Seguridad performativa: cuando el objetivo es parecer seguro, no serlo

La seguridad performativa es el conjunto de actividades que producen la apariencia de seguridad sin producir la realidad. La capacitación que se realiza para cumplir el requisito, no para cambiar el comportamiento. La auditoría que se prepara para pasar, no para identificar vulnerabilidades reales. El simulacro que se ensaya hasta que todos saben exactamente qué hacer, eliminando el elemento de sorpresa que lo haría útil.

Existe en todas las organizaciones en alguna medida. El problema es cuando se convierte en el modo dominante de operación: cuando el objetivo del programa de seguridad es parecer seguro ante auditores, reguladores y directivos, en lugar de serlo.

Por qué la seguridad performativa es racional

La seguridad performativa no es el resultado de la mala fe. Es el resultado de incentivos mal alineados. Si el profesional de seguridad es evaluado por si pasa las auditorías, optimizará para pasar las auditorías. Si es evaluado por si cumple los requisitos de capacitación, optimizará para cumplir los requisitos. Si es evaluado por si tiene los documentos correctos, producirá los documentos correctos.

La seguridad real es más difícil de medir que la seguridad performativa. Y lo que no se mide no se gestiona.

La organización que evalúa a su función de seguridad por indicadores de actividad está incentivando la seguridad performativa. Está pagando por la apariencia de protección y recibiendo exactamente eso.

Cómo detectar y reducir la seguridad performativa

• ▸Evalúa si los indicadores de tu programa miden actividad o efectividad.
• ▸Realiza auditorías sorpresa — no las que se preparan, sino las que revelan el estado real.
• ▸Pregunta a los empleados si los controles funcionan en la práctica, no solo en el papel.
• ▸Compara el procedimiento documentado con el procedimiento real.
• ▸Evalúa si los incidentes que ocurren son los que el programa debería prevenir.