IMAGINARIOS SOCIALES. UNA HERRAMIENTA SISTÉMICO-SOCIAL PARA TRANSFORMAR UNA CULTURA ORGANIZACIONAL DE SEGURIDAD DE LA INFORMACIÓN

Jeimy J. Cano M. Universidad Santo Tomás Doctorando en Educación

Resumen En este artículo se presentan los resultados de una investigación adelantada durante el año 2015 en una empresa del sector minero energético con aproximadamente 9000 empleados, seleccionando al azar 393 personas de cargos y responsabilidades diferentes. La investigación tuvo como objetivo establecer el diagnóstico de la cultura organizacional de seguridad de la información para lo cual se tuvo como referente conceptual la teoría de los imaginarios sociales y los fundamentos epistemológicos del pensamiento de sistemas y la sociocibernética. En la investigación se empleó un diseño de tipo seccional, en el que los imaginarios sociales de la seguridad de la información propuestos se evaluaron a través de la aplicación de un instrumento (cuestionario experimental basado en una escala de Likert). Los resultados obtenidos se analizan mediante operaciones matemáticas donde se promedian las puntuaciones de cada una de las declaraciones disponibles en el instrumento, seleccionado aquellas con menor desviación estándar, las cuales se cruzan con los imaginarios propuestos para hallar aquel que es más predominante. Finalmente, basado en los resultados se ofrecen algunas conclusiones que confirman la relación existente entre individuo y sistemas sociales, y cómo los imaginarios sociales permiten revelar aspectos invisibles de una cultura organizacional de seguridad de la información.

Palabras clave Seguridad de la información, imaginarios sociales, pensamiento sistémico

Introducción La sociedad del siglo XXI está fundada sobre la base del tratamiento de la información como quiera que en las relaciones que desarrolla lo que fluye y se manifiesta es este recurso natural propio de una sociedad de la información y el conocimiento (Córdoba-Pachón, 2010). En este sentido, la digitalización acelerada de productos y servicios, nos advierte sobre los cambios y transformaciones que se están presentando en la dinámica social y que delinean formas alternas a través de las cuales los individuos se relacionan y construyen su realidad (Cortada, 2011).

En este ejercicio de construcción social cada persona establece su propio referente sobre lo que comparte y valida frente a su realidad, dejando de lado aquello que, puede o no ser relevante, y que no se encuentra potencializado, bien por sus intereses o necesidades del momento. Esto supone, que la cada persona en su interacción social define la manera como indica la realidad y revela aquello que considera importante, bien porque lo afecta de manera directa o se encuentra asistido por una utilidad particular. Así las cosas, como bien anota Pintos referenciado por Cegarra (2012), “cada acto individual de lo cotidiano o del mundo de la vida da cuenta de los imaginarios como esquemas de esa integración social”, que en términos de Luhmann es “el resultado de las «distinciones» realizadas desde observadores que operan con unas particulares (y siempre parciales) «observaciones»” (Carretero, 2010, p.100).

En este contexto, la Cultura Organizacional de Seguridad de la Información COSI, no es ajena a esta realidad compartida en las empresas, como quiera que los comportamientos que se esperan respecto del tratamiento de la información, serán un reflejo de ese imaginario compartido que da cuenta de la forma como una comunidad entiende, valida y confirma la protección de la información, para lo cual se hace necesario revelar las distinciones relevantes, que siguiendo a Pintos comentado por Carretero (2010, p.100), hace manifiesta una manera de ser particular de la realidad, respecto de esta temática.

En razón con lo anterior, este trabajo de investigación fundado en el reconocimiento de los imaginarios sociales, leídos desde los desarrollos teóricos y epistemológicos de Pintos (1994, 1995, 1999), realiza una mirada novedosa sobre la cultura organizacional de la seguridad de la información, para recabar los imaginarios vigentes en una empresa particular alrededor de la protección de la información, como fundamento y diagnóstico de dicha cultura, con el fin de revelar esos referentes compartidos respecto de la seguridad de la información donde subyacen creencias, valores y actitudes.

Para dar cuenta de las reflexiones previamente comentadas el documento se organiza de la siguiente forma. En la sección antecedentes, se detallan las motivaciones y contexto epistemológico en los cuales surge la necesidad de conocer y detallar lo que ocurre al interior de la cultura organizacional de seguridad de la información y cómo ésta es el fundamento clave para promover y asegurar una gestión segura de la información.

Seguidamente, en el marco teórico se detallan los conceptos claves que fundan la investigación como son el imaginario social, la cultura organizacional de seguridad de la información y la propuesta de imaginarios de la seguridad de la información, basados en las creencias, valores y actitudes de las personas, para lo cual un estudio reciente en seguridad de la información de alcance internacional (CISCO, 2015) pone de manifiesto cuatro perfiles de personas y sus posturas frente a la protección de la información.

Luego, se presentan los elementos prácticos de la metodología de investigación realizadas, donde se caracteriza la población, la caracterización base de sus lectura de la seguridad de la información y se informa sobre los métodos de validación del instrumento utilizado así como la validez interna del mismo.

