COBIT
COBIT es un marco para la gobernanza y la gestión de las tecnologías de la información —se centra menos en controles técnicos específicos y más en cómo se toman las decisiones, quién es responsable de qué y cómo los objetivos de TI se relacionan realmente con los objetivos empresariales—. Es ampliamente utilizado por los departamentos de auditoría y gobernanza, y no suele ser la herramienta a la que recurre directamente un equipo de seguridad; sin embargo, es más relevante para la seguridad de lo que se suele suponer, ya que muchos fallos de seguridad son, en realidad, fallos de gobernanza disfrazados de problemas técnicos.
Un ejemplo clásico: una vulnerabilidad conocida permanece sin parchear durante meses, no porque nadie la conociera, sino porque nadie era claramente responsable de decidir si se aceptaba el riesgo o se solucionaba, y ninguna estructura de gobernanza obligaba a que esa decisión se tomara realmente. El valor de COBIT radica precisamente en subsanar ese tipo de laguna: garantizar que las decisiones sobre los riesgos de TI cuenten con un responsable real y documentado.
En qué me centraría
En lugar de aplicar COBIT de forma exhaustiva, yo analizaría en qué aspectos su estructura de gobernanza actual no aborda realmente la seguridad: quién aprueba la aceptación de riesgos, quién tiene la última palabra cuando un requisito de seguridad entra en conflicto con un plazo empresarial, cómo se tienen en cuenta las decisiones de inversión en TI a la hora de gestionar la deuda de seguridad. Esas son las lagunas de gobernanza que, de forma silenciosa, dan lugar a las técnicas.
Cómo encaja esto con otros marcos
COBIT funciona bien en combinación con marcos más técnicos, como la norma ISO 27001 o el NIST CSF, y no como sustituto de los mismos: COBIT le proporciona el nivel de gobernanza y responsabilidad, mientras que los demás le ofrecen los detalles de control subyacentes. Las organizaciones que solo aplican uno u otro suelen acabar teniendo o bien buenos controles de los que nadie se hace responsable, o bien una responsabilidad clara sin nada concreto a lo que realmente se pueda exigir responsabilidad.
Si las decisiones sobre los riesgos de seguridad en su organización tienden a quedarse estancadas sin un responsable claro, analicemos dónde está fallando realmente la gobernanza.