16 febrero 2008

Me voy a Palencia... a GLOBALTECH 08

Así es, AETICAL, la Federación de Empresas de Tecnologías de la Información, Comunicaciones y Electrónica de Castilla y León me ha invitado el próximo día 19 al primer GlobalTech del año que ha organizado en Palencia.

Me han pedido que hable sobre "La gestión de incidentes y los Planes de Continuidad de Negocio" y, dado que el foro serán, sobre todo, empresas "del sector" vamos a intentar cambiar el lenguaje y enfocarnos en el negocio... ya veremos que suerte tenemos...

¡Nos vemos en Palencia!

10 febrero 2008

Nuevo blog de INTECO

Hace unos días me sorprendió gratamente recibir un correo del Observatorio de Seguridad del INTECO por aquello de regalarme el oído al "haber sido identificado como un blog interesante por sus contenidos y dinamismo" (esto último, un poco dudoso, si me seguís habitualmente). Evidentemente, el objetivo era hacerme llegar el último estudio sobre seguridad en las PYMES para que me hiciera eco... hecho.

Estuve investigando un poco y he visto que también se han añadido al mundo blogger con un blog dedicado a la Seguridad de la Información, así que... ¡Bienvenidos y enhorabuena por animaros!

La seguridad en Infraestructuras Críticas

No sé muy bien cómo todavía, el otro día se me ocurrió pensar que esto de las infraestructuras críticas del país no es un tema muy diferente de lo que son las infraestructuras críticas en el ámbito empresarial. Me explico: Es tan sencillo como asimilar el país a una gran organización/empresa. Estamos acostumbrados a realizar estudios de impacto (BIA por sus siglas en inglés - Business Impact Analysis) a la hora de preparar planes de contingencias o planes de continuidad de negocio, sin embargo, ¿estamos haciendo lo mismo para las infraestructuras críticas?

Hacer este símil, por una parte, me ayuda a crearme un esquema mental de cómo se podría afrontar este tema. Por otra parte, me da un miedo terrible pensando en las dificultades que existen normalmente en las empresas para abordar la elaboración de este tipo de planes. Y esta reflexión, se hace aún más evidente cuando pienso en que muchas de esas infraestructuras estarán siendo gestionadas en outsourcing por terceros que:
  • No tendrán en el contrato (en su concepción más amplia) por el que gestionan dichas infraestructuras ninguna cláusula relativa a medidas de seguridad. Además de que muchas de estas infraestructuras se utilizarán para dar servicios en ámbitos liberalizados (transportes, comunicaciones, etc.)
  • Serán empresas con ánimo de lucro en las que las hipotéticas medidas de seguridad estarán consideradas como un gasto operativo que disminuye sus beneficios.
  • Posiblemente, no sepan que están gestionando una infraestructura crítica.
En fin, un panorama un poco "chungo" si nos ponemos a pensar en las posibles consecuencias. Ya que, aunque en el ámbito privado limitamos el análisis a la disponibilidad de los sistemas, en este caso tendríamos que analizar las criticidad desde múltiples perspectivas (se me viene a la mente aquella polémica hace años cuando alguien consideró un partido de fútbol como bien de interés social), incluyendo comunicaciones, transportes, energía, defensa, fabricación y distribución de bienes básicos... en fin, un análisis extremadamente complejo.

Además, si somos coherentes con nosotros mismos y mantenemos que la seguridad debe estar en la agenda del Consejo de Administración, ¿qué hemos de proponer?, ¿que la seguridad esté en la agenda del Consejo de Ministros? Supongo que sí (y si es un tema que lidera el mismísimo Presidente del Gobierno, pues mejor que mejor).

09 febrero 2008

¿Qué les pasa a las empresas cuando crecen?

Esta semana ha sido bastante intensa en cuanto a visitas "comerciales". Eso ha hecho que me plantee los problemas que surgen en las organizaciones según crecen.

Supongo que es ley de vida, todos los sistemas cuando van creciendo, evolucionan. Igual que un niño cuando crece solo se parece al bebé que fue, las empresas cuando crecen también cambian.

