Las métricas en seguridad de información nos permiten conocer la eficiencia y habilidad de los responsables en esta área, sin embargo, no son definitivas ni suficientes para determinar las mejoras alcanzadas por éstos. Es decir, los datos por sí solos así como la identificación de vulnerabilidades no significan nada a menos que los ubiquemos en un contexto y con un objetivo determinado, es decir, únicamente podremos acceder y actuar con base a aquello que deseamos atender.
Por lo tanto, para aprovechar la valía de las métricas en seguridad de información es preciso trabajar con ella considerando a la compañía desde todo su modelo de negocio y funcionamiento, sin limitarla únicamente al área de seguridad de la información. Esto implica considerar aspectos como la incertidumbre, riesgos y otras variables que afectan las diversas áreas que componen la empresa, pues en alguna de ellas puede encontrarse el eslabón más débil de dónde puede surgir el ataque de los intrusos.
Así pues, de las métricas en seguridad de información podemos extraer tres lecciones importantes:
- Las métricas en seguridad de información son una ventaja para la seguridad de toda tu empresa, permitiéndote ver y comprender dónde te encuentras, qué necesitas y cómo protegerte.
- La seguridad es un proceso y como tal es medible, por consiguiente, tienes el deber de medir y controlar todos tus procesos para salvaguardar tus activos más valiosos.
- Las métricas no son sólo cifras que aumentan o disminuyen, son el resultado de gestiones, que nos muestran cuán eficiente ha sido tal persona. Por lo tanto, debemos considerarlas desde un punto de vista más flexible y humano.
De acuerdo con especialistas en seguridad de la información, las métricas “son acuerdos propios de las organizaciones en los cuales las buenas prácticas y/o estándares nos permiten comprender la brecha que tenemos frente a los ideales y no representan un ejercicio mandatorio o imprescindible para alcanzar modelos certificables frente a nuestra gestión de riesgos relacionados con la información”.
Las buenas prácticas en los negocios son las que permiten el crecimiento y protección ante las eventualidades, las métricas forman parte de éstas.
