Desafíos raramente discutidos en la implantación de políticas de seguridad

Es simplemente genial el último post de Javier Cao titulado "Reflexiones sobre tendencias del 2011 y pronósticos del 2012" en el cual expone e interpreta los datos recopilados por Paolo Passeri.

La seguridad de la información es un campo relativamente nuevo y por ello, no es de extrañar que cueste aceptar -sobre todo en algunos entornos legacy- el papel de un responsable de seguridad y su valor en una empresa. Mi pronóstico para el 2012 es que seguiremos oyendo como los demás tildán de 'paranóicos' a todo aquel que trabaje en Seguridad, los seguirán viendo como individuos que se dedican a sacar las verguenzas y mirar debajo de las alfombras, y todavía costará relacionar esta disciplina con el core del negocio.

La seguridad es un área que requiere el análisis de una cantidad inmensa de fuentes de datos. Para asegurar algo, todos los aspectos y elementos del entorno deben ser revisados, evaluados y categorizados. La cantidad de información que compone cualquier análisis de seguridad empieza a crecer exponencialmente con las múltiples permutaciones derivadas de cada instancia identificada del riesgo potencial. Las principales piezas de la seguridad son: las personas, procesos, tecnología e instalaciones, y es todo un desafío proporcionar un marco razonable de seguridad en las organizaciones cuando el personal siga viendo a los de seguridad como enemigos y no como compañeros con un mismo objetivo; proteger los sistemas de información.

Ante ello, recomendaría a cualquier profesional de seguridad la lectura del libro: "Securing organizations impaired by employee politics apathy, and intolerant perspectives". Una lectura muy interesante para conocer los verdaderos desafíos en la implantación de un marco de seguridad en una organización; apatía, miopía, primacía e infancia.  

Este libro puede ser una revelación para algunos ya que trata conceptos que raramente son discutidos en este área, pero que son sin duda determinantes. Su lectura podrá hacer cambiar de una perspectiva de potencial víctima a un estado de conocimiento de las verdaderas causas que subyacen en la implantación de políticas de seguridad y poder comprender, y quizás influenciar, el entorno para el propósito común.