En una empresa donde un conocido participa como consejero, el comité recibió una propuesta para evaluar la ciberseguridad de la organización. La presentación era impecable. Benchmarks internacionales, modelos pensados para instituciones que manejan millones de transacciones al día. El comité escuchó con atención. Nadie hizo preguntas incómodas porque en ese momento nadie tenía el contexto para hacerlas.
Me lo contó después de la junta con una mezcla de confusión y resignación: “Aprobamos algo que no entendimos, por eso estoy aquí contigo.”
El problema no era la propuesta que recibieron. Era que estaba diseñada para el cliente equivocado. La empresa no operaba como un banco, no manejaba los volúmenes ni el tipo de riesgo que justificaran ese nivel de evaluación. Pero sonaba seria. Y en ausencia de contexto, lo que suena serio, gana.
Un par de semanas después me buscó alguien con una aplicación en desarrollo. Un startup que sabía que iba a manejar datos importantes, sabía que existía un riesgo tecnológico. No sabía mucho más, y eso es completamente razonable; no era su área. Me dijo: “Quiero saber que es cibersegura.”
Después de algunas preguntas que le hice, empezó a sincerarse. Lo que me sorprendió fue lo que había encontrado al buscar ayuda: varios proveedores ya le habían enviado cotizaciones. Ninguno le había preguntado qué hacía la aplicación.
Uno cotizó una prueba para encontrar fallas en el sistema desde afuera. Otro, una revisión del código que ya existía. Un tercero cotizó un servicio de vigilancia continua para una aplicación que todavía no salía al mercado. Todos llegaron con una respuesta. Ninguno llegó con una pregunta.
El mercado de ciberseguridad ha dejado de vender diagnósticos. Vende soluciones. El diagnóstico no tiene tarifa, no cabe fácil en una cotización, y no genera la misma percepción de valor que una propuesta con referencias internacionales. Entonces no se ofrece. Y quien contrata, sin saber que debería pedirlo, no lo pide.
Ningún médico responsable opera a un paciente sin revisarlo primero. No importa cuánto dolor describa. No importa si llega convencido de que necesita cirugía. El primer paso es el diagnóstico. Lo que viene después depende de ese diagnóstico.
En ciberseguridad ese paso se salta con una frecuencia que debería incomodar a cualquiera que firma los presupuestos.
Una evaluación sin ese diagnóstico previo genera hallazgos. Muchos. Sin claridad de cuáles representan un problema real para el negocio y cuáles son interferencia que no va a ningún lado. Los resultados se archivan. El riesgo sigue ahí. Después viene la segunda evaluación para entender la primera.
Eso no es invertir en ciberseguridad. Es pagar dos veces por no haber empezado bien.
Lee más: Contratar un buen producto de ciberseguridad no es suficiente
Lo he visto más veces de las que quisiera compartir.
Antes del diagnóstico del proveedor, hay una conversación que tiene que pasar adentro.
No hace falta que sea técnica: ¿dónde estamos hoy? ¿Qué estamos cuidando? ¿Qué pasaría si esto falla o si alguien accede a lo que no debe? ¿Hacia dónde queremos que esté la ciberseguridad de lo que operamos en un año?
Si esa conversación no ha pasado adentro, cualquier proveedor va a llenar ese vacío con lo que le conviene vender.
He visto directores generales firmar evaluaciones sin poder explicar qué estaban evaluando. He visto responsables de ciberseguridad pedir servicios sin poder justificar internamente por qué ese y no otro. El problema no era la propuesta que llegó. Era que nadie adentro había definido qué se estaba buscando antes de abrir la puerta.
¿Qué quiero saber al final de este proceso? ¿Si estoy mejor que el año pasado? ¿Si estoy mejor que otros en mi industria? ¿O simplemente si estoy haciendo algo, aunque no sepa bien qué?
Cuando no hay nadie de ciberseguridad en la organización, esa conversación le corresponde al director general. No para que sepa de tecnología. Para que comparta qué quiere proteger. Sin eso, no está eligiendo una solución. Está eligiendo la propuesta que mejor sonó ese día.
La pregunta que va antes de cualquier cotización no es técnica. Es esta: ¿ya sé a dónde quiero llegar antes de pedirle a alguien que me diga cómo llegar?
Si la respuesta es no, cualquier propuesta va a parecer razonable. Porque no hay nada con qué compararla.
El primer esfuerzo en ciberseguridad debería producir claridad, no hallazgos. Claridad que viene de adentro, que puede ser de la mano de un proveedor. Con esa base, lo que venga después tiene dirección.
Sin ella, tiene precio.
Sobre el autor:
Correo: [email protected]
Linkedin: https://www.linkedin.com/in/andresvelazquez/
Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes México.
