Las cualidades humanas de la ciberresiliencia
Al pensar en seguridad, solemos imaginarnos un dominio muy técnico, y lo es. Pero uno de los aspectos en los que un buen programa de seguridad se diferencia de uno excelente es la capacidad de aportar un lado humano a la seguridad y a la confianza para diseñar una empresa aún más fuerte y resiliente. ¿Y cuál es una de las cualidades más humanas que podemos emplear para generar resiliencia? La de sobreponerse a la adversidad. Y es algo que he experimentado en primera persona.
Del surf a los fallos del sistema
El 12 de marzo de 2007, amanecí en un hotel junto a la playa, dispuesto a disfrutar de otro precioso día en Waikiki, Hawái. Tras un fin de semana de diversión con mi novia y mis padres y de celebrar la boda de un primo en la isla, aquel fue un lunes de relax para ponerse en modo vacaciones. Diseñamos el día perfecto: clases de surf por la mañana, comida mexicana y margaritas a mediodía, masajes por la tarde y luau por la noche. Del mismo modo, en la oficina solíamos tener nuestros planes de trabajo perfectos: prepararse una taza de café, iniciar sesión, borrar algunos mensajes de correo electrónico y de Slack, echar un vistazo a las reuniones del día y plantear objetivos de producción.
En Hawái, caminamos hacia la playa con el sol acariciándonos la piel, junto a un océano resplandeciente y escuchando el rumor de las olas. Comenzamos nuestra clase de surf. Nadé para coger impulso, cogí mi primera ola y pensé para mis adentros que debía de estar quedando muy cool e impresionando a mi novia, quien, a su vez, me estaba impresionando con sus dotes de surfista. Tras surfear durante una hora y media más o menos, volvimos a la orilla. Me dolía la espalda, lo cual era lógico porque era la primera vez que hacía surf. Tal vez igual que un día movidito en el trabajo: no te has bebido ni la mitad del café ya casi frío, y ya hay incidentes con los inicios de sesión, los mensajes de correo electrónico empiezan a acumularse, te estás retrasando y surgen problemas por todas partes.
A lo largo de la tarde, me iba encontrando cada vez peor, hasta el punto de que me tuvieron que llevar al hospital en ambulancia para hacerme una resonancia. Desde que empecé la clase de surf hasta que dejé de poder mover los dedos de los pies habían transcurrido siete horas. Estaba paralizado. Tenía una rara lesión de la médula espinal llamada mielopatía del surfista, que no se debía a ningún accidente o golpe, sino a un infarto medular inducido por el arqueo repetitivo y prolongado de la espalda mientras perseguía olas sobre la tabla de surf. Desde entonces, llevo quince años postrado en una silla de ruedas. En el trabajo, a veces se produce el caos. Fallos, vulneraciones, virus... problemas que no podemos controlar al cien por cien.
Poner a prueba una mentalidad
Tanto a nivel personal como en el campo de la seguridad, es inevitable encontrarse con situaciones difíciles, problemas que escapan a nuestro control, baches en la carretera. El modo en que afrontamos lo inevitable y nos recuperamos marca la diferencia entre hundirnos o salir a flote de nuevo. Al pensar en la ciberresiliencia, suelo reflexionar acerca de mi experiencia personal atravesando una situación devastadora en potencia, y las revelaciones que esta me aportó. Es necesario poner un poco a prueba nuestra mentalidad, pero creo que hay áreas que pueden ayudar incluso a los mejores equipos de seguridad que se abren camino entre el caos, toman decisiones autónomas y recuperan el control.
Fundación: los fundamentos y principios que nos hacen ser quien somos
Mi padre ha trabajado siempre como vendedor. Antes vendía aspiradoras y ahora vende parcelas en el cementerio, y siempre se ha enfrentado al rechazo. Cuando me llevaba al colegio en nuestro Toyota Tercel de 1990, siempre iba escuchando a oradores motivacionales como Zig Ziglar, Tony Robbins y compañía para darse ánimos. Cuando estaba afrontando mi nueva normalidad con la parálisis, me di cuenta de que esas influencias durante mi infancia me habían aportado una base de optimismo, positividad y mentalidad práctica. Cuando mi mente se poblaba con pensamientos como "esto es muy duro" o "por qué a mí", era capaz de bascular para buscar soluciones y encontrar el lado bueno de las cosas.
Desde el punto de vista de la seguridad, no hay nada más importante que diseñar una base y un núcleo sólidos. En Salesforce, lo llamamos dominar los aspectos básicos. Conoce tus riesgos de seguridad y tus vulnerabilidades, diseña infraestructura para abordarlos, planifica, prueba y ponla en práctica, todo ello para asegurarte de estar lo mejor preparado posible. Todo ello puede marcar enormemente la diferencia cuando se trata de minimizar los riesgos de las ciberamenazas habituales. ¿Qué debilidades hay en la base y cómo puede trabajar para reforzarlas?
Adaptación: la capacidad de transformar los desafíos en oportunidades
He tenido que adaptarme en todos los aspectos de mi vida. Por ejemplo, justo después de la lesión, me preocupaba no volver a ser autónomo, tener que depender de otras personas para que me llevaran de un sitio a otro en esas furgonetas grandes y aparatosas adaptadas para sillas de ruedas. Hemos hallado la solución para adaptar mi coche deportivo con controles manuales con los que puedo seguir conduciendo, con la consiguiente inyección de autoestima que eso supone. El estar sentado yo solo en el tráfico de Los Ángeles se veía de otro color.
Desde un punto de vista de la seguridad, la adaptación es fundamental. Supongamos que ha intentado identificar un problema del sistema y resolver la causa raíz, pero el proceso sigue fallando. Y si en su lugar se preguntara: ¿qué procesos funcionan bien? ¿Qué tiene que salir bien para que este proceso funcione y aplacar así los riesgos? ¿Cómo puede usar esto como base para concebir una solución relevante? ¿Cómo puede abordar los aspectos problemáticos, bascular y adaptarse y aprovechar lo que mejor sabe hacer su empresa?
Tribu: personas que pertenecen a nuestros círculos de energía y que experimentan la vida junto con nosotros
Aunque me dañara el ego, he aceptado la ayuda de familiares, amigos y compañeros y, lo que fue aún más complicado, he pedido ayuda cuando la he necesitado, ya fuera un hombro sobre el que llorar, recaudar dinero para costearme la costosa fisioterapia que no cubría el seguro o apoyo espiritual, rezando, manteniendo conversaciones existenciales y explorando la gratitud.
En el ámbito de la seguridad, es imprescindible trabajar y pensar de manera multifuncional para generar resiliencia en todas las secciones de la empresa, desde el departamento legal hasta el de marketing, pasando por TI u operaciones. Cuanto más colaboramos, más podemos confiar los unos en los otros y aprender de los demás durante un evento de seguridad y después de este. Los silos son los enemigos de la ciberresiliencia. Hágase la siguiente pregunta: ¿A qué tribu pertenece y a quién pide ayuda cuando lo necesita?
Fundación, adaptación, tribu. Frente a un mundo en el que el riesgo es más penetrante que nunca, si recibimos los desafíos y la adversidad con los brazos abiertos y colaboramos, estamos optando por la resiliencia.