Cómo el pensamiento sistémico crea una seguridad integrada

Es una pena que el término «pensamiento sistémico» resulte un poco aburrido, ¿no? Hemos adoptado un enfoque integrado porque es una expresión bastante ingeniosa y concisa que describe algo que los seres humanos han intentado hacer durante milenios: dar sentido al mundo observando sus partes y sus relaciones, observando cómo se interconectan las cosas y, lo que es más importante, mejorando su funcionamiento. A menudo lo hacemos sin siquiera darnos cuenta, pero cuando se realiza de forma consciente y meditada, resulta algo realmente muy poderoso.

Un ejemplo de ello es el mundo de Dinesh Dilip Panjwani. Es nuestro responsable de vulnerabilidades en PSIRT (equipo de respuesta a incidentes de seguridad de los productos de Canon EMEA) y, tal como su nombre indica, desempeña un papel clave en garantizar que nuestros productos sean seguros. «Se nos informa de cualquier problema y, a continuación, evaluamos si es real. Si lo es, lo solucionamos, emitimos los parches o el firmware necesarios y divulgamos la información a nuestros clientes, junto con la publicación de la CVE (Common Vulnerabilities and Exposures)», explica. A primera vista, podría parecer que Dinesh ocupa un lugar acotado dentro de Canon, que trabaja en un área muy específica del negocio en un conjunto de circunstancias totalmente especializadas, pero no puede estar más lejos de la realidad. Él y sus colegas forman parte de un ecosistema mucho más amplio, dentro de una dinámica de equipo que no se ve tan a menudo como debería, pero que es muy admirada en el mundo de la seguridad de la información.

Con frecuencia, verás que los mundos de la seguridad de los productos y la seguridad corporativa no coinciden. Hay quienes opinan que uno está orientado hacia el exterior (trabaja con los productos adquiridos por los clientes y les presta asistencia) y el otro está orientado hacia el interior (garantiza la seguridad de los sistemas que utiliza una organización para llevar a cabo su trabajo diario). Pero nuestro enfoque, y el equipo en el que trabaja Dinesh, los ve como dos caras de la misma moneda. De hecho, y volviendo al pensamiento sistémico, creemos que la sociedad en general sería más segura si la seguridad de los productos siempre fuera de la mano de la seguridad corporativa. ¿Por qué? Porque una debilidad en cualquiera de ellas deja a una organización —y a sus socios, proveedores y clientes— vulnerable en todos los ámbitos.

«Nuestro CSIRT (equipo de respuesta a incidentes de seguridad corporativa) mitiga o resuelve los problemas de seguridad relacionados con los sistemas que utilizamos para atender a nuestros clientes», explica Dinesh. «Como muchos otros, somos tanto proveedores como clientes, y trabajamos para garantizar la seguridad general de nuestra empresa y, por extensión, la seguridad de un gran número de otras empresas. Por ello, la seguridad corporativa y la seguridad de los productos deben compartir un lenguaje común. Nuestros objetivos son los mismos». Esto también significa que pueden compartir recursos, informarse y apoyarse mutuamente, e incluso crear los bucles de retroalimentación que caracterizan a los equipos eficaces.

Sin embargo, esta explicación no hace justicia al papel que juega este equipo de seguridad integrado. Especialmente cuando se analiza desde una perspectiva más amplia de pensamiento sistémico. Dinesh y sus compañeros están conectados en toda la organización de muchas maneras que quizá no se nos ocurran de forma inmediata. En un negocio tan cercano a los clientes como el nuestro, hay muchas áreas en las que la experiencia en seguridad no solo es necesaria, sino esencial.

Esto significa que el equipo participará activamente en licitaciones y contratos, desde proporcionar marcos y garantías de ciberseguridad hasta actuar como expertos en materia de privacidad de datos, normativa, legislación y cumplimiento. También juegan un papel importante en el desarrollo del negocio, ya que suelen asistir a las visitas de los clientes, están presentes en nuestras salas de exposición y, en definitiva, también contribuyen al éxito de las ventas. El homólogo de Dinesh en CSIRT, Wouter van Gils, mantiene una estrecha relación con nuestras filiales, a las que presta apoyo mediante auditorías y en la solicitud de certificaciones, como ISO. Una vez más, se trata de crear unidad y continuidad en todo Canon.

Pero también se hace un hincapié increíblemente fuerte en la formación. De hecho, es uno de los principios fundamentales de la seguridad digital en Canon. «Contamos con responsables de formación que se encargan de concienciar sobre la seguridad tanto de los productos como de las aplicaciones», explica Dinesh. Este trabajo forma parte de las responsabilidades del equipo de seguridad y está creando con éxito una sólida cultura de seguridad digital en toda la organización EMEA, lo que refuerza aún más nuestra reputación de excelencia y el valor del pensamiento conectado.

Esto sin duda desafía cualquier idea errónea sobre los profesionales de la seguridad de la información como personas introvertidas pegadas a sus ordenadores. Dinesh y sus colegas están lo más lejos posible de este estereotipo. Asisten regularmente a eventos del sector y Dinesh forma parte de una valiosa red de investigadores de seguridad y hackers éticos, una generosa comunidad que comparte conocimientos y recursos, contribuyendo una vez más a la seguridad digital en todos los ámbitos.

Todo esto en conjunto demuestra algo obvio, pero no por ello menos importante: que es primordial dar un paso atrás para ver el panorama general. Dos equipos trabajando en paralelo sería sencillo, incluso fácil. ¿Pero sería realmente eficaz? La respuesta de nuestro Director sénior de seguridad de la información, seguridad de productos y respuesta global, Quentyn Taylor, es simplemente «No». De lo contrario, solo vemos la mitad del panorama: la integración de esta manera permite a los equipos ver la otra cara de la moneda, lo que garantiza una mayor visibilidad para la gestión de vulnerabilidades».

Así pues, nuestra situación actual es el resultado de varios años de observación con el fin de comprender qué es lo que funciona sin problemas y aprender qué lugares no encajan del todo del modo necesario. Se trata de crear un equipo que tenga en cuenta el funcionamiento de la organización en su conjunto y cómo puede aportar el máximo valor añadido. Por eso el pensamiento sistémico resulta realmente inteligente y nada aburrido, porque puede dar lugar a rediseños bien pensados, así como a nuevas y sorprendentes formas de trabajar que no solo ayudan a los directores de seguridad de la información a dormir tranquilos, sino que también nos aportan tranquilidad a todos.

Más información sobre carreras profesionales en Canon.