Pero debe existir algo en el fondo que no cambie. No es mi intención ponerme místico, pero vendría a ser algo así como el alma, la esencia de esa persona (de esa empresa). Y no puede cambiar porque si cambia, entonces ya no es la misma persona, la misma empresa.

Abundando en el concepto ese de UTP (Unión Temporal de Personas); cuando un grupo de personas se ponen de acuerdo para crear una empresa, entiendo que se debe a que comparten una idea (una misión y una visión), es decir, coinciden en la esencia de lo que acaban de crear.

A partir de ese momento, si todo va bien, la empresa tiene cada vez más trabajo y tiene (?) que crecer, a veces incluso se incorporan nuevas personas que entienden también esa esencia (pero, ¿la entienden exactamente igual?). Unos ayudan a crear estructura para seguir creciendo y otros son accionistas que resuelven problemas típicos de empresa en crecimiento (necesidad de capital) y, ambos, modifican la esencia de la empresa.

Por tanto, esas empresas que nacen de una idea de unos cuántos, va creciendo y según crece, los estímulos externos modifican su personalidad (como si de un adolescente se tratara)... La pregunta que me hago es la misma que se hizo Peter Pan, ¿merece la pena crecer o es preferible continuar siendo un niño forever and ever?

La verdad es que no tengo respuesta... Pero mi preferencia (lo siento soy Cáncer y por tanto un soñador nato), sería continuar siendo un niño. Por otra parte, supongo que esto no es factible en el mundo en que vivimos, ¿o sí?

08 febrero 2008

Disculpas y novedades

La verdad es que no tengo disculpa... más de un mes sin escribir... en cualquier caso, mi más sinceras disculpas para los que me leéis de vez en cuando.

Después de disculparme por no escribir, comentaros alguna novedad. Aunque no escribí durante este tiempo, no significa que no estuviera haciendo nada, ejem... Una de las cosas que he decidido es utilizar una dirección un poco más significativa, así que me decidí por antonio-ramos.es y estoy en proceso de mudanza. Espero que me sigáis encontrando fácilmente porque este paréntesis no es que haya abandonado...

03 enero 2008

La seguridad y la percepción de control

Uno de los principios fundamentales sobre los que se basa el control interno en cualquier organización es el hecho de que la percepción de control es uno de los elementos más eficaces para evitar conductas, actos no deseados. Basta con informar a los usuarios de nuestros sistemas de información de que vamos a hacer una clasificación con el Top10 de consumidores de ancho de banda para que todo el mundo se retraiga en las descargas desde Internet.

Ahora bien, si el control que utilizamos está mal diseñado y no permite realizar adecuadamente esa clasificación o existen resquicios por los que escaparse, estamos perdidos: La consecuencia será justo la contraria. ¿A qué se debe esto? Básicamente, al componente psicológico que tiene la evaluación del riesgo (y por ende, la seguridad). Por eso, no puedo estar más de acuerdo con la tribuna que ha escrito Santiago Grisolía, presidente ejecutivo de los Premios Rey Jaime I, sobre los controles de seguridad en los aeropuertos.

Y es que, los controles de seguridad de los aeropuertos están perfectamente mal diseñados y son una muestra de lo que nunca haría un experto en seguridad:
Establecer controles ineficaces (porque no consiguen lo que pretenden) e ineficientes (por los costes que generan) que dificultan a los usuarios y entorpecen la prestación del servicio. Pero sobre todo, lo peor, es que generan la sensación contraria a la deseada: Se supone que esos controles persiguen transmitir a los usuarios una sensación de seguridad pero lo que consiguen es justo lo contrario; como todos sabemos de los grandes fallos que presentan, a los que volamos habitualmente solo nos queda rezar (o lo que sea) para que nuestro avión no sea uno de los "elegidos" porque, desde luego, como tengamos que depositar nuestra confianza en los controles de seguridad de los aeropuertos, lo llevamos claro (que diría un castizo).

Supongo que lo trágico de los incidentes que ocasionaron todas estas medidas justifica la situación, pero creo que, pasado cierto tiempo, se impone una reflexión entre los organismos responsables de estas medidas que permitan contribuir de mejor manera al objetivo que se persigue de dotar de una mayor nivel de seguridad a los viajes en avión.

