¿Tiene sentido que una ley exija gestión de riesgos?

(Foto: "Risk_block_letters", Paul Cross, https://flic.kr/p/q3sLdP)

En los últimos años es habitual encontrarnos con legislación que requiere al sujeto obligado de la implementación de un proceso de análisis y gestión de riesgos (algunas referencias previas en este blog aquí y aquí). Por ejemplo, sin ir más lejos, el famoso Reglamento General de Protección de Datos (más conocido por RGPD) o el Esquema Nacional de Seguridad (ENS).

Tal y como yo entiendo la gestión de riesgos, una organización hace este ejercicio e implementa este proceso para seleccionar aquellas medidas de seguridad que, en función de su perfil de riesgo, maximicen la inversión en ciberseguridad. Por lo tanto, y volviendo al título de esta entrada, ¿tiene sentido que una norma exija realizar una gestión de riesgos?

La respuesta depende del tipo de norma que sea. Podríamos decir que, a este respecto, existen dos tipos de normas:

1. Las que están fundamentadas en un principio de responsabilidad (el famoso accountability) - Por ejemplo, la actual Ley de Protección de Infraestructuras Críticas o el ya mencionado RGPD.
2. Las que definen de manera objetiva lo que tenemos que hacer para cumplir - Dentro de estas estaría el ENS o PCI-DSS.

En el caso de las primeras, SÍ tiene sentido ese análisis y gestión de riesgos puesto que el principio es "actúa con responsabilidad y haz lo que consideres oportuno para lograr el objetivo". Por tanto, el análisis de riesgos ahí se convierte en la herramienta que gradúa ese ejercicio de libertad de elección. Cada organización implementa las medidas que considera en función de su perfil de riesgo: organizaciones que se quieran arriesgar más, pondrán menos medidas y al revés... pero cada una, bajo su responsabilidad.

En el caso de las segundas, claramente, NO. En estas normas que son prescriptivas en cuanto las medidas que la organización obligada tiene que implementar, ¿qué sentido tiene pedirle a una organización que haga un ejercicio de análisis cuando el que ha redactado la normativa ya ha decidido qué medidas son las que hay que implementar? En mi opinión, la inclusión de esta exigencia solo responde a una moda o a una intención de "quedar bien" y decir que la norma está basada en la gestión de riesgos...

Otra cosa es lo que podamos pensar sobre cuál de las dos opciones es más acertada o contribuye más a conseguir el objetivo de la norma, pero esto es algo que discutiremos en la próxima entrada.

... ¿todavía no me sigues en twitter.com/antonio_ramosga? 

Las fusiones y la incertidumbre

Hoy he tenido la oportunidad de escuchar a Jaime Anchústegi (CEO de Generali España) en los desayunos que organiza ESADE comentando su experiencia en la fusión de Banco Vitalicio y Seguros La Estrella.

He de reconocer que, al principio, me ha costado seguirlo: Demasiado tiempo hablando sobre Generali... (aunque supongo que es normal en los CEOs; les gusta hablar de "su libro")

Centrándonos en el tema de su experiencia en la fusión, me ha gustado su enfoque pragmático y nada dogmático. No han seguido el manual A o el B, han hecho lo que han considerado que tenían que hacer, lo que era mejor para ellos. Pero, sobre todo, me ha gustado su preocupación porque el proceso de fusión no generara incertidumbre (la incertidumbre provoca desconfianza y la desconfianza mina el compromiso de las personas).

Y sobre todo, me ha gustado que no lo ha contado "sacando pecho", sino como algo que había que hacer. Me explico: El día 0 de la fusión todo el equipo directivo sabía como iba a ser la compañía resultante, su puesto, sus funciones y su equipo... incluso los que no contaban, los que no tenían hueco, les había sido comunicado en una reunión personal con el propio Jaime...

Creo que en estos momentos, ha sido una buena lección para todos aquellos que se encuentran en procesos de este tipo (aunque está claro que no es lo mismo un proceso de fusión cuando uno quiere que cuando está obligado por las circunstancias y el momento viene dado) y que están generando tantísima incertidumbre en sus equipos humanos.

En definitiva, la preparación de la fusión es más larga, pero merece la pena el esfuerzo a cambio de evitar la incertidumbre generalizada en la organización durante el proceso de fusión.

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

El precio del riesgo

Me ha llamado la atención las declaraciones de ayer en Cinco Días del responsable de banca de consumo de Citibank para España y Bélgica, Joel Korneich, sobre los cambios que ha sufrido el banco tras su rescate por el Gobierno de EE.UU. (32.500 millones de dólares inyectados, nada menos). Básicamente han sido dos las frases que querría resaltar, además del titular de la entrevista ("No se debería dar bonus a quien asuma riesgos altos"):

"La experiencia ha hecho que nos concentremos más en la gestión del riesgo y en la estructura de gastos de la empresa"
"Todas las áreas de los bancos tendrían que restringir su ambición y su riesgo"

Aunque suena muy bien, la verdad es que no encaja con el cortoplacismo instaurado en todos los ámbitos de nuestra sociedad actual, tanto en la política, como en la economía o en el ámbito privado. 

