¿Cómo debe ser una política de seguridad?

Ayer publicaba Optima Infinito un post titulado "Desarrollo Organizacional: El que no la hace, la paga"relativo a cómo deberían ser, a su entender, las políticas y normativas de una organización dada la evolución de la sociedad y sobre todo, porque ahora las personas somos el centro.

Algunas reflexiones interesantes:

El enfoque 1.0 es característico de la empresa tradicional. En él, el empleado es considerado como una persona que, si no se hace algo para evitarlo, actuará únicamente en beneficio propio y contra los intereses de la empresa. Se considera implícitamente que los empleados son inmaduros y egoístas. Hablamos, en resumen, de un enfoque regido por la desconfianza hacia el empleado.

Las políticas generadas desde este enfoque son rígidas y genéricas. Suelen ser resultado de la falta del liderazgo necesario para gestionar las diferencias, por lo que terminan optando por la solución simplista de defender como única prioridad los intereses de la empresa a cualquier precio, cayendo así en un proceso de “criminalización colectiva” por el que una mayoría de empleados resulta injustificadamente perjudicada.

El enfoque 2.0 es el que en mi opinión debería comenzar a imponerse. En él, el empleado pasa a ser considerado una persona madura, responsable y juiciosa que sabe encontrar la forma de compatibilizar sus intereses personales con los de la empresa. Es un enfoque regido por la confianza mutua, el diálogo y la transparencia.

Las políticas generadas desde este nuevo enfoque son flexibles y específicas, demostrando sensibilidad hacia las distintas necesidades, con una clara vocación integradora de intereses y con capacidad y liderazgo para explicar y justificar las diferencias. En lugar de criminalizar colectivamente a los empleados confían en la autocensura y el buen juicio de los mismos, a la vez que fomentan que se monitoricen las desviaciones y se actúe enérgicamente sobre ellas.

Como habréis visto, una reflexión muy interesante a mi juicio y que no debemos dejar pasar los profesionales de la seguridad de la información puesto que sabemos que el Cuerpo Normativo es una de las principales herramientas con las que contamos para definir el nivel de seguridad deseado por la organización.

Al menos en mi experiencia, la mayoría de las normativas que he desarrollado han sido totalmente del estilo 1.0 y la verdad es que, pocas veces, han sido muy user friendly que digamos. Quizás muchas de las reticencias de los usuarios se deban a este hecho, a que no eran muy 2.0.

¿Deberíamos cambiar nuestro estilo en la elaboración de los cuerpos normativos de seguridad? ¿Están los usuarios preparados para este tipo de normativas 2.0? Supongo que también dependerá del estilo de dirección de la organización, claro está...

Yo me inclino más por dar el paso e intentarlo con el modelo 2.0... ¿Y vosotr@s?

Vía | Optima Infinito
En Carpe Diem | Adagreed: Un ejemplo de poner los usuarios en el centro

100 caminos al éxito #3: "KISS"

Este fin de semana he comprado una lámpara de esas sobremesa para cuando cenamos en el jardín tener un poco más de visibilidad [la verdad es que esto no tiene la mayor importancia y supongo que os importará poco, pero bueno, es la verdad, así que, tampoco hay porqué ocultarlo]. El hecho es que cuando la saqué, vi que venía acompañada por sus correspondientes instrucciones de uso y al mirarlas, no pude por menos que sufrir un ataque de risa (si no entendéis porqué no tenéis mas que mirar la foto que adjunto de las mismas)... más sencillas, imposible.

Pero inmediatamente me encontré preguntándome: "¿Y para qué quieres más? Si es lo que hay que hacer, ¿no? Poner una bombilla, enchufarla y andando".

Así que, esa sería mi tercera recomendación para los CISO: Keep It Simple Stupid! (K.I.S.S.)

• Si una política puede ser de una página mejor que de tres.
• Si el análisis de riesgos se puede simplificar, mejor.
• Si el procedimiento puede tener tres pasos y una aprobación, mejor que quince pasos y siete aprobaciones.
• ...
  

En fin que la simplicidad tiene una potencia increíble y además ya sabéis que la complejidad es enemiga de la seguridad...

La seguridad y la percepción de control

Uno de los principios fundamentales sobre los que se basa el control interno en cualquier organización es el hecho de que la percepción de control es uno de los elementos más eficaces para evitar conductas, actos no deseados. Basta con informar a los usuarios de nuestros sistemas de información de que vamos a hacer una clasificación con el Top10 de consumidores de ancho de banda para que todo el mundo se retraiga en las descargas desde Internet.

Ahora bien, si el control que utilizamos está mal diseñado y no permite realizar adecuadamente esa clasificación o existen resquicios por los que escaparse, estamos perdidos: La consecuencia será justo la contraria. ¿A qué se debe esto? Básicamente, al componente psicológico que tiene la evaluación del riesgo (y por ende, la seguridad). Por eso, no puedo estar más de acuerdo con la tribuna que ha escrito Santiago Grisolía, presidente ejecutivo de los Premios Rey Jaime I, sobre los controles de seguridad en los aeropuertos.

