Había una vez un consultor en seguridad de la información, que por más que se esforzaba por asesorar y asesorar, veía como algunos gerentes eran devorados por un temible león…
1. “Más vale prevenir que curar”
Desde que cumplí 40 comencé cada año con un chequeo médico para ver mi situación y anticiparme en caso que algo no esté bien. Igualmente, siempre que viajo verifico cómo estará el tiempo en mi destino, para ir con la ropa apropiada. Imagino que muchos de ustedes también lo hacen o, al menos, reconocen los beneficios de prevenciones como esas.
Tratándose de la seguridad de la información, no siempre basta con reconocer la importancia de prevenir, si no va aparejada de medidas concretas, sea por falta de recursos, por existir otras prioridades o por cualquier otra razón que podamos imaginar.
En esas situaciones, las empresas se exponen a sufrir pérdidas de diverso tipo, no sólo económicas –en caso de robos de información o de daños-, sino incluso en su reputación, en la imagen corporativa y en la confianza que despiertan en sus clientes.
Visto lo anterior también como un riesgo legal, mientras más demora la atención que se da al cumplimiento de exigencias normativas aumenta la probabilidad de ser demandados, multados y sancionados a indemnizar perjuicios o a cumplir alguna pena.
Afortunadamente esos riesgos legales se pueden mitigar de forma simple y económica a través de acciones preventivas concretas, con medidas de compliance como las auditorías legales.
Sin embargo, actualmente es bajísimo el número de directivos que se anticipan, que aprueban destinar recursos a este tipo de medidas preventivas, a menos que una ley los esté obligando a hacerlo o se los imponga un órgano fiscalizador.
Es decir, en los hechos, el valor de la prevención no parece ser suficiente.
"El que las personas se encuentren mal protegidas por la ley, no quiere decir que las empresas estén actuando correctamente o dentro de la legalidad".
2. “Había una vez…”
Había una vez una ciudad empresarial que era acechada por un temible león. A diario ocurrían ataques donde esa bestia devoraba gerentes. Sus favoritos… los gerentes generales, aunque también disfrutaba comiendo gerentes de informática, de recursos humanos y de finanzas. Incluso se rumoreaba que una vez se comió un abogado, pese a que son de carne más dura y menos jugosa.
Cuando ocurría un ataque, por grave que fuera, las empresas lo mantenían como un secreto, para que sus competidores no los vieran débiles. Por eso, era una ciudad aparentemente apacible, sin dar la impresión de estar viviendo con un león suelto. Un día llegó a la ciudad un consultor experto en lidiar con leones. Sabía muy bien cómo se comportaban esos animales y qué había que hacer para domesticarlos y no ser devorado por ellos.
El consultor, seguro de contar con soluciones para el problema que enfrentaban esas empresas, se logró reunir con un gerente general muy influyente en la ciudad.
Como era una persona muy ocupada, el consultor se esforzó por ser muy claro para explicarle en poco tiempo, los servicios que ofrece para prevenir los ataques de leones.
Luego de un rato, tras haberle detallado un sin número de razones sobre la importancia y conveniencia de prevenir el ataque del temible león, el gerente levantó su vista, en silencio. El consultor se calló, expectante, aguardando una respuesta durante segundos que parecían eternos. De pronto, luego de revisar su celular, el gerente lo miró seriamente y dijo:
“mmmm… interesante. Pero cuénteme, ese león ¿lo tengo respirando en mi oído o aún está lejos?” El consultor, sospechando algo malo, fue sincero y le respondió:
“En realidad, actualmente el león merodea a un par de cuadras de acá”.
“Bueno –dijo resuelto el gerente-, en ese caso quiero que retomemos la conversación cuando el león lo tenga a mi lado, no ahora que se ve tan lejano”.
El consultor se despidió amablemente del gerente, aunque decepcionado por la respuesta, pero cada vez menos sorprendido.
Eso sí, no entendía cómo se confiaban tanto de no ser atacados por un león que vivía fuera del edificio. “Cómo si fuera posible salir ileso de una mordida cuando el león está respirando a centímetros del rostro”, pensaba.
Una semana después, revisando las noticias el consultor se enteró de algo terrible: un león había atacado el edificio donde estaba el gerente, dejándolo muy mal herido. Los pilló de sorpresa, ya que el león encontró una ventana abierta y por ahí entró.
3. ¿Y la moraleja?
Hay incumplimientos legales que traen aparejadas sanciones muy altas. Basta recordar casos como el de la multitienda La Polar, quien luego del escándalo por las repactaciones unilaterales de deudas que realizaba, terminó con sus directivos en la cárcel.
Una ilegalidad tan básica para un abogado, como esa modificación unilateral de un contrato, puso en riesgo incluso la continuidad de esa empresa, ya que quedó fuertemente resentida en su imagen.
Otro caso emblemático lo encontramos en Pinturas Ceresita, producto del cohecho que efectuó uno de sus trabajadores a un funcionario municipal para obtener permisos, pese a infringir normas medioambientales.
Como esa empresa no revisó su nivel de cumplimiento de la Ley sobre Responsabilidad Penal de Personas Jurídicas y, en concreto, no contaba con el modelo de prevención que menciona esa ley, se vio involucrada en un gran problema. Claro, por el cohecho cometido por un trabajador, pasó a ser responsable también la empresa.
“Afortunadamente” lograron un acuerdo para evitar ser condenados penalmente y “solo” tuvieron que pintar las casas de Recoleta, arreglar una plaza instalando una placa que indique la razón de ello, no pueden instalarse en esa comuna y, además, debieron donar todo el terreno de su fábrica.
Por supuesto, estos casos -ya antiguos- son la punta del iceberg, ya que debajo existe una enorme cantidad de incumplimientos o abusos que ponen en riesgo a las empresas que los cometen, conscientes de ello o no.
Sólo basta pensar en los constantes excesos que se producen con nuestros datos personales y que, mientras no se cuente con garantías más eficaces, serán un riesgo latente para los infractores. Sí, para los infractores también, porque el que las personas se encuentren mal protegidas por la ley, no quiere decir que las empresas estén actuando correctamente o dentro de la legalidad.
Los abusos igualmente contravienen la Ley de Protección de Datos y si no corrigen sus malas prácticas, están jugando con fuego.
En fin, no siempre se tiene en cuenta que la mordida del león puede ser mortal, que mientras lo tenga respirando en mi oído, más difícil me resultará escapar.
"Actualmente es bajísimo el número de directivos que se anticipan, que aprueban destinar recursos a medidas preventivas, a menos que una ley o un fiscalizador
los obligue".
Si tan sólo se tomara consciencia de que las acciones para mantener al león alejado siempre resultan más baratas, eficaces y convenientes que las medidas para recuperarse de su ataque.
Así como el león está presente aunque no queramos, los riesgos legales de las empresas también existen y deben ser abordados a través de controles preventivos para evitar serias consecuencias, incluso el comprometer la continuidad del negocio.