Para abordar realmente el problema y que las empresas no asuman riesgos excesivos (y esto aplica tanto para prácticas de negocio, como para la gestión de la seguridad) la solución debe pasar porque los usuarios y los negocios paguen por el coste real de lo que consumen y producen (al estilo de lo que propone Don Tapscott en MacroWikinomics para abordar el cambio climático y los productos ecológicos).

Es decir, los productos y servicios que no implantaran mecanismos de seguridad deberían incorporar el coste de los perjuicios que estarían creando (difusión de malware, vulneración de la privacidad de las personas, etc.) de forma que aquellos productos y servicios que sí estuvieran actuando de manera segura fueran competitivos. De esta forma, el propio mercado regularía esta situación, penalizando las actitudes demasiado arriesgadas para la sociedad en su conjunto.

Mientras esto no sea posible y las conductas arriesgadas sigan siendo rentables, va a ser difícil que lo que Joel nos propone pueda tener continuidad en el mundo actual: Los comportamientos arriesgados serán más rentables y serán los que subsistan en nuestra economía de mercado.

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

Lectura: "CISO soft skills"

Tuve el placer de moderar a Ron Collette, uno de los tres autores de esta obra, en la V Jornada Internacional del ISMS Forum Spain y por fin he sacado un hueco para leérmela - ¿será que ahora tengo más tiempo? :-). Ya Ron, en su momento, me causó una gran impresión, pero su libro ha conseguido mejorarla. Es, sencillamente, genial. Como dicen los anglosajones, "It is a must", vamos, que es de obligada lectura.

Hay varios aspectos que han llamado mi atención:

• Lo primero, que incluye el concepto de limitación que, como sabéis, para los que nos gusta la Teoría de las Limitaciones (TOC para los amigos) es uno de los conceptos básicos. Según los autores, son cuatro las limitaciones que, en su opinión, limitan el nivel de seguridad en las organizaciones: La apatía, miopía y primacía que se puede observar en los empleados y la infancia en la que se encuentra la seguridad de la información como práctica empresarial.
• Y lo segundo, que adopta la interpretación de la seguridad en las organizaciones como parte de un sistema dinámico dónde tenemos que manejar conceptos como inputs, outputs, feedback o throughput y entender que todo está relacionado aunque el sistema sea complicado (que no complejo - ver diferencia según el modelo Cynefin [gracias, Mario]) y nos cueste entender las relaciones causa-efecto existentes, ya sea por el volumen, por los retardos o por el motivo que fuera.

En mi opinión, los autores han puesto el dedo en la llaga y coincido plenamente con ellos en que existen limitaciones (no sé si las que ellos han identificado u otras, según los casos) que hacen que las inversiones que realizan las organizaciones en seguridad no tengan el reflejo esperado en el nivel de seguridad que podemos observar en las mismas y que, hasta que no se trabaja en eliminarlas (y para eso, hay que identificarlas primero) las organizaciones no experimentan una mejoría significativa.

En esta ocasión, no voy a finalizar con la típica relación de citas porque he estado repasando mis notas y no sabría con cuál quedarme... me temo que tendréis que leeros el libro para tener más detalles...

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

Desarrollando una estrategia de Gestión del Riesgo y de Seguridad de la Información

Este es el título del artículo publicado por John P. Pironti (Presidente de IP Architects LLC) en el volumen 2, 2010 de la ISACA Journal (ya sabéis que hay que ser miembro de ISACA para poder consultarlo). Supongo que algunos de vosotros ya lo habréis leído porque corresponde al número del pasado mes de abril, pero para los que no lo hayáis hecho y os interese la gestión de la seguridad, os recomiendo su lectura. Es un texto, no muy largo, sólo son 8 páginas que se leen rápidamente, pero completo en cuanto al funcionamiento del modelo que nos propone.

Son varias las cosas que me han interesado del artículo pero, yendo por partes, lo primero que me ha hecho reflexionar ha sido la dicotomía que plantea entre las funciones de gestión del riesgo de información y de la seguridad de la información funcional, la primera más consultiva y la segunda, más operativa. He visto esta diferencia de planteamiento en muchas organizaciones y me ha gustado encontrar un "modelo" que recoga esta diferencia de enfoque. Sobre todo, la reflexión de Pironti sobre la circunstancia de que un modelo consultivo enfocado en la gestión del riesgo y alineado con la estrategia de negocio puede ser más recomendable y fácil de implementar que un modelo más técnico y enfocado en el cumplimiento [bueno, como dice muy bien el autor, dependerá de la cultura de la organización].

