Global Strategy Report, 48/2021
Resumen: El desafío de construir y consolidar una cultura organizacional de seguridad/ciberseguridad en las organizaciones modernas, exige no solamente aplicar las recetas tradicionales de la realización de talleres, concursos o trivias, sino explorar los retos cognitivos humanos como fundamento de la construcción de la primera línea de defensa de las empresas. Por tanto, se hace necesario estudiar los sesgos y barreras cognitivas, y cómo estas se incorporan a la cultura organizacional de una compañía para crear zona de comodidad y de adormilamiento que sólo deja margen para responder sobre aquello que resalta como distinto o inesperado. En consecuencia, este documento presenta una revisión práctica y conceptual de este proceso desde lo humano, el contexto y la cultura como estrategia para explicar la postura reactiva tradicional de las empresas frente a las brechas de seguridad/ciberseguridad, y cómo desde las sorpresas, esos momentos de tensión e incomodidad mental y cognitiva, es posible habilitar un cambio de comportamiento y avanzar en el desarrollo de una postura vigilante que mantenga activo el radar estratégico de la compañía para reconocer y aprender de los riesgos latentes y emergentes ocultos en la dinámica de su entorno.
Para citar como referencia: Cano, Jeimy (2021), “¿Por qué es tan retador mantener una postura vigilante en seguridad de la información/ciberseguridad en las organizaciones?”, Global Strategy Report, No 48/2021.
Introducción
Con frecuencia se escucha entre los profesionales de seguridad de la información/ciberseguridad la expresión (y en general de la seguridad integral): “sólo hasta cuando pasa algo grave, le ponen atención a los temas de seguridad de la información en las empresas”, una declaración que habla de diferentes y variadas interpretaciones y actividades que se desarrollan al interior de las personas, de los contextos donde éstas se desempeñan y de la cultura organizacional que las nutre y alimenta.
Esta expresión cada vez que se escucha en las reuniones de los ejecutivos de seguridad/ciberseguridad, está llena de sentimientos encontrados, de tristezas y de esfuerzos que no rinden sus resultados. Los reclamos naturales que se alzan entre estos profesionales van desde ¿por qué las personas hacen click donde no deben?, ¿qué es lo que hay en el contexto donde operan que los lleva a ser descuidados? O ¿qué se debe fortalecer en la cultura de seguridad de la información para que esto no pase? Preguntas que tienen diferentes respuestas y alternativas que van desde los tradicionales “talleres”, “los cursos en línea”, “los concursos con premios” o recientemente los “juegos de mesa” para “enganchar” a los colaboradores (Gjertsen et al., 2017), hasta exigencias de cumplimiento normativo donde es obligatorios demostrar la ejecución efectiva de un control.
Todas estas estrategias que por lo general tienen efectos positivos (y con frecuencia limitados) tratan de elevar el nivel de concienciación, atención y acción de los individuos sobre la protección de los activos, que desatan perspectivas distintas en la población objetivo según su lectura de la realidad de la seguridad de la información/ciberseguridad, su experiencia previa y las exigencias que hace la empresa al respecto. En este contexto, cada vez que el ejecutivo de seguridad/ciberseguridad adelanta este tipo de actividades sabe que “es algo que debe hacer” como parte de una rutina organizacional para cumplir con el requisito que le imponen algunos de los estándares de cumplimiento (Haney & Lutters, 2020).
Adelantar la concientización en seguridad de la información como parte del cumplimiento corporativo no es señal de que la empresa aumenta su sensibilidad y fortalecimiento de su cultura organizacional de seguridad de la información, posiblemente sólo es un ejercicio y registro que se debe hacer de que se ha cumplido con una tarea más para el reporte que se genera para los entes de control. En esta medida, enfrentar los retos del comportamiento humano en profundidad, alrededor de la seguridad de la información, implica “reconocer y conectar” con la inevitabilidad de la falla para avanzar en la comprensión de cómo crear y mantener una cultura de protección vigilante y en aprendizaje permanente (Cano, 2021).
Así las cosas, este documento presenta una perspectiva conceptual y práctica para dar respuesta los interrogantes previamente planteados y establecer una base de revisión y análisis que permita a los profesionales de seguridad/ciberseguridad tomar acciones concretas y desarrollar estrategias viables que motiven cambios en los comportamientos de la personas y así, establecer una cultura de seguridad de la información/ciberseguridad, que si bien tendrá momentos estelares, igualmente sabrá asumir y manejar aquellos eventos adversos que son parte inherente de la inevitabilidad de la falla.
