Las inversiones en seguridad son decisiones de negocio
La próxima propuesta de seguridad no debería comenzar con un equipo.
Debería comenzar por aquello que el negocio necesita seguir logrando y por la pérdida que se busca prevenir.
Ese fue el mensaje central de la sesión de GSX 2026, titulada "Making the Business Case for Security Through Risk-Based Investment Decisions", presentada por Daniel R. Young, MBA, MS; Jeff Slotnick, CPP; y Michael Martin.
La seguridad compite por capital, no solo por aprobación. Los ejecutivos no deciden únicamente si existe una vulnerabilidad o si una tecnología constituye una buena práctica. Deciden dónde invertir recursos limitados, qué nivel de riesgo están dispuestos a asumir y qué alternativa apoya mejor los objetivos del negocio.
Eso requiere una conversación diferente.
Del equipo a la exposición al riesgo
Una propuesta tradicional de seguridad puede comenzar con una cámara, una actualización de control de acceso, un vigilante adicional, una cerca o una plataforma de software. Estas soluciones pueden ser apropiadas, pero por sí solas no constituyen un caso de negocio.
Una vulnerabilidad todavía no es un caso de negocio.
Para que lo sea, debe conectarse con un escenario de pérdida creíble y una consecuencia para la organización:
Vulnerabilidad → Escenario creíble → Consecuencia de negocio → Exposición al riesgo
Por ejemplo, un sistema de control de acceso obsoleto constituye una condición. El caso de negocio comienza cuando explicamos la posible secuencia desde esa condición hasta una entrada no autorizada, la interrupción de una operación crítica y el impacto sobre las personas, los clientes, las operaciones, las finanzas, las obligaciones legales o la reputación.
Este enfoque cambia la conversación de “necesitamos reemplazar este sistema” a “esta es la exposición que la organización mantiene si no se atiende esta vía de falla”.
El valor de la seguridad no siempre se expresa como un ROI tradicional
Las inversiones que generan ingresos suelen evaluarse en función de la ganancia que pueden generar. Las inversiones en seguridad funcionan de otra manera. Su valor con frecuencia radica en reducir las pérdidas inciertas y en fortalecer la resiliencia.
Esto no significa que debamos evitar el análisis financiero. Cuando la información esté disponible, podemos cuantificar los costos de interrupción, de recuperación, los daños a la propiedad, la responsabilidad legal y la afectación operativa.
Sin embargo, no todas las consecuencias relevantes pueden resumirse en una sola cifra.
La seguridad de las personas, la confianza, la reputación, la interrupción del liderazgo y la resiliencia organizacional pueden ser materiales, aun cuando no sea posible estimarlas con precisión absoluta. Una recomendación sólida reconoce tanto las consecuencias cuantificables como las materiales de una falla de seguridad.
El objetivo no es crear una falsa sensación de precisión. Las estimaciones de riesgo son insumos para la toma de decisiones, no profecías.
Usar rangos, documentar los supuestos y comprobar si la recomendación se mantiene válida bajo diferentes condiciones es más creíble que presentar un número exacto que sugiera una certeza inexistente.
El marco CLEAR
Los expositores presentaron un marco práctico, CLEAR, para transformar el análisis de seguridad en una decisión de asignación de capital.
C — Clarify: Aclarar el objetivo de negocio
Comience por la operación, no por la solución de seguridad.
¿Qué debe continuar logrando la organización?
La respuesta puede incluir proteger a los empleados, mantener la producción, cumplir compromisos con clientes, preservar el acceso a un área crítica, respaldar una adquisición o mantener una instalación operativa durante una interrupción.
Este paso identifica el objetivo, sus dependencias, el responsable del riesgo y la tolerancia al riesgo de la organización. Así, la seguridad se vincula directamente con el resultado de negocio que importa.
L — Lay out: Definir el escenario de pérdida
Una preocupación general debe convertirse en una secuencia específica de eventos.
Un escenario útil describe:
Disparador → Falla de control → Progresión del evento → Consecuencia de negocio
Esta estructura ayuda a los responsables de la toma de decisiones a comprender cómo una condición de seguridad puede convertirse en una pérdida para el negocio. También evita que una recomendación se base únicamente en una preocupación vaga o en una posibilidad llamativa.
El escenario no necesita predecir el futuro a la perfección. Debe ser lo suficientemente creíble como para respaldar una decisión razonada.
E — Estimate: Estimar la exposición actual
El riesgo crea el contexto para decidir:
Riesgo = Probabilidad × Severidad
La probabilidad indica qué tan probable es que ocurra un escenario. La severidad considera el impacto potencial sobre la seguridad de las personas, las operaciones, el desempeño financiero, la exposición legal y la reputación.