En segundo lugar, como ya he dicho, el planteamiento exhaustivo que hace, partiendo de la estrategia de la organización y su grado de aversión al riesgo hasta su seguimiento y monitorización pasando por la definición y la implantación de la estrategia. En concreto, Pironti plantea seis fases para el desarrollo de la estrategia:

1. Concienciación del negocio
2. Definición de la estrategia
3. Desarrollo de la estrategia
4. Métricas y benchmarking
5. Implantación y operación

Tercero, en relación a la elección de un estándar al que alinearse, estoy de acuerdo en la afirmación de Piroti, "es importante recordar que ningún estándar por sí solo es apropiado para todas las organizaciones, ni ninguna estrategia debería estar basado en una sola opción". Hay ocasiones en las que nos obsesionamos con la implantación de una ISO o COBIT y perdemos un poco la perspectiva o pretendemos ajustar todos los aspectos de nuestra organización, aunque sea con calzador...

Para ir finalizando, dos aspectos que resaltar y que alguna vez se olvidan:

• La utilización de un comité supervisor como mecanismo que garantice el alineamiento el alineamiento de la función operativa de seguridad con el negocio y como lugar en el que expresar las diferencias respecto a la estrategia planteada.
• La comunicación debe realizarse mediante el mecanismo más adecuado en cada caso (mezcla de online y presencial) y debe contar con sus propios KPIs.

Y, finalmente, una reflexión que comparto plenamente con el autor: "La verdadera medida del éxito de una estrategia bien desarrollada e implantada la podemos encontrar en las impresiones y acciones de la constituencia a la que sirve. Si utilizan las capacidades de la función durante momentos de toma de decisión claves y consultan con el equipo de forma regular, el éxito ha sido alcanzado."

En fin, un buen artículo que merece la pena analizar. Os lo recomiendo.

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

Mercado para la asignación de recursos

Como habréis podido comprobar por mi entrada anterior, hace unos días que he terminado de leer 'Wikinomics'. Pues bien, casi al final del libro me pasó una anécdota curiosa: hay un apartado dedicado a la asignación de recursos que me hizo recordar una afirmación de un profesor de matemáticas de la carrera que nos dijo que "si se nos ocurría alguna forma novedosa de resolver un problema, debíamos desconfiar... era probable que se le hubiera ocurrido a alguien antes".

El motivo de este dejà vu es una reflexión de hace algún tiempo con Mario en la que le preguntaba sobre la forma de aplicar la Teoría de las Limitaciones y más en concreto, la contabilidad basada en el throughput (el throughput accounting) a la toma de decisiones para llevar a cabo o no un proyecto de consultoría en función de su rentabilidad.

Para los que no estéis familiarizados con esta teoría deciros simplemente que, para calcular el throughput o tasa a la que el sistema genera dinero a través de las ventas, solo se tienen en cuenta los costes totalmente variables (el throughput son los ingresos menos dichos costes totalmente variables) y que, para los casos en los que la limitación es interna (como en el caso que nos ocupa donde tenemos bastantes proyectos y tenemos que elegir por cuál empezar), debemos elegir la opción que maximice el throughput por unidad de tiempo del recurso limitante (o sea, de los consultores).

Suponiendo que en dicho proyecto de consultoría nos encontramos con  gastos de personal (los consultores están en nómina), gastos de desplazamiento y otros gastos indirectos imputados conforme algún criterio objetivo,  de todos ellos, solo consideraríamos  como  gastos totalmente variables de un proyecto aquellos originados por realizar el proyecto, es decir, los de desplazamiento porque los de personal y los asignados de manera indirecta seguirán existiendo con independencia del proyecto. Por tanto, el throughput sería el ingreso generado por el proyecto menos los costes de desplazamiento y, si aplicamos el criterio mencionado anteriormente, deberíamos elegir el proyecto que maximizara dicho throughput, o lo que es lo mismo, el que suponga un mayor precio/hora porque los costes totalmente variables serían prácticamente cero.

Y toda esta parrafada ha sido porque se me había ocurrido que se podría crear un mercado interno en el que, a modo de subasta, se asignaran los recursos a aquel proyecto que, en cada momento, maximizara dicha condición, es decir, el precio/hora del consultor o consultora. Y esto es, justamente, lo que me encontré en 'Wikinomics' en relación a la producción y la asignación de recursos:

"[...] los recursos son mercancías que se pueden comprar y vender, así que ¿por qué no asignarlos desde un enfoque mercantil que garantice que van allí donde más se valoren? Con ello, se eliminan del proceso grandes dosis de "cuestiones políticas" internas y se establece una dinámica en la que los equipos compran y venden acceso a los recursos en función de sus valoraciones independiente sobre lo mucho o poco que los necesitan"

Es decir, como me dijo mi profesor de matemáticas (al que por cierto, no creí): "si se nos ocurría alguna forma novedosa de resolver un problema, debíamos desconfiar... era probable que se le hubiera ocurrido a alguien antes".

Más información | Nodos en la red: Toma de decisiones gerenciales con Throughput Accounting

... ¿Todavía no me sigues en twitter.com/antonio_ramosga? 