¿Cómo se materializa un evento adverso? Un análisis en tres momentos.
El reto de cambiar el comportamiento de una persona, no sólo implica reconocer al individuo como fuente de vulnerabilidad, sino igualmente como estrategia de defensa. Esto es, hacerlo más resistente para demorar y disuadir al adversario frente a sus estrategias de agresión o desestabilización. Por tanto, luego de revisar diferentes investigaciones al respecto, se puede llegar a una conclusión parcial que se basa en algunos principios fundamentales:
- Los seres humanos tienen sesgos inherentes y naturales que se confirman basado en sus historias de vida, su contexto y la cultura donde conviven.
- Los seres humanos son falibles y por tanto, el “error” (entendido como aquello que no sale como se tenía inicialmente planeado), es natural y parte del proceso de sus actuaciones.
- Los seres humanos son influenciados y modelados por la dinámica cultural donde conviven y se relacionan. Los valores expuestos y en uso configuran y dan vida a la lectura del mundo confirmando o no sus propias expectativas y proyectos.
Con estos principios en mente, se presenta a continuación una perspectiva de cómo se materializa un evento adverso visto desde la dinámica individual, que termine afectando su contexto y la organización en general. Para ello, se plantea un análisis en tres momentos: a nivel humano, a nivel del contexto y a nivel de la cultura, en una perspectiva que puede estar asistida por un efecto en cascada que genere consecuencias no esperadas o afectaciones no previstas.
A nivel humano, todas las personas cuentan con sesgos los cuales llevan necesariamente a generar cegueras cognitivas que terminan motivando comportamientos, para ellas adecuados, los cuales se ajustan con la lectura natural de la realidad que conocen. Estos sesgos se han construido en su práctica diaria y hacen parte de los instrumentos que tienen para simplificar su capacidad de decidir frente a eventos ciertos y conocidos, pero no así para aquellos que se salen de la “cotidianidad” donde se advierte algo diferente y que resalta en su lectura del momento.
Algunos de los sesgos más relevantes que pueden estar en los individuos (algunos más acentuados que otros) son: (Meyer & Kunreuther, 2017)
- Miopía – Enfocar en el corto plazo.
- Amnesia – Olvidar las lecciones del pasado.
- Optimismo – Subestimar la probabilidad de una pérdida.
- Inercia – Mantener el statu quo.
- Simplificación – Atender de manera selectiva a ciertos detalles.
- Influencia – Tomar acciones basados en opciones que han adoptado otros.
La manifestación de algunos de estos sesgos, inicia la conceptualización de un futuro incidente o de una actividad que afecte la dinámica de la organización. Estos sesgos se traducen en imaginarios individuales que hacen sentido a las personas, dado que no les exige pensar o analizar la situación más allá de lo que su conocimiento y experiencia le permite. Por tanto, cuando se indica o advierte una situación de “posible peligro o amenaza” que se ubica en una perspectiva externa, y que se puede resolver desde su marco de comprensión conocido, generalmente termina subestimada y manejada por su propia lectura fundamentada en la simplificación que ofrecen los sesgos.
Seguidamente, se conecta este primer momento ahora con el contexto, ese lugar donde ocurre y se materializa el comportamiento individual. Este escenario está plagado de actividades y situaciones que generan barreras cognitivas (que son distintas a las cegueras previamente mencionadas), las cuales son generadas por la dinámica de las relaciones que se fundan en las interacciones que tienen las personas para realizar sus actividades. Estudios recientes identifican que las personas “hacen click en enlaces potencialmente peligrosos” bien por distracción, por cansancio, por descuido o por agotamiento, condiciones que son propias del contexto donde operan los individuos (Hancock, 2020).
Lo anterior confirma que el contexto tiene la capacidad de potenciar un comportamiento adverso, por lo cual es necesario atender y reconocer algunas de las barreras cognitivas que se pueden presentar y que todos los participantes pueden manifestar. Un listado de ellas son: (Day & Schoemaker, 2004)
- Filtros mentales – Forzar la adaptación del mundo a los marcos existentes.
- Exceso de confianza – Pensar que el punto de vista actual es el correcto.
- Contar con pruebas – Evitar abrirse a identificar pruebas contradictorias.
- Aversión a la ambigüedad – Tener la necesidad de conocer todas las respuestas.
- Pensamiento de grupo – Sentir comodidad por pertenecer a la mayoría y ver el mundo de la misma manera.
