El plan anual por rol

Un mismo video para toda la empresa cubre lo mínimo y no toca el riesgo propio de cada puesto. Quien paga facturas se enfrenta al fraude por cambio de cuenta bancaria; quien administra servidores, a las cuentas privilegiadas; quien atiende clientes, a la suplantación por teléfono. La guía de controles CIS (versión 8) lo recoge como una salvaguarda aparte, la 14.9, dentro del control de concientización y habilidades: formación específica por rol, como cursos de administración segura para el personal de TI o de aplicaciones web para quienes las desarrollan.

La formación general no se elimina: sigue siendo la base de todos. Se añade encima lo que cada rol necesita.

La política de seguridad de Costanera fija un mínimo de horas por persona y por año para cada rol. El plan debe cumplirlo; un plan por debajo de la política es un incumplimiento que se escribe antes de empezar el año. Con SELECT * FROM roles tienes, para cada rol, las horas que exige la política y las que el plan prevé.

Las horas por persona no dicen cuánto cuesta el programa. La unidad que sí sirve para planear tiempo de la empresa, calendarios y presupuesto es la hora-persona: las personas de un rol multiplicadas por las horas del plan para ese rol, sumadas todos los roles. Es la cifra que Finanzas y los jefes de área quieren ver, porque es tiempo de trabajo que sale de la operación.

Un calendario de actividades vale lo que valga la responsabilidad de cada una. Una charla sin responsable no se convoca, no se mide y no aparece en el informe del comité de noviembre. Con SELECT * FROM calendario lees las diez actividades del año con su audiencia y su responsable.

El calendario empieza con una inducción para quien entra durante el año. Es un detalle que muchos planes olvidan: el curso anual se da una vez, y quien ingresa en febrero sin ese primer contacto pasa meses sin haber leído nada. La salvaguarda 14.1 de los controles CIS v8 pide capacitar al personal al ingresar y, como mínimo, cada año, y revisar el contenido anualmente o cuando cambie algo importante en la empresa.