En un país en el que todavía hacen falta planes de concienciación y campañas de promoción para informatizar a las PYMES, y la implantación de las medidas de seguridad establecidas por la LOPD dista mucho aún de haber sido llevada a cabo en el 100%, ¿qué puede impulsar a una organización a implantar un Sistema de Gestión de Seguridad de la Información?
Las PYMES tienen que enfrentarse como siempre a las limitaciones de presupuesto, y a la falta de conocimientos y de concienciación a la hora de afrontar nuevos retos. El hecho de que la seguridad de la información tenga un importante componente tecnológico agrava estas limitaciones, ya que se percibe como un área extraña que se deja en manos de expertos, habitualmente ajenos y que no conocen el negocio y las implicaciones que tiene su trabajo en dicho negocio.
La seguridad de la información sin embargo, es un tema directamente relacionado con la supervivencia del negocio y con el aseguramiento de los ingresos. Para un banco sería dramático que le fallaran sus sistemas informáticos por unos minutos, pero tienen la capacidad de evitarlo, y en su caso, de solucionarlo. Para una PYME, un simple fallo de energía de unas horas puede ocasionar un trastorno importante, en muchos casos con repercusiones económicas, ya que se podría parar la actividad y se perderían encargos o ventas. En caso de desastre (incendio o robo, no hace falta pensar en ataques terroristas o huracanes) puede significar incluso el cierre a corto plazo del negocio.
Puesto que, a pesar de nuestro retraso tecnológico, hoy el ordenador ya ha sustituido a la máquina de escribir y el correo electrónico se impone al tradicional, los problemas asociados a estos avances también han llegado. Nuevas tecnologías (informática móvil, redes inalámbricas, memorias USB, etc.) van incorporándose progresivamente a los negocios debido a sus evidentes ventajas, pero llevan aparejados riesgos que no se consideran. Si además la empresa tiene empleados, su negocio corre un riesgo aún mayor.
Como se mencionaba en la Introducción, al menos el 77 % de las empresas ha tenido algún incidente de seguridad relevante. Es decir, que el riesgo existe, y no es en absoluto despreciable. Además hay que tener en cuenta que, a pesar de que los ataques a sistemas informáticos reciben en muchos casos una tremenda publicidad, existe un considerable porcentaje de incidentes con origen interno, es decir, ocasionados por algún empleado y que, a pesar de no contar habitualmente con una gran difusión, son potencialmente mas dañinos por el conocimiento de primera mano que tienen los que los generan. Es decir, pueden entrar en los sistemas con facilidad, saben dónde está la información más útil o que puede ser utilizada para hacer daño a la organización, o simplemente sacan información que en caso de pérdida o filtración puede ocasionar problemas.
Los incidentes, desde una simple infección por virus a una venta de información interna a la competencia o a un desastre como el incendio del Windsor, tienen un coste económico directo que hay que valorar: tiempos de parada, activos dañados o perdidos, cese del lucro entrante, sanciones administrativas o contractuales, etc. Los costes indirectos pueden ser incluso más graves: pérdidas de clientes a medio plazo, pérdida de reputación, etc.El cumplimiento de la legislación (principalmente la LOPD) está propagando la idea de que la información debe ser protegida so pena de incurrir en faltas que se pagan con multas bastante elevadas. Ya que el principio es el mismo, detectar qué es importante (para la LOPD los datos personales, para la organización el fichero de clientes, por ejemplo), se podría aprovechar esta preocupación para extender la protección al resto de los activos de información de la empresa.
Siempre existe el, por supuesto justificado, temor de los costes de afrontar este tipo de proyectos. Hay que tener muy presente que ninguna ley ni norma va a exigir un nivel de seguridad por encima de los que las necesidades y los recursos disponibles en la organización requiera, porque lógicamente, las necesidades de seguridad (y el presupuesto, no lo vamos a negar) de la asesoría que lleva la contabilidad no son comparables a las de la Agencia Espacial Europea, por ejemplo.
Contar con un sistema de gestión permite ordenar las actividades de la organización y dirigirlas hacia el objetivo que la empresa busca. Esto a veces se ve como un impedimento para el desarrollo de las actividades de la organización, como un obstáculo que impide reaccionar con la rapidez que requieren los tiempos y las particularidades del sector económico en el que se encuentre la organización. Sin embargo, lo que se pretende con un sistema de gestión es precisamente evitar que tengamos que reaccionar ante hechos que podrían haber sido previstos y gestionados adecuadamente antes de que llegaran a ser un problema. Evitar problemas es una manera muy barata de ahorrar costes. Como tantos otros aspectos de la gestión de cualquier organización, la clave está en adoptar una solución proporcionada a las necesidades del negocio.
