Edición impresa
¡Manténgase al día!
Reciba las últimas novedades e información directamente en su correo.
Cuando hablamos de ciberseguridad, la mayoría piensa de inmediato en antivirus o software sofisticado. Y no hay duda de que esas herramientas importan y son de gran ayuda, sin embargo, no podemos olvidar que la tecnología puede fallar, y en estos casos, un buen control interno puede ser nuestro aliado. La primera línea de defensa no está en un servidor o antivirus, está en la forma en que una compañía trabaja todos los días.
Un software no puede evitar que alguien comparta una contraseña o que un colaborador abra un archivo desconocido. Ahí es donde el control interno empieza a operar con políticas de acceso definidas, responsabilidades claramente establecidas e informadas, revisiones periódicas y procedimientos documentados.
El marco COSO (Committee of Sponsoring Organizations of the Treadway Commission), explica que el control no es un evento aislado, por el contrario, es un proceso continuo que involucra a toda la compañía.
Cuando los procesos están claros y bien establecidos, se reduce el margen de error humano, que sigue siendo una de las principales y más comunes puertas de entrada para este tipo de ataques. Una compañía puede tener el mejor sistema de seguridad del mercado, pero sin una cultura de responsabilidad compartida, ese sistema tarde o temprano pierde efecto.
ISACA, en varias de sus publicaciones sobre gobierno de TI, insiste en que la seguridad efectiva depende de que cada persona entienda su rol dentro de la estructura de control y actúe de acuerdo con ello. Esto quiere decir que en todos los niveles de la compañía deben saber qué hacer y qué no hacer, frente a un correo sospechoso o una solicitud inusual de información.
El punto más importante de todo esto es que de nada sirve invertir en tecnología avanzada o usar lo mejor del mercado, si el personal no está capacitado para reconocer los riesgos.
Los ataques de ingeniería social, como el phishing, no buscan vulnerar un sistema, buscan vulnerar a la persona usuaria. Por esto, la capacitación constante, las simulaciones de ataques y la comunicación transparente sobre incidentes son inversiones tan importantes como cualquier software.
Un equipo informado actúa como una señal de alerta temprana que identifica situaciones inusuales antes de que se conviertan en una crisis.
La tecnología es una herramienta fundamental, pero no suficiente. El control interno con procesos definidos, cultura organizacional sólida y personal capacitado es lo que realmente sostiene la seguridad de una compañía en el día a día. No podemos olvidar que hoy la información es un activo valioso para cualquier compañía y es responsabilidad de todos los que forman parte protegerla. Esto no depende únicamente de la tecnología, sino de la conciencia, el compromiso y la participación de cada persona en la defensa frente a los ciberataques.
