Gestionar los riesgos de seguridad de la información no es tarea de un solo equipo. El modelo de tres líneas de defensa, adoptado desde la terminología militar de la Segunda Guerra Mundial, ofrece una estructura clara para distribuir responsabilidades y garantizar que los controles funcionen de forma eficiente en cualquier organización, sin importar su tamaño.
¿Quién es el verdadero responsable del riesgo en la primera línea de defensa?
La primera línea de defensa corresponde a la gestión operativa, es decir, al dueño del proceso donde se identifican los riesgos [0:42]. Contrario a lo que muchos suponen, el responsable del riesgo no es el área de tecnología ni el área de seguridad de la información. Es quien ejecuta la tarea a diario.
- Conoce el proceso mejor que nadie.
- Identifica en qué punto puede existir una falla.
- Debe ser cuidadoso en la ejecución de cada actividad.
Este enfoque tiene una lógica sencilla: quien opera el proceso sabe exactamente dónde están las vulnerabilidades. Sin embargo, existe un problema frecuente. Si el funcionario operativo comete un error, difícilmente levantará la mano para reportarlo [2:07]. Probablemente intentará ocultarlo, lo que puede derivar en un problema serio para la organización.
¿Qué papel cumple la segunda línea de defensa con el monitoreo frecuente?
Precisamente para detectar esas situaciones que la primera línea no reporta, existe la segunda línea de defensa [1:36]. Aquí encontramos roles como el oficial de seguridad de la información, los oficiales de cumplimiento y los encargados de gestionar riesgos de manera centralizada.
Su función principal es el monitoreo frecuente. Un ejemplo concreto lo ilustra con claridad: la gestión de cuentas de usuario [2:42].
- Cuando un funcionario se retira de la compañía, la dirección de tecnología (primera línea) debe desactivar su cuenta.
- El oficial de seguridad de la información (segunda línea) genera periódicamente un listado de usuarios activos y lo cruza con el reporte de gestión humana sobre funcionarios retirados [3:15].
- Este cruce permite verificar que las cuentas estén completamente desactivadas.
La frecuencia recomendada para este tipo de revisiones es semanal. Dependiendo del tamaño de la compañía, puede extenderse a quince días o un mes, pero nunca debe superar ese plazo [3:05].
Además del oficial de seguridad de la información, la segunda línea incluye seguridad física, áreas de calidad, inspección y cumplimiento normativo, así como un área de gestión de riesgos si la compañía cuenta con una dedicada [4:32].
¿Por qué la auditoría interna es indispensable como tercera línea de defensa?
La tercera línea de defensa es la auditoría interna [3:48]. Funciona como un órgano independiente que evalúa de manera objetiva tanto a la primera como a la segunda línea.
¿Qué evalúa exactamente la auditoría interna?
- Cómo la primera línea gestiona sus riesgos.
- Si la segunda línea monitorea de forma eficiente esa gestión.
- Genera informes con acciones correctivas o no conformidades cuando detecta fallos [4:05].
¿A quién reporta la auditoría interna?
Aunque pertenece a la misma compañía y tiene una dependencia jerárquica del CEO, la auditoría interna también reporta al comité de auditoría o a la junta directiva [5:07]. Este doble reporte garantiza independencia y objetividad.
El gráfico del Instituto de Auditores Internos resume esta estructura: la primera línea implementa controles de gerencia y medidas de control interno; la segunda línea agrupa controles financieros, seguridad física y de la información, gestión de riesgos y cumplimiento; la tercera línea, auditoría interna, supervisa a las otras dos [4:18]. Por fuera del modelo se encuentran la auditoría externa y los organismos de control o entes reguladores del país.
¿Es necesario este modelo en empresas pequeñas?
La recomendación de la norma es clara: las tres líneas de defensa deben existir sin importar el tamaño de la organización [5:37]. Aunque el equipo sea reducido, contar con al menos un funcionario que realice la revisión independiente de tercera línea resulta fundamental para una gestión eficiente de seguridad de la información.
Si ya identificas el rol de cada línea de defensa, revisa tu organización y comparte en los comentarios si actualmente aplican este modelo.