Gestión de la Seguridad: De la robustez a la capacidad de recuperación

Después de la última entrada sobre la gestión de la seguridad, le he estado dando algunas vueltas más al asunto de cómo deberíamos gestionar entonces la seguridad dado ese gran componente de incertidumbre. Y estando en esas, me llegó una entrada del blog Cognitive Edge (From robustness to resilience) sobre el comportamiento de los vecinos de Gloucester para afrontar las inundaciones recurrentes en la zona.

Básicamente, el razonamiento es que, dado que no se puede hacer nada para evitar las inundaciones, lo mejor es cambiar las infraestructuras para resistir su efecto y poder recuperar la habitabilidad de las casas lo antes posible, es decir, se han centrado en la capacidad de recuperación (hacer que las infraestructuras sean más "elásticas" y recuperen lo antes posible la normalidad).

El caso es que, en relación a la gestión de la seguridad, quizás tendríamos que hacer algo similar y haya llegado el momento de restarle algo de importancia al enfoque de robustez (análisis de riesgos y medidas preventivas) y dársela a lo que podríamos denominar, enfoque de capacidad de recuperación, más orientado a dotarnos de mecanismos que nos permitan continuar funcionando en caso de un incidente (planes de contingencia y continuidad, pero también diseño de infraestructuras que sean más elásticas, que tengan más capacidad de volver a su estado previo).

¿Por qué digo esto? Pues porque según una encuesta de la Harvard Business Review a 1.463 gestores de Supply Chain (cadena de suministros) y áreas de negocio a lo largo de 73 países el reparto de la inversión entre medidas preventivas y reactivas era el siguiente:

• 54% mayor inversión en medidas preventivas
• 30% inversión equilibrada entre medidas preventivas y reactivas
• Y, el 16% restante, mayor inversión en medidas reactivas

En este sentido, si somos clientes de servicios en la nube, nos importará más la capacidad de recuperación del proveedor más que el hecho de que no se vea afectado por ningún ataque, ¿no?

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

El objetivo de la gestión de la seguridad

Esta semana tuve la oportunidad de asistir a la charla de Fred Piper durante la VII Jornada Internacional del ISMS Forum (ya os dije que teníais que venir...) y tuve uno de esos momentos reveladores: ya sabéis, ese momento en el que alguien dice algo obvio pero que al verlo escrito negro sobre blanco impacta sobremanera sobre uno.

En concreto, fue una frase de Fred en la que venía a decir algo así como que el objetivo de la gestión de la seguridad era minimizar la suma de dos costes, por un lado, el coste de las medidas de seguridad y, por otro, el de la inseguridad. La verdad es que algo obvio, ¿no? Pero no sé, el caso es que debió recordarme a mis clases de Economía en la Facultad y, como decía el anuncio aquel: "M'a impactao".

¿Cuál es la potencia de esta frase? Bueno, pues que, en el fondo, "reduce" la gestión de las seguridad a un problema matemático: Minimizar el valor de una fórmula como la siguiente, Cs = Cm + Ci donde Cs es el coste total de la seguridad, Cm es el coste de las medidas que establecemos y Ci es el coste de la inseguridad (o de la no-seguridad).

Las dificultades que nos encontramos en el día a día para resolver este "sencillo" problema son diversas:

• Para mi, la principal dificultad es que el coste de la inseguridad es un coste oculto (en muchos casos). Normalmente porque, en realidad, ese coste lo sufren otros (es una externalidad) como pueden ser los casos de software con fallos de seguridad, brechas de seguridad con robo de datos de clientes, empleados... o un proveedor se servicios en la nube con una insuficiente seguridad que ocasiona daños a sus clientes o a los clientes de su cliente...
• Otra dificultad es el componente aleatorio del coste de la inseguridad. Es decir, aunque el software sea inseguro cabe la posibilidad de que no falle o que no se descubra la vulnerabilidad por nadie. Aquí es donde entran en juego los análisis de riesgos que, en teoría, nos deberían ayudar a "estimar" el valor en riesgo (Value at Risk) de forma que el problema de minimización tomara los datos correctos, pero lo de la gestión de la incertidumbre no es nuestro fuerte: subjetividad de las estimaciones, dudosa validez del pasado para predecir el futuro y cisnes negros en general...

Si unimos ambos factores, lo que sucede es que, seguramente, la elección de inversión de seguridad (el único factor sobre el que podemos influir) no será la adecuada, ya que no se habrán tenido en cuenta todos los costes de la inseguridad (bien porque los sufran otros, bien porque todavía no se hayan materializado o porque hayamos errado al calcular el valor en riesgo) provocando, lo que en Economía llamamos, una decisión sub-óptima que minimiza la ecuación utilizada por la organización, pero no la real.

Ya, pero ¿qué podemos hacer? Pues, en mi opinión, la solución pasa por dos aspectos:

1. Incorporar todas las externalidades a la ecuación (por el mecanismos que sea: sanciones, impuestos, etc.)
2. Aprender a gestionar la incertidumbre

¿Qué es difícil? ¡Toma, pues claro! ¿Alguien se pensaba que iba a ser fácil? Eso no tendría ningún mérito...

