por lo tanto, debe formar parte de un proceso de mejora continua. Estos incluyen:

- Vincular constantemente la seguridad de ingoning a los objetivos del proyecto;

- Integrar la seguridad en todos los procesos y corregir rápidamente los errores detectados;

- Establecer altos estándares y estándares de seguridad;

- Adoptar un enfoque de error cero;

- Comprobar constantemente la eficacia de la seguridad en el desarrollo y la producción.

Probablemente sea más fácil establecer herramientas de seguridad que establecer una cultura de seguridad dentro de una organización. Sin embargo, es un paso esencial para avanzar hacia un negocio resiliente y enfrentar las crecientes amenazas del mundo digital.