Hace ya algunas semanas tuvimos la oportunidad de escuchar a Bruce Schneier en la II Jornada Internacional del ISMS Forum (ya os lo comenté) y volvieron a surgir algunos temas recurrentes en Bruce como el efecto de la complejidad sobre la seguridad. Pero lo más interesante (desde mi punto de vista) fue la reflexión relativa a la aplicación de conceptos económicos a la gestión de la seguridad. En concreto, me llamó mucho la atención la reflexión sobre la importancia de lo que se conoce como externalidad [me encanta que mi formación como Economista tenga, al fin, una utilidad clara].

En resumidas cuentas, la externalidad se produce cuando nos encontramos en una situación en la que los costes o beneficios privados a los productores o compradores de un bien o servicio difiere del coste o beneficio social total relacionado con su producción y consumo. La externalidad existe siempre que las acciones de un agente afectan al bienestar de otro agente (para bien o para mal) de formas que no necesitan ser pagadas de acuerdo a la definición existente en la sociedad de los derechos de propiedad.

Lo mejor es recurrir a un ejemplo práctico: Un empresario que produce poco respetuosa con el medio, afectándonos a todo no tiene que pagar más por esa producción (por eso existe una legislación medioambiental).

Y lo cierto es que, en el mundo de la seguridad ocurre exactamente lo mismo y es algo sobre lo que también habíamos hablado en algún momento previo. Todo esto ha surgido al hilo del artículo publicado aquí en el que se propone la aplicación de un “impuesto” a las vulnerabilidades del software. Estoy de acuerdo con el autor (Kelly Jackson) en que se debe establecer algún mecanismo para que a los fabricantes les resulte rentable fabricar software seguro. En definitiva lo que hemos de encontrar es un mecanismo para resolver la externalidad existente en el mundo de la seguridad y en este punto, en lo relativo a las vulnerabilidades del software: Si un fabricante produce un coste al bienestar del consumidor superior a lo que éste paga por el software, debe existir algún mecanismo para igualar ambos costes.

¿Es un impuesto el mejor mecanismo? No lo sé, se abre el debate…

Antonio Ramos - Director de Consultoría Estratégica