Finalmente, se presentan los resultados y la discusión final respecto de los planteamientos teóricos realizados, con el fin de establecer recomendaciones sobre los constructos sociales identificados y cómo fundamentar aquellos nuevos imaginarios sociales deseados sobre la cultura organizacional de seguridad de la información.

Antecedentes La protección de la información en la sociedad de la información y el conocimiento es un reto no solamente de las organizaciones modernas sino de la sociedad en sí misma. Como quiera que la información se ha convertido en un activo estratégico de las empresas, su adecuado tratamiento es una condición clave para efectos de mantener y desarrollar ventajas competitivas en un mundo en constante movimiento.

La tensión inherente que se presenta entre la necesidad de compartir y proteger en el escenario actual genera retos importantes tanto para la sociedad como para las organizaciones. Mientras las exigencias de transparencia y eficiencia propias del gobierno corporativo obligan a las empresas a compartir información, la dinámica propia de sus negocios le demanda mantener restricciones en el acceso a información, que define la forma especial y diferente en que hace las cosas, en su sector de negocio.

En este sentido, cuando las personas en las organizaciones, no comprenden las implicaciones de sus comportamientos inadecuados frente al tratamiento de la información, crean las condiciones donde los riesgos se materializan en brechas de seguridad de la información, generando implicaciones para las empresas en el orden financiero, reputacional y jurídico (posibles sanciones legales).

Frente a esta realidad, la cultura organizacional de seguridad de la información de la empresa se convierte en el mejor ejercicio de aseguramiento disponible para la empresa y la sociedad, habida cuenta que es en las prácticas de las personas

donde se hace realidad la efectividad de la seguridad y control de la información, más allá de los mecanismos tecnológicos utilizados.

Por tanto, una lectura de la cultura organizacional de seguridad de la información, como parte de un sistema social complejo (García, 2013), en el contexto de la sociedad de la información y el conocimiento, supone comprender la evolución de los comportamientos propios de un conglomerado social respecto del tratamiento de la información, reconocer los imaginarios que se manifiestan en su práctica y advertir las características no observables inherentes a las actividades o acciones que los individuos desarrollan alrededor de sus procesos de negocio.

La complejidad de los sistemas sociales, invita a una aproximación diferente a las formas de conocer tradicionales, mientras que éstos emergen “cuando miembros de un colectivo producen una red cerrada de interacciones o relaciones recurrentes” (Espejo, 2012, p.329) donde comparten significados y experiencias a través de sus acciones y decisiones, que los hacen distintos de otros colectivos, dándoles identidad propia.

Lo anterior representa que los significados creados y producidos por los actores de la comunidad son determinados por sus estructuras y no por la información que se encuentra en el medio donde ésta opera (Espejo, 2012, p.331). Esto es, que existe una red de significados compartidos, que absorbe la información del medio donde se encuentra el sistema social, para incorporarla en la medida que sea pertinente y así mantener su propia identidad.

Así las cosas, introducir cambios en los sistemas sociales resulta una tarea exigente, pues su respuesta natural es mantener su identidad y no cambiar sus relaciones. En este contexto, cuando dichos sistemas cambian, es decir modifican sus estructuras para mantener su identidad, lo hacen como agentes autónomos que se adaptan para continuar existiendo en su entorno (Espejo, 2012, p.332).

Si lo anterior es cierto, parafraseando a Vozmediano, sólo podemos tratar con sistemas sociales en los cuales todos sus cambios están determinados por su estructura, cualquiera que esta sea, y en los cuales estos cambios estructurales se dan como resultado de su propia dinámica o desencadenados por sus interacciones” (las cursivas están fuera del texto original). (Vozmediano, 2014, p.159)

Lo anterior lo corrobora Giddens (1995) al afirmar que cuando los participantes de los sistemas sociales desarrollan sus acciones, afectan los contextos en los que se lleva a cabo la vida social cotidiana. De igual forma, la estructura, determinada por reglas y recursos organizados de manera recursiva, restringen y permiten a los individuos actuar en su entorno social, creando una relación de causalidad circular, donde la estructura no existe sin el conocimiento y participación de los agentes o individuos en su accionar cotidiano.

Así las cosas, la cultura organizacional de seguridad de la información es un proceso de construcción de realidad sistémico, fundado sobre operaciones cognitivas de sus participantes que se repiten de manera anidada (Von Foerster, 2003), asociados con comportamientos propios de las comunidades y cuyas estructuras se recomponen así mismas en un escenario de evolución que va desde lo reactivo a lo sostenible, como tendencias de la madurez de un proceso que se inicia en un individuo y se hace realidad en un colectivo.

Marco teórico De acuerdo con Carretero (2010) existen al menos tres niveles de entendimiento de los imaginarios sociales: el arquetipo cultural, la significación imaginaria y el constructor de realidades sociales. El arquetipo cultural concepción de Gilbert Durand, expuesto en su obra “Las estructuras antropológicas de lo imaginario” publicada en 1981, establece la visión del imaginario social en tres vértices fundamentales: (Carretero, 2010, p.93-95)



La presencia de arquetipos con referencia a «constantes antropológicas», donde se privilegian figuras e imágenes mitológicas, las cuales actuarían a modo de pilares presupuestos, intangibles y globales, sobre los que se reposa y, al mismo tiempo, se articula la totalidad del ser y del sentir de una cultura.



