La comodidad y la urgencia pueden convertirse en dos de los principales enemigos de la seguridad bancaria, al presionar a las organizaciones para reducir controles, acelerar procesos y tomar decisiones sin completar las verificaciones necesarias.
Así lo planteó Arnulfo Espinosa, director de Auditoría de Tecnologías de la Información (TI) y Prevención/Detección de Fraudes en Grupo Financiero Afirme, durante el XXIX Congreso Internacional de Finanzas y Auditoría (CIFA) y el XXIV Seminario Latinoamericano de Contadores y Auditores (Selatca).
Espinosa explicó que todas las áreas de seguridad enfrentan amenazas específicas, desde los ataques cibernéticos hasta los riesgos asociados con las personas y los procesos. Sin embargo, sostuvo que existe un factor menos visible que puede debilitar los controles: la tendencia de usuarios y corporaciones a buscar soluciones más cómodas.
Un ejemplo está en las contraseñas. Una clave sencilla y que no cambia con frecuencia resulta cómoda para el usuario, pero ofrece un nivel menor de seguridad. En cambio, exigir contraseñas complejas, renovaciones periódicas y factores adicionales de autenticación incrementa la protección, aunque también genera mayor fricción para quien utiliza los sistemas.
El mismo dilema aparece en las operaciones financieras. Espinosa señaló que un crédito con numerosas autorizaciones, revisiones y comités puede ser más seguro para la organización, pero también más lento para el negocio. Si se eliminan los controles para agilizar el proceso, la operación se vuelve más cómoda, pero aumenta la exposición al riesgo.
“Nos pagan para encontrar este punto: el balance entre la usabilidad y el control. El balance entre la velocidad y la seguridad”, afirmó el especialista.
La urgencia puede llevar el problema un paso más allá. Espinosa relató el caso de un hospital en el que un médico necesitaba conectar a internet un dispositivo para actualizarlo antes de realizar una intervención. La solicitud debía pasar por los controles de seguridad, pero la presión por realizar la operación llevó finalmente a habilitar la conexión. El caso, explicó, muestra cómo una situación urgente puede terminar modificando los controles establecidos.
Para el ejecutivo, la respuesta no consiste en colocar controles que hagan imposible operar al negocio, sino en encontrar un equilibrio entre protección y capacidad de respuesta. “Tanto negocio como sea posible, tanto gobierno como sea necesario”, resumió.
Riesgos
Espinosa sostuvo que este equilibrio también debe trasladarse a la gestión de riesgos y al gobierno corporativo. Las organizaciones ya no enfrentan los riesgos tecnológicos de manera aislada, mediante listas de verificación, sino que deben gestionarlos como un portafolio con prioridades y participación de las distintas áreas.
A este escenario se suma la inteligencia artificial, que puede amplificar las consecuencias de una decisión equivocada. El especialista advirtió que un modelo puede cumplir el objetivo para el que fue diseñado, pero tomar un camino que nadie anticipó. En los modelos predictivos utilizados para detectar fraude, por ejemplo, un error puede replicarse sobre cientos o miles de operaciones.
“Cuando el error es algorítmico los errores son escalables”, sostuvo Espinosa, al señalar que la automatización cambia la dimensión del riesgo. Por ello, consideró necesario fortalecer la gobernanza, la supervisión y la responsabilidad humana sobre las decisiones apoyadas en inteligencia artificial.
El reto para las entidades financieras, concluyó, es evitar que la búsqueda de rapidez y comodidad termine debilitando los controles, sin convertir la seguridad en una barrera para la operación. El punto de equilibrio, según Espinosa, está en proteger el negocio sin paralizarlo.