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

Lectura: "Tribus. Necesitamos que TÚ nos lideres"

Podríamos decir que es el típico libro que nos habla sobre aspectos que te resultan obvios cuando los lees, pero que alguien (tipo Seth Godin) tiene que ponerlos alguna vez negro sobre blanco.

En palabras del propio Seth, una "tribu es cualquier grupo de personas, muchas o pocas, conectadas unas a otras, a un líder y a una idea". Aunque el ámbito de Seth ha sido el marketing, la verdad es que muchos de los aspectos que comenta en esta obra tienen mucho que ver con la estrategia empresarial e incluso la forma de construir equipos de personas.

Después de leerlo, mis ideas sobre el futuro (negro) de las empresas en la era del conocimiento y la mejor posición de las UTP (ya sabéis, Uniones Temporales de Personas) para abordar el futuro salen reforzadas.

Como es habitual en mis entradas sobre lecturas, os adjunto algunos pasajes destacados [os reconozco que he tenido que hacer un gran esfuerzo para no copiar la mitad del libro]:

"Liderar consiste en en crear cambios en los que tú crees".
"Los líderes tienen seguidores. Los directores tienen empleados".

"El objetivo de la compañía es enriquecer al rey (presidente) y mantenerlo en el poder".

"A lo que la gente le tiene miedo no es al fracaso. Es a los reproches. A las críticas".

"Los grandes líderes se centran solo en la tribu. [...] Son generosos. Existen para ayudar a la tribu a encontrar algo, para ayudarla a prosperar".

"... es un error creer que los mejores reclutas de la tribu son los corderos. Los tipos que no hacen más que seguir mecánicamente las instrucciones son decepcionantes".

"... los grandes líderes no pretenden complacer a todo el mundo. Los grandes líderes no rebajan la fuerza de su mensaje para que la tribu sea un poco más grande. [...] una tribu motivada y conectada [...] es mucho más fuerte de lo que sería un grupo más numeroso [...]."

"Acomodarse no es divertido. Es un mal hábito [...]. Los directivos se acomodan constantemente.

"Antes o después las tribus se estancan. [...] Si tu objetivo es hacer posible el cambio [....], si la mayoría está centrada en mantener el status quo [...] lo oportuno es separarse en una nueva tribu [...] Es correcto abandonar la gran tribu, la tribu estancada."

"Ya se trate de un producto, un servicio o una carrera profesional, las fuerzas de la mediocridad se unirán para detenerte."

Como os decía, no descubre América, pero son 123 páginas muy recomendables para animarte a iniciar tú cambio...

Los secretos del desarrollo del liderazgo en las mejores compañías

Este es el título del artículo publicado por Norm Smallwood hace unos días en uno de los blogs de la Harvard Business Review. En dicho artículo se resumen los resultados del estudio que realizan cada 2 años, RBL Group y Hewitt sobre aquellas compañías que han demostrado ir más allá en el desarrollo de nuevos líderes como vía para garantizarse el futuro.

Lo que me ha llamado la atención del estudio es que, según los autores, hay 6 elementos que se repiten en esas compañías que mejor han desarrollado el liderazgo de sus empleados:

1. La gestión del talento se realiza de manera centralizada.
2. La involucración de la Alta Dirección.
3. La selección de los mejores talentos y el desarrollo del resto junto con la exposición de esas personas a experiencias que les permitan desarrollarse.
4. Hacer foco en el desarrollo del liderazgo como un elemento estratégico.
5. Construir líderes y desarrollar una cultura de integración y oportunidad.
6. Crear valor para los grupos de interés internos y externos.

Por mi propia experiencia, creo que resumen en muy pocos elementos los factores clave que marcan la capacidad de una organización de desarrollar verdaderos líderes que garanticen la continuidad de dicha organización en las mejores condiciones.

Además, estos elementos se convierten en esenciales cuando nos movemos en un entorno de pequeñas y medianas empresas (y sobre todo si son familiares).

Vía | Blog The Conversation - Harvard Business Review

Lectura: "El club del liderazgo"

Este libro cayó en mis manos como obsequio del ISMS Forum tras la intervención de uno de sus autores (José Antonio Sáinz) en la V Jornada Internacional.

Lo primero que he de decir es que se lee rápido, muy rápido. Tanto, que he de reconocer que lo he leído durante un reciente viaje a Praga. Además, de forma literal, durante los vuelos de ida y vuelta (unas 6 horas, más o menos).

Está organizado como una sucesión de monólogos (como bien reza el subtítulo: "Monólogos entrañables para dirigir con talento") de diferentes estilos de dirección.
No me ha descubierto nada especialmente nuevo, pero al menos aporta claridad, sencillez y va al grano de los temas.

Me ha gustado [me he sentido identificado] el primero de los monólogos atribuido a Ladislao Roble (La visión) y el epílogo incluido al final del libro.