La definición y el diseño de controles de seguridad (creo que todos estaremos de acuerdo) no puede ser tal que impida o dificulte que una organización cumpla sus objetivos (su meta). Y estos controles de seguridad, creánme, no ayudan a fomentar los vuelos en avión, por ejemplo, frente a la competencia de la Alta Velocidad... solo una reflexión para finalizar: ¿Por qué los controles de acceso son tan diferentes en los aeropuertos y en las estaciones de tren cuando ambos medios de transporte han sufrido (al menos en nuestro país) el terrorismo de igual manera?

02 enero 2008

El canon digital o el control de acceso a la información

En este último mes ha sido sin duda uno de los asuntos estrella (y no digo que no sea para tanto). No obstante, en mi opinión, se trata más de un tema de forma que de fondo, ya que las mayores críticas al planteamiento actual del canon se deben, no tanto a su existencia, sino a que afecte por igual a todos los soportes con independencia de su utilización final.

Para mi, como consultor, la propiedad intelectual es mi único activo, ya que no me dedico a vender mis horas (en cuyo caso, el activo sería mi cuerpo - no quiero ni siquiera reflexionar sobre este asunto), sino mi conocimiento, mi forma de resolver asuntos complejos de una forma creativa, eficiente y eficaz (gracias Mario). No digo que en otros ámbitos la propiedad intelectual no sea importante, pero en esta profesión habría que proteger hasta las ofertas de servicios profesionales: ¿Cuántas veces nos hemos encontrado con que nuestras ofertas caen en manos de la competencia que las plagian vilmente y las ponen en el mercado como suyas? En una profesión en la que vendemos, básicamente, intangibles, el hecho de que el papel lo soporte todo y no haya forma de proteger esa metodología, ese know-how hace mucho daño (pero bueno, eso da para otro post sobre el modelo de consultoría tradicional).

De lo que yo quería hablar hoy es que, en estos días de "relax" navideño me he encontrado pensado en la gran similitud que tiene en el fondo el 'canon digital' y el 'control de acceso a la información'. Y es que creo que en el fondo, se trata del mismo asunto: Restringir el acceso a determinada información (esté en el soporte que esté y sea del tipo que sea) a determinados usuarios. En el caso del canon, queremos que sólo aquellas personas que hayan adquirido los correspondientes derechos puedan visualizar, escuchar, leer... nuestra obra. En el caso del control de acceso en los sistemas de información queremos que accedan a la información aquellos usuarios que 'necesiten saber' (ya sabéis, el famoso 'need to know') salvando la problemática de distintos entornos y distintos soportes (USB, PDAs, PCs...).

Sea por el motivo que sea, estamos ante una situación que, evidentemente, no está resuelta desde el punto de vista tecnológico, puesto que nos vemos obligados a establecer un canon tipo café para todos y, porque el control de acceso a la información es UNO de los más importantes retos, por no decir, EL reto para el futuro cercano.

Y es que, Internet también está evolucionando. Ha pasado de ser un mero canal de comunicación a definir nuevas formas en las que las personas interactúan (la participación, la web 2.0, etc, etc.) Me gusta mucho la forma en la que lo definen en el JERICHO FORUM (gracias, Gianluca por la referencia): la palabra que ellos utilizan es 'desperimetrización' (en inglés, de-perimeterization) y lo que pretenden expresar es cómo la evolución de Internet hacia un mundo mucho más global, sin fronteras cerradas y mucho más interconectado influye en la forma en la que la industria de la seguridad debe cambiar las soluciones que propone. Ya es patente la preocupación por la privacidad en este entorno, pero existen otros ejemplos patentes, como es la evolución del fraude o del ciber-terrorismo, pero la protección de la información es otro ejemplo claro.

No me queda más que desear mucha suerte a esta iniciativa y seguirla de cerca...

01 diciembre 2007

La importancia de leer este blog

Como todos los que me leéis, habréis observado, considero que el panorama laboral ya no es el que era y que ha pasado a ser algo así como una UTP (Unión Temporal de Personas) con un objetivo común.

Pues bien, la semana pasada me llevé una gran sorpresa pues una persona a la que estaba haciendo una entrevista para que se incorporara al proyecto en el que estoy implicado en S21sec, me comentó que ¡¡¡¡¡¡¡ leía mi blog !!!!!!! Os podéis imaginar mi sorpresa: "Pero, si hay alguien que se lo lee (aparte de los que presiono para que lo hagan ;-)" En fin, toda una revelación...