La manifestación de estas barreras cognitivas habilita y profundiza los sesgos particulares de los individuos, pues permite que una persona se sienta cómoda y confiada frente a las condiciones particulares de la operación que desarrolla en el contexto de los procesos de la organización. Lo anterior genera un exceso de confianza que disminuye sustancialmente los niveles de alerta, llevando la experiencia del momento al lugar de las certezas, creando mayores puntos ciegos en su perspectiva de la realidad, la cual, si además es motivada por una visión de grupo equivalente, queda totalmente embebida y justificada lo que sugiere una sensación de tranquilidad que termina con cerrarse a perspectivas distintas que indiquen aspectos diferentes de lo que ocurre en una situación específica (Cano, 2021b).
El tercer momento está situado en la cultura organizacional, donde los valores expuestos y en uso hacen el trabajo final para fundamentar los comportamientos que lleven a situaciones inesperadas. Las expresiones “aquí no ha pasado nada en 20 años”, “me está diciendo que desconfíe de mi compañero de trabajo”, “así lo hemos hecho todo el tiempo y no ha pasado nada”, configuran las creencias y costumbres que están fijadas en el imaginario colectivo de la organización, que confirman lo que se dice y lo que se observa en el día a día de la empresa. Lo anterior, se afirma a diario con una serie de expresiones del lenguaje que hace parte del conjunto de código internos y no declarados que se incorpora en cada colaborador, como parte de aquello que genera la identidad de todo aquel que trabaja para esa compañía. No asumirlo o interiorizarlo, significa que no se ha hecho parte del ADN de la empresa y por lo tanto, será identificado como elemento que no encaja.
Frente a esta realidad cultural que define y moldea comportamientos, Schein (2004) sugiere tres elementos claves a revisar para comprender cómo se incorporan y confirman los imaginarios colectivos, los cuales terminan por influenciar y afectar la forma como las personas perciben, reconocen y aceptan la realidad que construye en la dinámica organizacional:
- Supuestos básicos – Aquello que las personas dan por hecho.
- Valores expuestos – Lo que se dice y acepta.
- Artefactos – Lo que se observa (lo que se ve, lo que se siente y escucha), símbolos y comportamientos.
Si las cegueras cognitivas se manifiestan y confirman vía el contexto con las barreras cognitivas, la cultura organizacional asegura y cierra el ciclo de los posibles comportamientos adversos, cuando es capaz de situar en la realidad organizacional dichas barreras en los supuestos básicos de la organización. En este proceso que se ha venido configurando de forma progresiva, alcanza su plenitud cuando las personas reconocen en sus actuaciones en aquello que se dice y acepta en la organización, creando una condición de aprobación y vínculo que se traduce en “expresiones”, “manifestaciones” y “comportamientos” que son esperados y reiterados por la comunidad, lo que invisibiliza todo aquello que no sea parte de lo que es reconocido como parte natural de las relaciones y actividades de la organización.
Así las cosas, un evento adverso que se nutra de los sesgos cognitivos, se mimetice en medio de las barreras cognitivas y se valide en la lectura de la cultura organizacional tendrá una alta probabilidad de éxito como quiera que pasará inadvertido, como algo que hace parte del paisaje y realidad de la organización, hasta que sus efectos adviertan que algo no está funcionamiento como se espera, generando la postura reactiva conocida, con los efectos nocivos posteriores y reclamos particulares, del “porqué no lo vimos venir” si mantenemos un ejercicio juicioso de gestión de riesgos (generalmente conocidos).
¿Cómo mantener una postura vigilante? Una postura desde las sorpresas
La propagación de los sesgos, la materialización de las barreras y su incorporación en la cultura son situaciones que buscan disminuir la capacidad de atención de las personas a su entorno, creando una zona de comodidad para adelantar sus tareas sin mayores preocupaciones. Cambiar esta dinámica que se ha presentado previamente en los tres momentos, implica reconocer los tres principios que se indicaron al inicio de esta reflexión y crear una zona de psicológicamente segura donde aquello que se denomina error, sea la fuente de sorpresas e inestabilidad, que desafíe la dinámica organizacional a nivel personal, de los procesos (y su contexto) y por lo tanto de la cultura particular de la empresa (Edmondson, 2018).
El cambio de comportamiento es un proceso de transformación personal que está mediado por el aprendizaje, ese momento donde se crea una zona de inestabilidad e incomodidad, que interroga los saberes previos de un individuo para reconocer nuevos aspectos de la realidad, construir nuevos referentes de actuación y traducirlos en acciones efectivas que cambian su forma de ver el mundo (Reyes & Zarama, 1998). Lo anterior, se traduce en crear sorpresas (suspensiones de la realidad conocida) para tomar distancia de eso que se da por hecho e interrogarse por aquello que hasta el momento no se había visto.