Adagreed: Un ejemplo de poner los usuarios en el centro

Cuando la semana pasada comentábamos la necesidad de cambiar el enfoque y poner a los usuarios en el centro de las organizaciones me vino a la memoria la presentación que realizó Artur Sales, Presidente de adagreed en la pasada jornada sobre Internet organizada por la Comunidad de Madrid y ANEI el pasado mes de mayo.

En ella, Artur nos explicó la estrategia de adagreed que consiste, básicamente, en hacer que los usuarios sean los protagonistas de la publicidad en lugar del rol pasivo actual. El planteamiento es revolucionario y, desde mi punto de vista, brillante... de hecho, yo ya soy usuario y estoy empezando a experimentar con lo que ofrece el portal.

Creo que este es el tipo de cambios a realizar cuando comentaba lo de "poner a los usuarios en el centro", hace falta un cambio de 180º y partir de un folio en blanco, sin ataduras al modelo previo.

P.D.: Por cierto, os dejo aquí el link a la presentación estilo pecha kucha que utilicé en dicha jornada para hablar sobre el impacto de la seguridad en el uso de internet.

100 caminos al éxito #3: "KISS"

Este fin de semana he comprado una lámpara de esas sobremesa para cuando cenamos en el jardín tener un poco más de visibilidad [la verdad es que esto no tiene la mayor importancia y supongo que os importará poco, pero bueno, es la verdad, así que, tampoco hay porqué ocultarlo]. El hecho es que cuando la saqué, vi que venía acompañada por sus correspondientes instrucciones de uso y al mirarlas, no pude por menos que sufrir un ataque de risa (si no entendéis porqué no tenéis mas que mirar la foto que adjunto de las mismas)... más sencillas, imposible.

Pero inmediatamente me encontré preguntándome: "¿Y para qué quieres más? Si es lo que hay que hacer, ¿no? Poner una bombilla, enchufarla y andando".

Así que, esa sería mi tercera recomendación para los CISO: Keep It Simple Stupid! (K.I.S.S.)

• Si una política puede ser de una página mejor que de tres.
• Si el análisis de riesgos se puede simplificar, mejor.
• Si el procedimiento puede tener tres pasos y una aprobación, mejor que quince pasos y siete aprobaciones.
• ...
  

En fin que la simplicidad tiene una potencia increíble y además ya sabéis que la complejidad es enemiga de la seguridad...

El mundo ha cambiado: Las personas somos el centro

Esta semana algunos medios se han hecho eco de un estudio de Sophos (aquí y aquí) sobre la preocupación que genera en las empresas la utilización de redes sociales (ya sabéis, de esas, 2.0) por parte de sus trabajadores puesto que pueden salir a la luz ciertas informaciones, en principio, confidenciales o, simplemente, dichos trabajadores pueden "meter la pata" y ser políticamente incorrectos afectando negativamente a la imagen de la empresa.

En mi opinión, lo que ocurre es que se produce una incompatibilidad entre estas herramientas (tipo 2.0) con la "empresa" como modelo organizativo (que podríamos denominar como 1.0). Y esta incompatibilidad radica, en mi opinión, en el hecho diferencial de las redes sociales: Las personas somos el centro. Es decir, somos los propios usuarios de las redes las que las hacemos importantes en la medida en la que decidimos usarlas porque nos satisface lo que obtenemos de ellas (subimos vídeos interesantes, subimos presentaciones que nos aportan, compartimos en definitiva con el resto de usuarios).

Por el contrario, las empresas son un modelo "viejo". En las empresas, las personas NO somos el centro. En las empresas, las personas son medios productivos que deben subordinarse a los intereses de la empresa (a su estrategia, a su misión-visión, a sus valores...).

Por tanto, es normal que las empresas "teman" a las redes sociales, es que son incompatibles, porque esta "personalidad jurídica" no puede participar en dichas redes en igualdad de condiciones con las personas... En el fondo, lo que ocurre es que la empresa, como modelo organizativo debe evolucionar a su versión 2.0 donde las personas sean [de verdad] el centro, los protagonistas... cuando esto ocurra, las empresas no tendrán ningún motivo para temer a las redes sociales, sino que aprovecharán todas sus virtudes. Ya sabéis cuál es mi opinión, yo la denomino: Unión Temporal de Personas.

Una lectura interesante en relación a esta importancia de las personas en las organizaciones, es la "Declaración de Consultoría Artesana" [que suscribo plenamente] (via los sueños de la razón) que tendría las siguientes características:

• Trabajamos con las personas
• Nos gusta nuestro trabajo
• Colaboramos de manera abierta
• Somos red

Y que se fundamenta en los siguientes valores:

• Franqueza
• Libertad
• Pragmatismo
• Simplicidad
• Economía
• Re(d)lación

En definitiva, las empresas tienen que evolucionar a su versión 2.0... ¿alguna idea?