Evidentemente a Z.V. le hice una oferta y va a empezar a trabajar con nosotros; se incorpora al proyecto... No puedo más que darte la enhorabuena y las gracias...

P.D.: ¿Querrá eso decir que todos los que leen este blog pueden incorporarse al proyecto en el que estoy yo? No lo sé, sería cuestión de probarlo aquí o aquí.

Anticipo sobre la visita de Bruce Schneier a España

Tuvimos la suerte hace unos días de poder escuchar al gran Bruce con motivo de su intervención en las II Jornada Internacional del ISMS Forum Spain. Estoy preparando un post que resuma correctamente lo que nos contó, algunas cosas nuevas otras más habituales en su repertorio, pero, como siempre, muy, muy interesante.

En cualquier caso, hay 2 reflexiones rápidas que me surgen en relación a su intervención:
  1. La marca 'Bruce Schneier', en lo relativo a la seguridad de la información, está por encima tanto de la que era su propia empresa (Counterpane) como de la que lo es ahora (BT).
  2. Bruce también hace gala de un buen nivel de comprensión de la importancia de "vender" lo que pasa por su cabeza: Hay que esperar cerca de un año para poder contar con él, cada charla en la que interviene se paga a precio de oro, nunca (NUNCA) acompaña sus intervenciones con ningún tipo de presentación (solo una notas impresas en un hoja de papel que guarda con prudencia) y "reutiliza" siempre que puede sus ideas para sacarles un mayor beneficio... Todo esto acompañado de unas buenas dotes de comunicador, hacen que (sin entrar a valorar el contenido) Bruce domine como pocos el arte de "vender" su conocimiento.

25 noviembre 2007

Vender el conocimiento

Todos los que nos dedicamos a esto de la Consultoría sabemos lo difícil que resulta romper el hábito existente de la facturación por horas. Como si lo que estuviera contratando el cliente fuera mi tiempo... Si fuera así, dejaría pasar el tiempo como dicen por el norte: "sin más".

En un post de hace algún tiempo, Mario abogaba por "sacar el conocimiento de la cabeza y ponerlo en algún otro soporte" (o algo así) y esto ha sido lo que se me ha venido a la cabeza al leer la noticia que publica Cinco Días relativa a las ganancias (233.000 euros) de la sociedad de la familia Aznar que se dedica a la "explotación de los derechos de propiedad intelectual en todas sus manifestaciones". Supongo que no es noticia ni por la cuantía, ni por el tipo de sociedad, sino simplemente porque se trata de Aznar...

A mi, al margen de todas las connotaciones existentes, me ha parecido inteligente... como dicen por ahí, "sin más", hay que aprovechar la marca personal...

Buenas noticias para "mi" libro

Mira por dónde, se han juntado en poco tiempo dos aspectos a destacar sobre el libro en el que participé relativo al Gobierno de TI (aquí).

Por una parte, mi empresa se ha hecho eco de su existencia y, por otra, comentado con Fernando la semana pasada durante la Asamblea anual de ASIA, me dice que, es muy probable que el libro aparezca dentro del book store de ISACA.

Vamos... todo un éxito...

21 noviembre 2007

Y reflexiones sobre la Gestión de Riesgos

Y para acabar la serie sobre reflexiones en eventos (bueno, es mentira, me queda otra todavía, pero por hoy ya hay bastante...), dos muy breves sobre el organizado por ENISA conjuntamente con INTECO, los días 8 y 9 de noviembre en Barcelona sobre la gestión de riesgos y su aportación al negocio.

Lo primero que he de decir es que, aunque casi todos los asistentes fuero de primer nivel y contaron cosas interesantes, no se centraron en lo que yo creo que era el objetivo del evento: Reflexionar sobre como enlazar el análisis de riesgos con el negocio; una lástima, porque oportunidades así no son fáciles de conseguir.