Este escenario de modificación de comportamientos exige conceptualizar la perspectiva de riesgos o amenaza como eventos que generan inestabilidad e incomodidad que pueden estar ocultos en la realidad de la organización y que es necesario hacerlos evidentes, para generar una postura vigilante a través de una exposición periódica a eventos inesperados o inciertos (vía simulaciones y ejercicios) que permitan revelar los sesgos individuales, reconocer las barreras cognitivas e identificar aquellas actividades y expresiones que hacen parte de la cultura que invisibilizan dichos riesgos.
Desarrollar una postura vigilante en los temas de seguridad y ciberseguridad en las organizaciones modernas, demanda consolidar una práctica de aprendizaje/desprendizaje que situada en los supuestos básicos de la cultura de la organización, habilita en cada uno de los procesos de la empresa y su contexto, una experiencia permanente para reconocer la diferencia, abrazar la ambigüedad, retar la forma como se hacen la cosas y sobremanera, abrirse a experimentar y explorar como fundamento para avanzar en lugares que pudiesen ser desconocidos (Barreda, 1995).
De esta manera, no sólo se rompe con el ciclo de “adormilamiento” que generan los sesgos individuales, sino que se despierta un sano interés por aquellas cosas que ocurren por fuera de lo establecido. Esto es, establecer aquello que el marco de gestión y control reconoce como “normal” para reconocer y actuar con curiosidad y asombro frente aquello que resalta como distinto, no sólo para generar un advertencia de un comportamiento inusual de un elemento del sistema, sino como una forma permanente de recuperar la atención sobre su entorno sin entrar en paranoias, ni superávit de futuro (Calvo, 2016).
Una postura vigilante en las temáticas de seguridad y control, debe traducirse en una estrategia permanente de estudio de los sesgos individuales más frecuentes y las barreras cognitivas más identificadas para encontrar de forma concreta y clara aquellos supuestos básicos de la cultura que los incorporan, con el fin de desactivarlos desde sus inicios, y traducirlos en reconversiones cognitivas que llamen la atención en cada una de las personas de forma natural y sencilla, y no como obligaciones o imposiciones que un tercero quiere imponerles como parte inherente de lo que “hay que hacer” para “cumplir con un estándar”.
Reflexiones finales
Las habilidades cognitivas y procesos de pensamiento se convierten en la primera línea de defensa disponible para los profesionales de seguridad/ciberseguridad. Las preguntas planteadas en este documento alrededor de los comportamientos de las personas sobre la protección de la información requieren un contexto particular para proponer una respuesta. Al ser los contextos distintos y variados, las respuestas varían y exigen un conocimiento de las personas, las dinámicas empresariales y los retos que impone la cultura de las organizaciones (Cano, 2021).
Sin perjuicio de lo anterior, son las personas, sus relaciones con el entorno y las organizaciones, las que definen de forma definitiva la manera como un adversario podrá tomar ventaja de las vulnerabilidades, malas prácticas o situaciones inesperadas que puedan ocurrir en un contexto particular. En la medida que los individuos se hagan más conscientes de sus sesgos, los procesos reconozcan las barreras cognitivas que pueden generar (muchos de ellas distracciones o agotamientos) y la cultura promueva el ejercicio de aprendizaje/desaprendizaje, el atacante tendrá que enfrentar un escenario de disuasión permanente que deberá descifrar cada vez que intente ubicar y desplegar un evento que busque generar inestabilidad.
Si bien las medidas de seguridad tecnológica permiten recolectar información en tiempo real de los eventos inusuales o adversos conocidos, los cuales terminan en alertas que los analistas tratan de acuerdo con los protocolos establecidos, está en los procesos cognitivos de las personas y su posición vigilante la clave para fortalecer la postura de seguridad y ciberseguridad de una organización. Esto implica, que los esfuerzos de los ejecutivos de seguridad y control deberán enfocarse y situarse más allá de las medidas tradicionales (cursos y talleres) para profundizar en la realidad de las personas en la dinámica empresarial y su relación con la cultura de la empresa, como fundamento de sus propuestas para la transformación de los comportamiento de los colaboradores frente a la protección de los activos de información.