Lectura: "El modelo Google. Una revolución del management"

Llevaba tiempo con ganas de leerlo, porque estoy muy interesado en entender cómo puede crecer una empresa sin perder aquello que la hace especial cuando es pequeña o mediana, y me parecía que saber un poco más sobre la experiencia de Google debía resultar bastante útil.

Efectivamente, conocer un poco más de sus orígenes, de su forma de funcionar resulta útil para todos aquellos interesados en crear una empresa o hacer de su empresa algo distinto y, sobre todo, de éxito como es el caso de Google.

No obstante, como nos recuerda el propio autor: "No será copiando a Google palabra por palabra como podremos crear una empresa rentable. Será más bien formulándonos las preguntas que se hicieron sus directivos e inspirándonos, cuando sea posible, en los métodos que ellos desarrollaron y probaron, adaptándolos a nuestra actividad y a nuestras dificultades. El éxito en la gestión, como en toda otra disciplina, requiere trabajo e imaginación".

En cuanto a los mecanismos empleados en Google que me han resultado más llamativos me gustaría destacar los siguientes:

• Seleccionar solo a los mejores
• Dar prioridad a la motivación intrínseca
• Crear equipos de trabajo pequeños (este me ha llamado la atención, sobre todo por la relación con el libro de Koldo Saratxaga)
• Utilizar la tecnología para la coordinación
• 20% del tiempo de los ingenieros para sus proyectos personales
• Tarificación basada en un sistema de subasta (denominado francés y que yo desconocía pero que me ha resultado muy curioso e inteligente)
• Automatizar la relación comercial

En definitiva, una lectura muy recomendable para los que penséis que existen otras maneras de hacer las cosas...

"Emulando" a Tom Peters

Evidentemente no soy Tom Peters (ni de lejos), solo leo periódicamente su blog y he pensado que podría estar bien compartir con todos vosotros mis ideas al estilo de sus "100 Ways to Succeed", sobre lo que debería hacer y tener en cuenta (siempre, en mi humilde opinión) un responsable de seguridad (o CISO, como solemos decir cuando queremos utilizar un termino más fashion).

Seguro que muchas de las cosas que diga serán opinables, así que estaré encantado de comentarlas con todos aquellos que os animeis a dejar algún comentario. De hecho, lo ideal sería que pudiéramos aprovechar las experiencias de tod@s para hacer nuestra vida más llevadera y no caer en los mismos errores en los que ya cayeron otr@s en el pasado.

No sé si llegaremos a los 100 posts en esta serie (Tom va ya por el 175, pero ya hemos quedado en que no soy Tom), me conformo si sirve para que alguno de vosotr@s encontráis util alguna de mis ideas.

Las personas hacemos las empresas

Esta semana he tenido la oportunidad de asistir a un evento en el que estuvimos discutiendo sobre un nuevo modelo organizativo (aunque no es relevante, diré que era sobre la convergencia de seguridad lógica y física).

Después de analizar todas las bondades del modelo y considerando lo poco habitual que es encontrárselo en la actualidad, se me ocurrió preguntar a los ponentes por los frenos que ellos consideraban que impedían su adopción. La respuesta fue tan simple como rotunda (gracias, Manuel): "Las personas" [con la Iglesia hemos topado, amigo Sancho].

Podríamos recurrir a la manida resistencia al cambio, pero después de leer la última novela del Dr. Goldratt, "The Choice" (gracias, Mario) coincido con él en que el comportamiento de las personas depende de sus zonas de confort: dentro de ellas encontramos mentes abiertas y acción, pero fuera, solo vemos dudas y resistencia.

Y si no lo veis, pensar en cuántas veces, en vuestras propias organizaciones os encontráis con comportamientos asociados a esta idea:

• Personas que han cambiado de función pero que no se desenganchan y siguen inmiscuyéndose en la labor de su sucesor.
• Procedimientos que se cambian pero que, a pesar de todo, las personas seguimos haciéndolo como antaño.
• Profesionales comerciales con reticencias a vender los nuevos productos y servicios diseñados por la empresa.
• Profesionales que no aplican las mejoras en los medios de producción o no aplican las nuevas líneas de reporting.
• Y así, un largo etcétera de situaciones cotidianas que están explicadas por el mismo factor, no queremos salir de nuestras zonas de confort.

En definitiva, que somos nosotros los causantes de nuestras propias desdichas por nuestros miedos a lo que escapa de nuestro control / influencia [si es que alguna vez estuvo]. Por eso, la labor de un jefe debe ser explicar detallada y claramente los cambios, las nuevas situaciones de forma que todo el mundo sienta que no tiene nada que temer de las mismas y si, aún así, hay alguna persona que se resiste, desde luego, tomar medidas para que el resto (que sí ha adoptado los cambios) no se vean perjudicados.

Lecturas de verano (yIV)

Y para finalizar con las lecturas del verano, esta magnífica obra sobre la construcción de métricas de seguridad, "Security Metrics" de Andrew Jaquith.

No es una obra que se limite a enumerar métricas de seguridad, sino que "te enseña a pescar": qué debemos buscar, cómo construirlas, qué graficos emplear, qué colores... y también, claro está, algunos ejemplos.