Y lo segundo, las dos ideas que saqué de las jornadas:
  1. De la reflexión de la responsable de sistemas de Alphamed, como PYME austriaca que se está beneficiando de un programa de ayuda en seguridad que existe en dicho país, en el que recalcó sus sensaciones en relación a la seguridad.
    Básicamente, las PYMEs están desorientadas y desvalidas: No saben lo que necesitan y necesitan a alguien que les aconseje lo que realmente necesitan y que no les quiera "vender" nada... Eso me hizo darme cuenta que deben contar con un consultor a un precio que les resulte razonable (habrá que investigar en esta línea).
  2. "Act diligently as a prudent businessman because every company is liable for negligence". Es decir que la seguridad es un acto de responsabilidad corporativa... y si actúas de manera negligente posiblemente acabarás sufriendo las consecuencias. Supongo que, en la medida en la que el coste de la no-seguridad sea más evidente y más probable, las decisiones en este ámbito se volverán más lógicas.

Reflexiones en el Information Security Forum

El pasado día 7 de noviembre asistí al Executive Briefing que el Information Security Forum organizó en Madrid y que alojó amablemente el BBVA como uno de sus 5 miembros españoles (junto con Caja Madrid, la Caixa, Repsol YPF y Telefónica).

Como en casi todo este tipo de eventos, había más proveedores que clientes finales (pobrecitos aquellos que se piensan que en este tipo de "saraos" se puede hacer "labor comercial") y algún que otro medio. Esto es lo de menos. Lo importante fue, por una parte, la buena sensación que me dejó el ISF, como asociación y, por otra, dos reflexiones que me surgieron escuchando a los ponentes y que me gustaría compartir:
  1. En primer lugar, la importancia que dieron a todo lo relacionado con la estrategia (de hecho, fue la parte que me resultó más interesante). Si alguna vez me habéis leído, sabréis que es una de las áreas en las que vengo trabajando más intensamente porque creo que es un gran déficit actualmente y que los Planes Directores de Seguridad no están abordando correctamente.
    De hecho, se comentó que "solo un 25% de los miembros del ISF tienen una estrategia de seguridad definida" y eso que, se supone, que son organizaciones pioneras que están interesadas y preocupadas por la seguridad, así que imaginemos lo que puede ser en el resto. Este dato, solo hace que animarme en la línea de trabajo iniciada con Mario para alinear la seguridad con la estrategia de negocio.
    Me gustó (aunque me parece un poco simplista) la definición de la estrategia de seguridad considerando tres tareas principales: dar soporte al negocio, defenderse de las amenazas externas y "raise the profile". En fin, ya le daremos vueltas...
  2. El otro aspecto deriva de un comentario que suscitó cierta polémica en relación al cumplimiento con leyes y otras disposiciones. Básicamente lo que se vino a decir por un asistente fue que las leyes se equivocaban al decirnos cómo teníamos que hacer las cosas en lugar de qué teníamos que conseguir. La verdad es que, filosoficamente, podría estar de acuerdo pero, ¿cómo se define de manera concreta e inequívoca lo que tenemos que conseguir? No hace falta que os recuerde aquello de que los objetivos han de ser S-M-A-R-T.
    La verdad se me hace muy complicado definir la seguridad de manera "elegante".

17 noviembre 2007

A vueltas con el estándar PCI-DSS

No sé por qué, últimamente me ha dado por darle vueltas al tema de PCI-DSS (ya sabéis que he escrito ya sobre este tema aquí y también aquí)... Eso ha provocado 2 posts en el blog de mi empresa. Os incluyo el enlace por si os interesa el tema:
  • El primero para acabar de aclarar el tema de los primeros en homologarse QSA y ASV.
  • El segundo haciendo una reflexión sobre las dificultades que están experimentando las marcas para que se cumpla con el estándar es España y cómo enfocar el cumplimiento desde la perspectiva de un comercio.
¡Feliz lectura!

14 noviembre 2007

El terrorismo e Internet

Ya comentamos hace unos días que no se puede culpar al intermediario, y es obvio que Internet no es más que un canal que sirve para dar rienda suelta al carácter de los usuarios.

No obstante, una vez dicho ésto, también es obvio el hecho de que Internet es el canal de comunicación más potente, barato y universal que hayamos conocido y eso es un potencial de uso increíble para lo bueno y para lo malo. Eso da lugar a iniciativas, como la del Comisario de Justicia de la Unión Europea, Franco Frattini, encaminada a eliminar todo lo que tenga que ver con terrorismo en Internet.

