Durante anos, a xestión da seguridade da información centrouse en demostrar o cumprimento: políticas aprobadas, procedementos documentados, auditorías superadas. Porén, numerosos incidentes recentes poñen de manifesto unha realidade incómoda: cumprir non sempre significa protexer.
Neste contexto, cobra especial relevancia o enfoque de rendemento baseado en principios (Principled Performance), que propón desprazar o foco desde o cumprimento meramente formal cara á capacidade real da organización para soster a seguridade no tempo.
Este enfoque non substitúe os marcos normativos existentes, senón que os reforza, dotándoos de coherencia operativa.
Que é o rendemento baseado en principios?
O rendemento baseado en principios (Principled Performance) é un enfoque de xestión que prioriza:
- Principios claros e compartidos.
- Responsabilidades explicitamente definidas.
- Evidencias de funcionamento continuo.
- Capacidade de adaptación fronte a cambios e riscos reais.
Frente a modelos centrados en listas de controis, este enfoque formula preguntas clave:
Funciona o control cando se necesita?
Revísase, próbase e ten unha persoa responsable clara?
Se a resposta é negativa, o control non existe na práctica, aínda que estea documentado.
Por que o cumprimento tradicional non é suficiente
En moitos contornos de GRC e ENS repítense patróns coñecidos:
- Controis declarados que non se revisan periodicamente.
- Procedementos que existen, pero non se manteñen.
- Evidencias xeradas unicamente para a auditoría.
- Responsabilidades difusas ou implícitas.
Estes problemas non son tecnolóxicos nin normativos, senón de coherencia operativa.
O resultado é unha seguridade fráxil, dependente de persoas concretas e vulnerable aos cambios organizativos.
Aliñamento co ENS, ISO 27001 e marcos GRC
O enfoque de rendemento baseado en principios é plenamente compatible cos principais marcos de referencia:
- ENS: reforza os principios de proporcionalidade, xestión continua e responsabilidade.
- ISO/IEC 27001: encaixa coa mellora continua e coa avaliación da eficacia dos controis.
- GRC: achega unha visión integrada entre risco, cumprimento e operación real.
Non introduce novos requisitos, pero eleva o nivel de esixencia práctica.
Principios clave do rendemento baseado en principios
- Responsabilidade explícita
Cada control debe ter unha persoa responsable claramente identificada, con capacidade real de actuación. - Revisión periódica
Se un control non se revisa, degrádase. A revisión debe ser sinxela, pero constante. - Evidencia viva
A evidencia non debe xerarse só para auditorías, senón como subproduto natural da operación. - Proporcionalidade
Non todos os controis requiren o mesmo nivel de formalismo, pero todos deben ser efectivos. - Enfoque no risco
A prioridade non é “cumprir todo”, senón protexer aquilo que realmente importa.
Checklist práctico de madurez
Este checklist permite avaliar se a organización aplica realmente un enfoque de rendemento baseado en principios:
- Cada control ten unha persoa responsable claramente definida?
- Existen revisións periódicas documentadas do control?
- As evidencias xéranse de forma continua?
- O control foi probado en escenarios reais?
- Revísase a súa adecuación cando cambia o contexto?
- Está aliñado cos riscos actuais e non só cos históricos?
Se varias respostas son negativas, o control é nominal, non operativo.
O papel da automatización e da intelixencia artificial
A automatización e a intelixencia artificial poden apoiar este enfoque, pero con límites claros:
- Axudan a recompilar evidencias.
- Facilitan a correlación de eventos.
- Reducen a carga operativa.
Porén, non substitúen a responsabilidade humana nin a toma de decisións. O rendemento baseado en principios rexeita as “caixas negras” que ninguén entende nin goberna.
Beneficios do enfoque
Adoptar o rendemento baseado en principios permite:
- Reducir o esforzo nas auditorías sen perder control.
- Mellorar a resiliencia organizativa.
- Detectar fallos antes de que se convertan en incidentes.
- Aliñar seguridade, negocio e cumprimento.
- Evitar a falsa sensación de seguridade documental.
Conclusión
A seguridade eficaz non é espectacular nin depende de máis normativa ou máis ferramentas. É consistente.
O enfoque de rendemento baseado en principios (Principled Performance) lémbranos que:
Un control que non se revisa, non se proba ou non ten responsable, na práctica non existe.
Avanzar cara a este modelo é un paso necesario para organizacións que queren cumprir, pero sobre todo protexer, en contornos cada vez máis complexos e cambiantes.