Y es que, los controles de seguridad de los aeropuertos están perfectamente mal diseñados y son una muestra de lo que nunca haría un experto en seguridad: Establecer controles ineficaces (porque no consiguen lo que pretenden) e ineficientes (por los costes que generan) que dificultan a los usuarios y entorpecen la prestación del servicio. Pero sobre todo, lo peor, es que generan la sensación contraria a la deseada: Se supone que esos controles persiguen transmitir a los usuarios una sensación de seguridad pero lo que consiguen es justo lo contrario; como todos sabemos de los grandes fallos que presentan, a los que volamos habitualmente solo nos queda rezar (o lo que sea) para que nuestro avión no sea uno de los "elegidos" porque, desde luego, como tengamos que depositar nuestra confianza en los controles de seguridad de los aeropuertos, lo llevamos claro (que diría un castizo).

Supongo que lo trágico de los incidentes que ocasionaron todas estas medidas justifica la situación, pero creo que, pasado cierto tiempo, se impone una reflexión entre los organismos responsables de estas medidas que permitan contribuir de mejor manera al objetivo que se persigue de dotar de una mayor nivel de seguridad a los viajes en avión.

La definición y el diseño de controles de seguridad (creo que todos estaremos de acuerdo) no puede ser tal que impida o dificulte que una organización cumpla sus objetivos (su meta). Y estos controles de seguridad, creánme, no ayudan a fomentar los vuelos en avión, por ejemplo, frente a la competencia de la Alta Velocidad... solo una reflexión para finalizar: ¿Por qué los controles de acceso son tan diferentes en los aeropuertos y en las estaciones de tren cuando ambos medios de transporte han sufrido (al menos en nuestro país) el terrorismo de igual manera?

El DNI digital ya está aquí, pero ¿cuándo el pasaporte?

Esta mañana he tenido una experiencia religiosa: He intentado sacarme el pasaporte. Y os preguntaréis, ¿por qué nos lo cuentas ahora? Pues porque es el tiempo que ha tardado en quitárseme la cara de bobo que se me ha quedado cuando he sido el primero que de la fila que se ha quedado sin su pasaporte después de estar en la cola desde la 8:15AM. ¿Qué por qué? Muy sencillo, porque resulta que en la comisaría de Móstoles solo expiden 45 (¡¡cuarenta y cinco!!) pasaportes al día y yo era el 46 (en realidad, el 51, porque hoy han decidido que podían expedir 50). Así dicho carece uno de magnitudes relativas para comparar, así que voy a dar algunas:

• Móstoles tiene una población (según el padrón de 2006 realizado por el INE) de 206.301 habitantes.
• Alcorcón (su municipio vecino al que da servicio también la comisaría de Móstoles porque la de Alcorcón esta... ¡¡¡cerrada por obras!!!) tiene, según la misma fuente, 164.633 habitantes.

Es decir, que para satisfacer las posibles necesidades de, aproximadamente 371.000 habitantes, tenemos 45 pasaportes... esto es un 0,012% de la población. En unas fechas en las que pensamos en viajar y en las que, una de las opciones es salir al extranjero... Sin comentarios: Luego dicen que los españoles este año hemos salido menos al extranjero; ¡caray!, con estas facilidades... ¡¡no lo entiendo!!

De todas formas, ahí no acaba la cosa. He intentado tener suerte en la comisaría de Aluche (en la antigua cárcel de Carabanchel) y... ¡oh, sorpresa! En ésta, solo dan 20 números al día (¡¡veinte!!). Una amable chica que estaba lista para entrar en el momento de nuestra ignorante pregunta nos ha informado que ella estaba en la cola esta mañana a las 6.00AM (¡casi me da un síncope!). En este caso, tenemos que el barrio de La Latina (según la información del área de Estadística del Ayuntamiento de Madrid que data de 2001) tiene 249.049 habitantes. Si hacemos la misma proporción, tenemos que esos 20 pasaportes al día suponen un 0,008% de la población del distrito.

En ambos casos, suponiendo 220 días hábiles tendríamos que:

• En Móstoles, se podrían expedir 9.900 pasaportes, un 4,798% de su población.
• En Aluche, la cifra sería de 4.400, un 1,767% de la población de La Latina.

Además, todo aderezado con una cultura de servicio al ciudadano: No se puede pedir cita previa por teléfono, no hay información disponible en la web... pero, sobre todo: SI TENEMOS UN DNI ELECTRÓNICO O UN CERTIFICADO DIGITAL RECONOCIDO POR EL MINISTERIO DE INDUSTRIA QUE DICE QUIÉNES SOMOS, ¿POR QUÉ NO PUEDO HACER EL TRÁMITE ELECTRÓNICAMENTE?

En fin, espero que algo tan fácil como este trámite se incorpore a la eAdministración. De momento, si quiero viajar, el próximo día me tendré que levantar a las 6 de la mañana para no quedarme con un palmo de narices y sin pasaporte.