Aunque sea una iniciativa loable, va a ser difícil de lograr mientras no se consiga una posibilidad de supervisión, regulación de delitos tan potente y universal como el propio canal además de solventar la problemática del anonimato (en otro momento podemos hablar también de las iniciativas en este sentido). De todas formas, lo más peligroso suele estar oculto (os recomiendo este artículo de mi amigo David).

Rosa tiene un blog

Sí, Rosa tiene un blog y no es mi madre (que también se llama Rosa)...

La verdad es que me da un poco de envidia. Primero porque ha conseguido 115 comentarios en su primer post y ni se sabe cuantos lectores, casi igual que yo...

Y segundo porque ha reunido a unos cuantos de "maestros blogueros" para que le den consejo y le ayuden con esta aventura...

En fin, espero que le resulte más fácil que a mi mantener la continuidad...

24 octubre 2007

El tráfico y TOC

En teoría no está bien, pero es la verdad: No voy a decir nada nuevo, de este tema ya habló Mario hace algún tiempo, de hecho solo es una curiosidad.

Paso habitualmente por la A5 (ya he comentado que vivo en Móstoles) y el otro día me he dado cuenta de que han bajado el límite de velocidad de 80kms/h a 70kms/h en la zona de Batán. Pensando en la justificación de este cambio, se me vino a la cabeza el comentario de Mario y las posibilidades que nos proporciona TOC para gestionar el tráfico como flujo que es. En mi super-razonamiento, pensé: "Claro, como el límite de velocidad en el túnel que lleva a la M-30 es de 70kms/h han reducido el límite de velocidad en los kilómetros previos para evitar las retenciones que se producen en ese punto derivado del hecho de que hay que pasar de 80 a 70kms/h".

¡¡¡Seré iluso!!! ¡¡¡Seré ignorante!!! En realidad, lo que ocurre es que los vecinos de la zona (Batán) se han quejado del exceso de ruido en esos kilómetros y han pedido al Ayuntamiento que aplique los límites de velocidad correspondientes a una vía urbana y reduzcan dicho límite de velocidad.

De todas formas, ha venido bien: Espero que ahora no se produzcan tantas retenciones en ese punto puesto que el flujo de tráfico no tiene que reducirse; bueno, en realidad se producirá unos kilómetros más allá, en concreto a la altura del Hipercor de Alcorcón que es dónde ahora empieza la nueva limitación...

La culpa no es del mensajero (aka. Internet no es fuente de todo mal)

Acabo de leer que el Jefe del Grupo de Delitos Telemáticos de la Guardia Civil (con el que he tenido oportunidad de charlar en otros encuentros) ha hecho unas declaraciones en las que viene a decir que la pornografía infantil pervive por culpa de Internet.

Lo primero que he de decir es que estoy seguro de que habrá dicho muchas cosas más, y entre otras (como bien aclara el texto del artículo), ha dicho que es El Canal (con mayúsculas) para cometer este delito. ¿Por qué? Bueno, no se trata de comentar ahora todo lo que permite Internet, pero lo que está claro en mi opinión, es que Internet no es más que un medio, una herramienta, y que si hay que culpar a alguien es a los pedófilos, a nadie más.

Culpar a Internet de la pornografía infantil es como culpar a los vehículos de las muertes en carretera, lo siento pero no estoy de acuerdo. Sería una reflexión demasiado simplista y eso que, si no existieran vehículos no se producirían esas muertes (?)...

En cualquier caso, es preocupante que sigamos después de tanto tiempo dando tanta importancia a las consecuencias de la existencia de Internet... Internet lo único que hace es facilitar las comunicaciones y, en ese sentido, favorece tanto las que nos agradan como las que nos disgustan. Por favor, ¿por qué nadie se pregunta cuál es el fraude con tarjetas de crédito en el mundo "offline"? Si tuviéramos la cifra, estaríamos escandalizados...

Pero supongo que lo importante es "vender" noticias y crear titulares atractivos... en fin... que le vamos a hacer.

