La respuesta de una empresa minorista global a la notificación de una violación de seguridad de un proveedor mostró un patrón de falla que su revisión posterior al incidente denominó 'responsabilidad distribuida sin un responsable'. Cuando el proveedor notificó a la empresa minorista una violación que afectaba a los datos del programa de fidelización de clientes, la notificación llegó a las 9:14 a. m. Al mediodía, dos horas y cuarenta y seis minutos después, tres equipos distintos habían revisado la notificación, confirmado que había datos de clientes involucrados y establecido que la violación activaba las obligaciones regulatorias de notificación de la empresa. La cuestión de quién era el responsable de la decisión de notificar a los clientes afectados, la decisión concreta con un plazo regulatorio asociado, se había escalado cuatro veces sin resolverse. El equipo jurídico la escaló a la unidad de negocio porque la comunicación con los clientes era una función de negocio. La unidad de negocio la escaló al equipo de IR porque se trataba de un incidente de seguridad. El equipo de IR la escaló al área jurídica porque requería una decisión jurídica de divulgación. El área jurídica la devolvió a la unidad de negocio. Cada equipo era responsable en parte de aspectos relevantes: el área jurídica, de la interpretación regulatoria; la unidad de negocio, de la relación con los clientes; y IR, de la evaluación técnica del alcance. Nadie era responsable de la decisión en sí, la decisión integrada que requería aportes de los tres y la autoridad de uno. La decisión se tomó finalmente a las 5:47 p. m., ocho horas y treinta y tres minutos después de la llegada de la notificación, y la tomó el asesor jurídico general de la empresa, que no había formado parte de ninguna de las cadenas de escalada.
¿Qué es realmente el problema de la confusión sobre la responsabilidad de los incidentes?
La confusión sobre la responsabilidad de los incidentes es la ausencia de una persona o un equipo con autoridad clara y asignada de antemano para tomar decisiones específicas de gran trascendencia durante un incidente de seguridad. Se manifiesta cuando los incidentes requieren aportes de varios equipos (jurídico, seguridad, negocio, comunicaciones) y la integración de esos aportes en una decisión requiere una autoridad que no se ha asignado explícitamente a ninguno de los equipos participantes. El resultado es una escalada circular: cada equipo escala a otro que tiene autoridad sobre una dimensión distinta de la decisión, y la decisión circula sin resolverse hasta que se contacta directamente a una persona con suficiente jerarquía.
El problema de varios aportes para una sola decisión es la causa estructural. Las decisiones de gran trascendencia ante incidentes (si notificar a los clientes, si notificar a los reguladores, si aceptar una exigencia de rescate, si desconectar un servicio) requieren aportes de varios ámbitos: la interpretación jurídica de las obligaciones de notificación, la evaluación técnica del alcance de lo que realmente se accedió, la evaluación del impacto operativo por parte del negocio y la evaluación del enfoque de divulgación por parte de comunicaciones. Cada uno de estos aportes procede de un equipo distinto. La decisión en sí, que integra todos los aportes y exige comprometerse con un curso de acción, requiere una autoridad distinta de la de quienes aportan la información.
El mecanismo del bucle de escalada es el patrón de falla operativa. Cuando la autoridad no está asignada de antemano, los equipos que reciben solicitudes de decisión que exceden su autoridad las escalan al siguiente equipo, que tampoco tiene la autoridad integrada y vuelve a escalarlas. Cada escalada añade demora. Cada escalada sin resolución aumenta la presión sobre quien finalmente toma la decisión, a quien se contacta sin el beneficio de la deliberación que precedió a la cadena de escalada. El asesor jurídico general que toma la decisión ocho horas después la toma en menos tiempo y con menos contexto del que la decisión merecía, porque la cadena de escalada consumió ocho horas que deberían haberse dedicado a una deliberación estructurada.
- Autoridad de decisión no asignada: se asignan roles pero no la autoridad de decisión
- Decisión con varios aportes sin una autoridad que los integre
- Escalada circular: tres equipos que se escalan la decisión unos a otros
- El reloj regulatorio corre durante la escalada: ocho horas consumidas por la ambigüedad sobre la responsabilidad
- La autoridad sénior no figura en la cadena de escalada: no se contacta a GC hasta que concluye el bucle de escalada
Por qué es importante
La confusión sobre la responsabilidad de los incidentes es importante para TPRM porque la notificación de violación de seguridad del proveedor pone en marcha el reloj regulatorio del cliente, y el bucle de escalada del cliente es el mecanismo que determina cuánto de ese reloj se consume antes de tomar una decisión de notificación. Ocho horas de escalada circular en un plazo de notificación de setenta y dos horas conforme a GDPR representan el once por ciento del tiempo de respuesta disponible consumido por una brecha interna de responsabilidad. Corregir la confusión sobre la responsabilidad de los incidentes está totalmente en manos del cliente antes de que llegue la notificación de violación del proveedor que la desencadena.
Dónde se equivocan la mayoría de los equipos
La falla más constante es confundir la asignación de roles con la asignación de autoridad de decisión. Los planes de IR que asignan equipos a los incidentes no asignan automáticamente la autoridad para tomar las decisiones integradas que requieren los aportes de todos los equipos.