Lo anterior implica crear una zona psicológicamente segura para trabajar en conjunto con los individuos desde las actividades propias de sus procesos, donde los “errores” se conviertan en insumos valiosos para reconocer los sesgos propios, abrir ventanas de aprendizaje que cuestione lo que pudiese ser “normal” y sobremanera, retar las prácticas vigentes y los estándares utilizados (De la Torre, 2004), como fundamento para mantener a la organización y su cultura fuera de zona cómoda que reside en una expresión tradicional que no deja margen para pensar diferente: “así hacemos las cosas aquí”. De esta forma, se habilita una postura vigilante que despliega su capacidad de curiosidad y asombro para reconocer los riesgos latentes y emergentes, que permanecen encubiertos en medio de su entorno.
Si bien no siempre una organización podrá encontrar y descubrir los eventos que generen inestabilidad o brechas de seguridad y control, su capacidad para aprender y mantenerse en un postura incómoda la mantendrán navegando en aguas agitadas, encontrando nuevas razones para reinventarse e incorporar nuevas prácticas, con el fin de dejarle poco espacio al adversario para sus acciones de inestabilidad, con lo cual se define y concreta su nueva y renovada estrategia de defensa en profundidad, que no es otra que una cultura organizacional de seguridad/ciberseguridad que se define desde la inevitabilidad de la falla, la realidad natural de los inciertos y el reto de sorprender al atacante en su propio territorio.
En otras palabras, una apuesta para emprender permanentemente posturas distintas y pensamientos incluso contrarios a las buenas prácticas vigentes hasta el momento. Las contradicciones, las rarezas y las inestabilidades se convierten en las maestras de las reflexiones actuales y de la cultura organizacional de seguridad de la información/ciberseguridad, habida cuenta que son la ocasión para construir y deconstruir las formas vigentes de conocer y explorar el entorno. Lo anterior no deja de generar ansiedad y angustia, pues muchas veces no se encuentra “el” camino ni “la” solución que se espera, sino que se abren “múltiples propuestas” donde las respuestas pueden ser posibles y probables.
Referencias
Barreda, R. (1995). Aprendizaje. La función de educación en la empresa moderna. Madrid, España: CONORG, S.A.
Calvo, C. (2016). Del mapa escolar al territorio educativo. Disoñando la escuela desde la educación. La Serena, Chile: Editorial Universidad de la Serena.
Cano, J. (2021). Organizational Culture for Information Security: A Systemic Perspective on the Articulation of Human, Cultural and Social Systems. ISACA Journal. 3. https://www.isaca.org/resources/isaca-journal/issues/2021/volume-3/organizational-culture-for-information-security
Cano, J. (2021b). La “falsa sensación de seguridad”. El reto de incomodar las certezas de los estándares y tratar de “domesticar” los inciertos. Revista SISTEMAS. Asociación Colombiana de Ingenieros de Sistemas. 159. 82-95. https://doi.org/10.29236/sistemas.n159a6
Day, G. S. & Schoemaker, P. (2004). Driving through the fog: managing at the edge. Long Range Planning. 37(2). 127–142. Doi:10.1016/j.lrp.2004.01.004
De la Torre, S. (2004). Aprender de los errores. El tratamiento didáctico de los errores como estrategias innovadoras. Buenos Aires: Ed. Magisterio del Río de la Plata
Edmondson, A. (2018). The fearles organization. Creating psychological safety in the workplace for learning, innovation, and growth. Hoboken, New Jersey. USA: John Wiley & Sons.
Gjertsen, E., Gjære, E., Bartnes, M. & Flores, W. (2017). Gamification of Information Security Awareness and Training. En Proceedings of the 3rd International Conference on Information Systems Security and Privacy (ICISSP 2017). 59-70. https://www.researchgate.net/publication/314523152_Gamification_of_Information_Security_Awareness_and_Training
Hancock, J. (2020). Psychology of human error. Understand the mistakes that compromise your company s cybersecurity. Tessian. https://www.tessian.com/research/the-psychology-of-human-error/
Haney, J. & Lutters, W. (2020). Security Awareness Training for the Workforce: Moving Beyond “Check-the-Box” Compliance. IEEE Computer. 91-95. Doi: 10.1109/MC.2020.3001959
Meyer, R. & Kunreuther, H. (2017) The ostrich paradox. Why we underprapare for disasters. Philadelphia, Pennsylvania. USA: Wharton Digital Press.
Reyes, A., & Zarama, R. (1998). The process of embodying distinctions, a re-construction of the process of learning. Cybernetics & Human Knowing. 5(3) 19-33.
Schein, E. (2004) Organizational culture and leadership. San Francisco, CA. USA: Jossey-Bass.
Editado por: Global Strategy. Lugar de edición: Granada (España). ISSN 2695-8937