Me han gustado muchas reflexiones, pero os comento las más destacadas (a mi juicio):

• No debemos confundir las métricas de seguridad con el análisis de riesgos (por cierto, mi alter ego acaba de escribir sobre esto y coincide con Andrew sobre el problema que suponen las estimaciones para una buena medida).
• Que las métricas deben ser: consistentes, baratas de obtener, expresadas como un número cardinal o un porcentaje, que deben utilizar al menos una unidad de medida y deben ser específicas del contexto.
• La explicación que hace de la utilización de métricas para el diagnóstico de problemas, apoyándose en el funcionamiento de los experimentos científicos que no tiene desperdicio.
• Evidentemente, el catálogo de métricas para el diagnóstico de problemas y la medición de la seguridad técnica (capítulo 3) y para medir la efectividad del programa de seguridad (capítulo 4) [por cierto utilizando COBIT].
• Y, finalmente, el ejercicio de análisis para conseguir un balanced scorecard para la seguridad de la información que, aunque yo prefiero utilizar TOC, no quita para que sea un buen ejercicio de identificación de métricas relacionadas con el negocio (que es al fin y al cabo lo que perseguimos con este tipo de cuadros de mando).

En definitiva, indispensable para aquellos que nos dedicamos al buen gobierno de la seguridad de la información...

Lecturas de verano (III)

Lo compré siguiendo la recomendación de "mi jefa" que le gustó el título y no se equivocó (como casi siempre). Durante algunos momentos de la lectura, me recordó a ciertos episodios de comienzos de mi carrera profesional. Y es que Ferrazzi me recordó a un "compañero" que empezó conmigo en una de las big four y que demostró entender de que iba el asunto y manejarlo como un auténtico maestro. Evidentemente el llegó a socio mucho antes de que yo me marchara (sin llegar ni siquiera a senior manager). Gracias a Dios, parece que Ferrazzi aprendió algunas lecciones sobre su estilo de liderazgo que creo que mi antiguo "compañero" todavía no ha aprendido (quizás debería recomendarle el libro).

Bueno, yendo al tema, es un libro que trata sobre cómo hacer networking y para los que me conocéis, os podréis imaginar que me ha venido muy bien, porque no es precisamente algo que domine. Todavía tengo pendiente decidir cuánto esfuerzo quiero dedicarle, pero indudablemente su forma de ver el networking me ha ayudado a darle un nuevo enfoque, sobre todo porque he visto que puede ser algo que se desarrolle, no algo innato (aunque evidentemente, hay algunos más predipuestos que otros).

Como en los casos anteriores os adjunto algunas citas:

"... el verdadero networking consiste en encontrar maneras de hacer que otros obtengan éxito".

"Las relaciones se solidifican con la confianza".

"... es más fácil avanzar en la vida cuando las personas que trabajan para ti quieren ayudarte, que cuando desean tu fracaso."

"Si no haces amigos al relacionarte con la gente más vale que te resignes a tratar con gente a la que no le importa demasiado lo que te pueda pasar."

"Ser invisible es un destino mucho peor que fracasar. Eso significa que debes intentar conectar con otros siempre..."

"No dejes que la vanidad se filtre en tu manera de actuar, ni que cree en ti una sensación de merecer tu éxito"

Así que ahora, sólo me queda ponerlo en práctica... Ya os contaré que tal me va...

Lecturas de verano (II)

Voy a continuar con "La nueva gestión del Talento". Es el primer libro que leo de Pilar Jericó. Ya sabéis que la tengo entre mis preferencias, pero no había tenido oportunidad de leerla hasta este verano y no me ha defraudado en absoluto.

Creo que todos aquellos a los que os preocupa cómo ser un buen jefe, deberiáis pasar por esta lectura. No tiene desperdicio.

No quiero destriparos su lectura, pero si incluiros algunas citas que me han gustado en especial:

"Todos tenemos talento, pero no tenemos talento para todo"

"La gente se esfuerza más como resultado de un compromiso emocional, que no racional".

"El compromiso es como un baile en pareja, el resultado de dos, de la capacidad de comprometerse del profesional y de las actuaciones de la empresa."

"El compromiso se crea en la práctica y no con palabras bonitas."

"... ¿qué es preferible, un profesional con menos capacidades, pero con más alto nivel de compromiso, o con altas capacidades, pero con bajo compromiso con la empresa? Si lo importante es el talento de los equipos, la respuesta resulta fácil."

... Y no voy a seguir porque tengo decenas de frases más que podría añadir pero prefiero que os lo leáis. Son solo 200 páginas, que se devoran en un par de días.

Para finalizar, deciros que en mi opinión, los primeros capítulos son introductorios y que, los que más me han aportado, son los capítulos del 4 en adelante. Y sobre todo, el decálogo del gestor del talento que se recoge, a modo de resumen, en el último capítulo.

Gracias, Pilar y... ¡Enhorabuena!