Por cierto, mi enhorabuena al mencionado Grupo de Delitos Telemáticos por su labor diaria en la persecución del crimen telemático...

21 agosto 2007

El coste de la no-seguridad

Como sabéis, comparto la idea de Schenier de que la seguridad es una inversión que se valora con las mismas reglas que el resto de inversiones en el mundo empresarial y que, por tanto, para "merecer la pena", ha de contar con una buena tasa de retorno. En definitiva, que o la inseguridad (no-seguridad) tiene coste o las inversiones en seguridad nunca merecerán la pena para las organizaciones.


Para mí, es evidente que la no-seguridad tiene un precio que es muy parecido al slogan de MasterCard y que vendría a decir: "Mantener un firewall cuesta 1.000 euros al mes, salir en la prensa por un incidente de seguridad no tiene precio", y sino que se lo preguten a los responsables de Verus Inc., una empresa americana que daba soporte TIC a hospitales y que se ha visto obligada a cerrar después de un error que provocó que se hicieran públicos los datos de 5 hospitales durante los meses de abril y mayo.
De lo que no estoy tan seguro es de si los responsables de las organizaciones son conscientes de esta circunstancia o si, siendo conscientes, lo consideran un hecho tan poco probable que hace mejor destinar los fondos a otros menesteres (espero que nunca a su retribución, sino a inversiones para garantizar la consecución de mejores resultados en el presente y en el futuro o sino, para retribuir a sus accionistas y trabajadores...)
Por cierto, a TJX (lo recordaréis, les robaron datos de 45,7 millones de titulares de tarjetas) les ha costado por ahora, 118 millones de dólares, reduciendo su beneficio en el segundo trimestre de 2007 en un 57%.

Estilos de dirección. ¿Cómo ser un buen jefe?

Leyendo la prensa de estos días, me ha llamado la atención un par de artículos aparecidos en Cinco Días que siguen a vueltas con una de las grandes preocupaciones de estos tiempos (y que lo será aún mayor en el futuro): Las relaciones laborales en la empresa y las dificultades de contratación.
El segundo tema ya lo comentamos unos días atrás, pero sigue siendo noticia, ahora relacionado con otros sectores tradicionales ("panaderos, pasteleros, empleadas de hogar, camareros o pastores" según relaciona el propio diario) y siempre, debido a lo mismo... esos sectores no son atractivos para el empleo y dada la escasez de oferta, buscan otros sectores más atractivos (por lo menos, a priori).
No obstante, no es solo un tema de sectores, también tiene que ver con la forma de trrabajar en la empresa en la que nos ofrecen el puesto y, como no, el estilo de dirección del jefe. Como comentaba en la entrada anterior relativa a las dificultades de contratación, se valoran el buen ambiente laboral, la responsabilidad, la autonomía y, claro está, también el dinero. Pero, esto no es más que el reflejo del estilo de dirección del jefe. Según el artículo relativo a la encuesta de Cátenon, los españoles valoramos que nuestro jefe sea un buen líder, que sea cercano, sepa comunicarse y fomente el trabajo en equipo, y además, debe ser capaz de delegar y ser honrado y humilde.
Como muy bien se resume, las actitudes profesionales pasan a un segundo plano por detrás de las personales ("que sea cercano").
La verdad es que, leyendo esto, si reflexionamos sobre lo que se busca, aquellos que somos jefes o medio-jefes tenemos un reto por delante que impresiona, pues no solo debemos responder profesional, sino también personalmente. Quizás esto podría causar cierto rechazo en algunos que podrían pensar en que solo se debería valorar lo profesional, pero es a lo que me refiero cuando digo que el paradigma ha cambiado: Antés podría ser cierto que lo profesional era lo importante, pero hoy en día, sobre todo cuando prima el trabajo en equipo y la retención del talento, el jefe ha de ser un ejemplo para el equipo y sus valores han de ser los apreciados por sus miembros.
Recapacitando sobre esto, he recordado algo que leí hace algún tiempo sobre una idea radical de Julen: Sin gerencia. Lo cierto es que no tengo ni idea de cómo sería, pero tampoco se me antoja tan descabellada... por lo menos, otra organización ha de ser posible (ver "coalición de consultores" o Agile Consulting, las entradas de Mario).