Muchos consejos tratan la ciberseguridad como un asunto puramente de sistemas, revisado solo cuando un incidente obliga a la conversación.
El riesgo que nadie decidió formalmente
Cuando ocurre un incidente de seguridad, casi siempre se descubre que el riesgo que lo permitió existía desde antes, solo que nadie con autoridad para aceptarlo lo evaluó a tiempo.
Por qué es un tema de gobierno, no solo de sistemas
Las consecuencias de un incidente — legales, reputacionales, financieras — las enfrenta la empresa completa, no el área de sistemas; por eso el nivel de riesgo aceptable debería ser una decisión del comité directivo, informada por los especialistas técnicos.
Qué cambia cuando la alta dirección se involucra
No se trata de que el comité entienda de firewalls. Se trata de que exija y entienda un reporte de riesgo en términos de negocio, con la misma seriedad con la que revisa cualquier otro riesgo financiero u operativo.
Traducir el riesgo técnico a un lenguaje que la alta dirección pueda decidir con criterio es parte central de nuestros servicios de IT.