CMMI
El CMMI comenzó como un modelo de procesos de Ingeniería de software, pero la idea subyacente —que los procesos de una organización pasan por niveles identificables de madurez, desde lo ad hoc y reactivo hasta lo mesurado y en continua mejora— se aplica igual de bien a un programa de seguridad que a un equipo de desarrollo. Lo utilizo aquí en ese segundo sentido: no como una certificación de software, sino como un prisma a través del cual evaluar el grado real de madurez de sus Operaciones de seguridad.
La mayoría de los programas de seguridad que observo se sitúan en algún punto entre lo «reactivo» y lo «definido»: existen políticas sobre el papel y algunos procesos, pero gran parte de lo que ocurre realmente en el día a día depende de quién se encuentre en la sala esa semana, en lugar de seguir un proceso documentado y repetible. No se trata de una crítica; simplemente es la situación en la que se encuentran la mayoría de las organizaciones, y resulta útil reconocerla tal cual, en lugar de dar por sentado que se está más avanzado de lo que realmente se está.
¿Qué le aporta realmente la madurez?
Un proceso de seguridad más maduro implica que la respuesta a incidentes no dependa de la disponibilidad de una persona concreta, que la gestión de vulnerabilidades se lleve a cabo según un calendario preestablecido en lugar de de forma esporádica tras la notificación de algún incidente grave, y que se pueda evaluar realmente si los cambios introducidos están mejorando la situación, en lugar de limitarse a dar por sentado que así es.
Cómo utilizaría esto con usted
Yo evaluaría en qué punto de la curva de madurez se encuentran realmente sus procesos de seguridad fundamentales, no como un ejercicio abstracto, sino en relación con los procesos que más le importan: gestión de vulnerabilidades, respuesta a incidentes, control de cambios y revisiones de acceso. A continuación, se trata de seleccionar uno o dos para madurarlos deliberadamente primero, en lugar de intentar profesionalizarlo todo simultáneamente, lo que suele provocar un estancamiento.
Si desea conocer con sinceridad el grado real de madurez de sus procesos de seguridad —y no el que afirman tener los documentos normativos—, hablemos.