El equipo debe evaluar el riesgo base, considerar los controles existentes e identificar la exposición residual si no se realiza ningún cambio.
Aquí también deben hacerse visibles los supuestos. Una recomendación es más sólida cuando Operaciones, Finanzas, Seguridad y otros interesados pueden revisar y validar la base sobre la que se construyó.
A — Assess: Evaluar alternativas de tratamiento
No todos los riesgos requieren la misma respuesta. Las organizaciones pueden aceptar, evitar, transferir o reducir un riesgo. La reducción puede enfocarse en disminuir la probabilidad, en reducir la severidad o en ambas.
La pregunta importante no es simplemente: “¿Qué opción cuesta menos?”
La pregunta es: “¿Cómo cambia el riesgo con cada opción?”
Las alternativas deben compararse considerando:
- Costo
- Tiempo para generar valor
- Efectividad
- Impacto sobre la probabilidad
- Impacto sobre la severidad
- Exposición residual
- Alineación con las restricciones actuales de capital
La opción más económica puede dejar una exposición residual inaceptable. La alternativa más costosa puede ofrecer rendimientos decrecientes. La mejor inversión es la que ofrece el mayor valor ajustado al riesgo, de acuerdo con las prioridades de la organización.
R — Recommend: Recomendar, medir y revisar
Una recomendación sólida comienza con la decisión, no con páginas de análisis.
Por ejemplo:
Aprobar mejoras específicas al control de acceso y a los procedimientos de respuesta revisados. Esta alternativa reduce la vía de interrupción más creíble y mantiene la flexibilidad de capital.
La recomendación debe explicar por qué es necesario actuar ahora, qué exposición atiende, cómo se medirá el éxito, qué riesgo residual permanece y cuándo deben revisarse nuevamente los supuestos.
Los ejecutivos no necesitan certeza absoluta. Necesitan una decisión defendible.
La reducción de riesgo es el valor
La presentación utilizó el caso ficticio de una instalación crítica con controles envejecidos y un aumento en intentos de acceso no autorizados. El objetivo de negocio era claro: mantener la continuidad de las operaciones.
El equipo no comenzó asumiendo que la respuesta debía ser un reemplazo total del sistema. Primero estableció un escenario de pérdida creíble, estimó la exposición actual y comparó tres alternativas:
- Reemplazo completo del sistema
- Mayor monitoreo y personal de respuesta
- Mejoras tecnológicas específicas junto con procedimientos de respuesta revisados
La alternativa recomendada no era necesariamente la más grande ni la más costosa. Era la que abordaba la vía de falla más probable, reducía tanto la probabilidad como la duración de una interrupción, mejoraba la resiliencia y se ajustaba a las restricciones actuales de capital.
Ese es el valor de una decisión de inversión basada en el riesgo. Deja claro que la organización no está comprando equipos por los equipos en sí. Está reduciendo una exposición que podría impedir que el negocio alcance un objetivo importante.
Prepararse para la conversación ejecutiva
Una recomendación completa debe responder las preguntas que los líderes probablemente harán después:
- ¿Qué decisión necesita que tome?
- ¿Por qué ahora?
- ¿Qué ocurre si esperamos?
- ¿Qué escenario de pérdida estamos atendiendo?
- ¿Qué supuestos respaldan la recomendación?
- ¿Cómo sabremos si la inversión funcionó?
- ¿Cuándo revisaremos la decisión nuevamente?
Cuando estas preguntas se responden de antemano, resulta más fácil que la seguridad se entienda como una función de negocio. La conversación deja de centrarse en las características técnicas y se enfoca en las decisiones y compensaciones que los ejecutivos ya están gestionando.
Un mejor rol para la seguridad
La seguridad no elimina el riesgo. Ninguna inversión puede prometer eso.
Lo que sí puede hacer la seguridad es ayudar a la organización a comprender qué riesgos está aceptando, cuáles está reduciendo y qué puede estar dejando de obtener en el proceso.
Así es como la seguridad adquiere un papel más destacado en las decisiones estratégicas. No pidiendo la aprobación de una solución porque es una buena práctica o porque algo malo podría ocurrir, sino demostrando cómo una inversión propuesta protege un objetivo de negocio y reduce una exposición creíble.
El marco CLEAR ofrece una forma práctica de comenzar.
Elija una inversión de seguridad pendiente. Defina el objetivo de negocio. Describa el escenario de pérdida. Estime la exposición actual. Compare alternativas realistas. Luego, escriba la recomendación antes del análisis.
El objetivo no es predecir el futuro a la perfección.
Es tomar una decisión defendible.