- Asignación de roles confundida con autoridad de decisión
- Ningún responsable único de las decisiones de gran trascendencia ante incidentes
- Cadena de escalada no definida de antemano: a quién se llama cuando los tres equipos están bloqueados
- La autoridad sénior no figura en la primera ruta de notificación de los incidentes graves
- Matriz de autoridad de decisión no puesta a prueba antes de que los incidentes revelen las brechas
Cómo se ve una buena práctica
Los marcos maduros de responsabilidad de incidentes designan autoridades de decisión específicas para tipos definidos de decisiones ante incidentes (personas concretas con autoridad asignada de antemano para tomar decisiones integradas de notificación, contención y escalada) y ponen a prueba esas designaciones mediante ejercicios de simulación antes de que los incidentes las requieran.
- Responsable de decisión específico para cada tipo de decisión de gran trascendencia ante un incidente
- Matriz de autoridad de decisión: qué persona es responsable de qué tipo de decisión
- Autoridad sénior en la primera ruta de notificación de los incidentes graves
- La cadena de escalada termina con un nombre: una persona concreta que decide si los responsables de decisión no pueden hacerlo
- Autoridad de decisión puesta a prueba en simulaciones: ejercicios que abordan específicamente la decisión, no solo los aportes
Herramientas
Gestión de incidentes: ServiceNow, PagerDuty con flujo de decisiones
Las plataformas de gestión de incidentes con políticas de escalada configurables pueden implementar el enrutamiento por autoridad de decisión, es decir, avisar automáticamente al responsable de decisión designado cuando un incidente llega a un punto de decisión definido. Para los profesionales de TPRM, preguntar si la plataforma de gestión de incidentes del proveedor implementa el enrutamiento por autoridad de decisión plantea una pregunta específica sobre la automatización de la responsabilidad en la respuesta interna del propio proveedor.
Desafíos de gobernanza
El desafío de gobernanza de la responsabilidad de los incidentes es la conversación sobre la asignación de autoridad. Asignar a personas concretas la autoridad para tomar decisiones de notificación, decisiones con consecuencias jurídicas, financieras y reputacionales, requiere conversaciones explícitas sobre el alcance de la autoridad, la rendición de cuentas y el respaldo de la alta dirección. Estas conversaciones son más fáciles antes de un incidente que durante él.
- Asigne responsables de decisión concretos y con nombre para cada tipo de decisión de gran trascendencia
- Incluya al responsable de decisión en la primera ruta de notificación de los incidentes graves
- Ponga a prueba la autoridad de decisión en simulaciones: ejercicios que llegan al punto de decisión, no solo a los aportes
- Defina el punto final de la escalada: a quién se contacta cuando los responsables de decisión no están disponibles
- Revise la autoridad de decisión una vez al año: el responsable cambia cuando cambia el personal
Si usted forma parte de un equipo pequeño
Identifique las tres decisiones de mayor trascendencia que su organización tendrá que tomar ante una violación de seguridad de un proveedor: si notificar a los clientes, si notificar a los reguladores y si aceptar una exigencia de rescate. Para cada una de esas tres decisiones, escriba un nombre: la persona concreta que tiene autoridad para tomar esa decisión. No un equipo. No un rol. Un nombre. Compruebe si esa persona sabe que tiene esa autoridad y si dispone de la información que necesita para ejercerla. Ese ejercicio, realizado en treinta minutos antes de un incidente, cierra el bucle de escalada circular antes de que empiece.
- Identifique las tres decisiones de mayor trascendencia ante una violación de seguridad de un proveedor
- Escriba un nombre para cada decisión: la autoridad, no el equipo
- Confirme que la persona designada sabe que tiene esa autoridad
- Ponga a prueba la autoridad de decisión en el próximo ejercicio de simulación
Qué exigir
Pregunte directamente:
"Cuando llegue la notificación de violación de seguridad de su proveedor, ¿quién concretamente, una sola persona con nombre propio, tiene autoridad para tomar la decisión de notificar a los clientes, y con qué rapidez se puede localizar a esa persona a las 9 p. m. de un martes?"
Evidencia que debe esperar
- Responsable de decisión nominal para la decisión de notificar a los clientes
- Responsable de decisión nominal para la decisión de notificación regulatoria
- Datos de contacto fuera del horario laboral de los responsables de decisión
- Confirmación de que los responsables de decisión se pusieron a prueba en ejercicios de simulación
Un proveedor cuya notificación de violación de seguridad pone en marcha el reloj regulatorio del cliente debería suscitar de inmediato una pregunta interna: ¿quién es el responsable de la decisión? Responda esa pregunta antes de que llegue la notificación. Un nombre. Para cada decisión. Puesto a prueba antes de que se necesite.
Cómo demostrarlo
- Documentación de la matriz de autoridad de decisión
- Registros de los responsables de decisión nominales
- Registros de ejercicios de simulación que muestran los puntos de decisión
- Documentación de la cadena de escalada con los puntos finales de decisión
Conclusión clave
Tres equipos. Cuatro escaladas. Ocho horas y treinta y tres minutos. El reloj regulatorio corría desde las 9:14 a. m. El asesor jurídico general tomó la decisión a las 5:47 p. m. La decisión llevó treinta minutos una vez que llegó a la autoridad adecuada. Se consumieron ocho horas en llegar a esa autoridad a través de un bucle de escalada sin un punto final definido. Los roles son aportes a las decisiones. La autoridad es la función de tomar decisiones. Asignar roles sin asignar autoridad produce la escalada circular que consume el tiempo regulatorio. Identifique las decisiones. Nombre a los responsables. Ponga a prueba la autoridad antes de que la notificación del proveedor ponga en marcha el reloj.