Andrea Pfundmeier, de Dropbox Germany, sostiene que las estrategias de seguridad fracasan no por debilidad tecnológica, sino porque los empleados esquivan las herramientas que les frenan. Su propuesta: integrar la seguridad en los flujos de trabajo cotidianos en lugar de añadirla después.
Existe una regla no escrita en la mayoría de las organizaciones: si un sistema complica el trabajo, los empleados acaban encontrando la forma de evitarlo. Según Andrea Pfundmeier, Managing Director de Dropbox Germany y Senior Group Product Manager en Dropbox, esto se cumple tanto para herramientas de CRM como para aprobaciones de documentos o políticas de gastos — y la seguridad informática, donde más se juega, no es la excepción. En un artículo de opinión, escribe que muchas empresas siguen diseñando sus estrategias de seguridad como si esta dinámica no existiera, invirtiendo millones en tecnología que parece segura sobre el papel pero que en la práctica se ignora o se elude.
La seguridad se decide en el lugar equivocado
Según Pfundmeier, la mayoría de las estrategias de seguridad se diseñan para un único destinatario: el CISO o el CTO. Convencen por sus funciones, certificaciones y controles, y a menudo lucen excelentes sobre el papel. Sin embargo, las personas que utilizan estos sistemas a diario rara vez son consultadas — y ahí empieza el problema: la seguridad no es lo que se implementa, sino lo que realmente se integra en el trabajo diario. Si compartir un archivo requiere cinco pasos adicionales, los empleados encontrarán un atajo; si una herramienta de colaboración es demasiado restrictiva, el trabajo migra a plataformas externas. El resultado, afirma, es una falsa sensación de seguridad — control formal sobre el papel, riesgo creciente en la práctica — mientras los equipos de TI pierden la visibilidad necesaria para cumplir la gobernanza y las expectativas de los clientes.
El verdadero riesgo está en el comportamiento cotidiano
Las empresas suelen imaginar las amenazas de seguridad como externas: ransomware, phishing, ataques dirigidos. Pfundmeier no cuestiona estos riesgos, pero afirma que ocultan una vulnerabilidad más silenciosa: cómo maneja la gente la tecnología día a día. Las brechas, sostiene, rara vez provienen de ataques externos espectaculares; con más frecuencia surgen de pequeñas decisiones bajo presión de tiempo, como compartir un archivo mediante un enlace privado o desviar un proceso fuera de los sistemas aprobados «solo por esta vez». Señala las aprobaciones y firmas de contratos como procesos especialmente expuestos: cuando los documentos circulan por correo, PDFs locales o herramientas no oficiales, se pierde la trazabilidad y los mecanismos de seguridad integrados. Estos atajos rara vez son malintencionados — los empleados suelen perseguir el objetivo legítimo de trabajar con eficiencia —, razón por la cual las herramientas que ralentizan el proceso resultan contraproducentes. Enfrentar seguridad y productividad, advierte, arriesga perder ambas.
Más fricción, más rodeos
Un reflejo habitual: cuando el riesgo aumenta, se refuerzan los controles — más normas, más ciclos de aprobación, más pasos. A corto plazo, esto eleva la seguridad formal, reconoce Pfundmeier. Con el tiempo, sin embargo, puede tener el efecto contrario: la brecha entre el proceso oficial y el comportamiento real se amplía, y los empleados desarrollan soluciones alternativas y procesos paralelos. Estos «flujos de trabajo en la sombra» son hoy donde se concentran los mayores riesgos, sin transparencia ni supervisión. Este patrón se observa hoy con especial claridad en torno a la IA, aunque la dinámica no es nueva: la TI en la sombra se convierte en IA en la sombra.
La facilidad de uso como factor de seguridad
Para Pfundmeier, la pregunta central ya no es cómo reforzar el control sobre los empleados, sino cómo diseñar flujos de trabajo seguros que realmente se utilicen, sin fricciones innecesarias. Esto implica integrar la seguridad desde el diseño, en lugar de añadirla al final del proceso. La facilidad de uso, sostiene, se convierte así en un factor de seguridad: los sistemas complicados o lentos empujan a los empleados hacia alternativas más simples — y a menudo menos seguras. Cita como ejemplo los procesos basados en documentos, como las aprobaciones y la firma de contratos, y menciona herramientas como Dropbox Sign, que integra autenticación, controles de acceso y registros de auditoría directamente en el proceso de firma — sencillo para los empleados, mientras las empresas conservan la transparencia necesaria para la gobernanza. La seguridad, en definitiva, pasa a formar parte natural del flujo de trabajo en lugar de ser un paso adicional.
De obstáculo a motor de crecimiento
Históricamente, la seguridad ha sido percibida en muchas empresas como un obstáculo que ralentiza los proyectos. Pfundmeier sostiene que, en un mundo de decisiones rápidas y procesos digitales, debe convertirse en un componente central de la infraestructura operativa. Los productos que tratan la seguridad como una capa añadida en lugar de integrarla desde el principio, prevé, encontrarán una aceptación cada vez menor — y cuando los empleados los eviten, las empresas perderán el control y correrán el riesgo de no cumplir los estándares que clientes, socios y reguladores esperan cada vez más. Su propuesta: entender la seguridad no como un guardián fuera del flujo de trabajo, sino como un facilitador integrado — no menos seguridad, sino seguridad integrada sin fisuras en la forma en que las personas realmente trabajan.
De cara al futuro, Pfundmeier prevé una brecha creciente entre empresas que intentan minimizar el riesgo mediante el control, ralentizándose a sí mismas, y aquellas que integran la seguridad en sus flujos de trabajo de manera que permite la innovación sin socavar la dirección empresarial. El factor decisivo, afirma, no será la tecnología en sí, sino cómo las organizaciones entienden la seguridad: no prevalecerá la arquitectura más restrictiva, sino aquella tan integrada en el día a día que no haya motivo para eludirla.
Sobre la autora: Andrea Pfundmeier es Senior Group Product Manager en Dropbox y Managing Director de Dropbox Germany, donde contribuye a la estrategia de producto centrada en soluciones B2B seguras y colaborativas. Antes de Dropbox, fundó y dirigió Boxcryptor, una empresa de software de cifrado que construyó durante más de 15 años antes de su adquisición por Dropbox en 2022, donde dirigió la estrategia de innovación, seguridad y crecimiento. Es reconocida como experta en seguridad informática, software empresarial y colaboración digital segura.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de