Quién responde por qué

En un directivo la ciberseguridad no se mide por saber configurar una herramienta, sino por la responsabilidad sobre el riesgo que la empresa asume. NIST CSF 2.0, en su función Govern, lo dice en el resultado GV.RR-01: la dirección de la organización es responsable y rinde cuentas por el riesgo cibernético, y fomenta una cultura que lo tiene presente. Y GV.RR-02 añade que los roles, responsabilidades y autoridades se establecen, se comunican, se entienden y se hacen cumplir.

La ejecución sí se delega: el área de seguridad opera los controles. Lo que no se delega es decidir cuánto riesgo se acepta y con qué recursos. Esa es la línea que separa a quien opera de quien responde.

Una matriz de decisiones es una tabla corta con cuatro preguntas por decisión: quién la aprueba, quién la propone, quién la ejecuta y quién solo se informa. Parece burocracia hasta que ocurre un incidente a las dos de la mañana y nadie sabe quién puede decidir. El defecto más común no es una matriz mal hecha, sino una celda vacía: una decisión que existe y a la que nadie le ha puesto dueño.

Cuenca Verde tiene su matriz en la consola. Léela entera, fila por fila.

Aceptar un riesgo es una decisión de quien responde por él, y el reglamento de la empresa lo ordena por nivel: el dueño del riesgo acepta los de nivel ámbar; los de nivel rojo los acepta el comité de riesgos. Un directivo no necesita saber qué es un compensatorio para comprobar esto: le basta cruzar dos listas, la regla y el registro de lo aceptado.

Hay cuatro riesgos aceptados en el registro. La regla está en la matriz.

Si la responsabilidad es del consejo y la ejecución de la seguridad, lo que el consejo pide es lo que le permite decidir y supervisar: no el inventario de cada vulnerabilidad, sino qué tan expuesta está la empresa frente al riesgo que aprobó, qué decisiones le esperan y si se cumplió lo que se acordó la vez anterior. Esa es también la lógica del resultado GV.OV-01: revisar los resultados de la estrategia de gestión del riesgo para ajustar la dirección.