“El «imaginario social» está relacionado con ese permanente «fondo cultural», con esa persistente huella mítica fijada en «imágenes primordiales», que perseveraría en su actuación más allá de los avatares y de las complejas sinuosidades históricas” (Carretero, 2010, p.94).



El imaginario social se encarna en el símbolo, haciéndose visible, “la invisibilidad mítica y arquetipal sobre la cual se ancla una determinada cultura” (Carretero, 2010, p.95).

De otra parte tenemos la significación imaginaria es una conceptualización más elaborada que la anterior. Comelius Castoriadis es el representante más relevante de esta propuesta, manifiesta en su obra “La institución imaginaria de la sociedad” publicada en 1975. Para Castoriadis, el imaginario social es una creación de “significaciones imaginarias sociales y de la institución”. Esto es, nace como un fenómeno individual, que luego pasa al plano social en el contexto de las relaciones entre los participantes, el cual “se colectiviza no como una suma de imaginarios individuales, sino gracias a condiciones históricas dadas y sociales favorables para lograr ser instituidos” (Cegarra, 2012, p.10).

La vista del constructor de realidades sociales, cuyo representante está en Juan Luis Pintos, materializado en su obra “Los imaginarios sociales: la nueva construcción de la realidad social” publicada en 1995, entiende los imaginarios sociales desde el constructivismo sistémico como mecanismos de comprensión de la realidad y del orden social. Para Pintos (1999) un imaginario social son “aquellos esquemas, construidos socialmente, que nos permiten percibir algo como real, explicarlo e intervenir operativamente en lo que en cada sistema social se considere como realidad”, definición que supone que:



“La realidad social es el resultado de las distinciones efectuadas por observadores que operan con unas particulares (y siempre parciales) «observaciones»” (Carretero, 2010, p.100).



Un determinado «imaginario social», al operar mediante una «distinción», haría relevante una concreta manera de ser de la realidad, haciendo opacas otras posibles maneras de ser —también plausibles— a través de las cuales se nos podría hacer presente esa misma realidad (Carretero, 2010, p.100).



Las sociedades actuales, son sociedades «policontextuales», donde existe una prevalencia de la competencia entre distintas instituciones, medios de comunicación, entre otros, por adueñarse de una definición particular de la realidad (Carretero, 2010, p.101).

Para el caso de esta investigación los imaginarios sociales estarán asistidos por las definiciones del constructor de realidades, donde las consideraciones de la sociocibernética (Pintos, 1994) estarán presentes, para hacer visible lo invisible, “es decir, las regulaciones sociales adquieren “materialidad” sólo cuando son puestas en escenas a través de las actuaciones debidamente sancionadas y reguladas de los comportamientos individuales” (Cegarra, 2012, p.10).

En este sentido, si lo anterior es correcto y considerando la cultura organizacional de seguridad de la información una construcción colectiva y anidada de elaboraciones sociales y significaciones que los individuos le dan a aspectos específicos de la protección de la información, tenemos una articulación conceptual y epistemológica que nos permite leer y explicar las posibles opacidades y luces que implica la lectura de los comportamientos de los individuos en el tratamiento de la información.

Reid, Van Nieker y Renaud (2014) introducen el concepto de cultura de seguridad de la información, entendiendo éste desde la vista de sistemas anidados que revelan propiedades emergentes que le permiten automantenerse y

autorepararse. Esta lectura corresponde a una interpretación desde la teoría de los sistemas vivos, los cuales son entes abiertos, complejos, adaptativos y autoorganizados que interactúan con su medio ambiente u otros sistemas.

Esta definición introduce la noción de anidamiento, que leído en términos cibernéticos (Hoverstadt, 2008), significa establecer un patrón orgánico que se repite al interior de la estructura estudiada, en donde el nivel superior depende de los comportamientos propios de los niveles inferiores. Esto supone comprender que cada interacción entre los participantes de un grupo particular y contexto específico, logra construir una vista propia de actuación que marca una forma y proceso que la distingue, sin perjuicio que comparta la generalidad presente en el nivel estudiado.

Así las cosas, cada individuo en un área particular cuenta con una cultura de seguridad de la información, que siguiendo a Alnatheer (2012) se encuentra definida por tres elementos como son apropiación, concientización y cumplimiento. Revisados estos considerandos en las reflexiones de este investigador, podemos detallar los comportamientos que caracterizan cada uno ellos, para entender en contexto lo que significa en concreto esa cultura inherente a cada persona.

Ahora bien, al estudiar un equipo o grupo particular, las interacciones de cada persona alrededor de la protección de la información van demarcando el comportamiento propio de esa comunidad, para lo cual la lectura de los tres componentes ahora en la vista colectiva, nos permite ir descubriendo la secuencia de comportamientos que caracterizan dicha colectividad.

Cuando empezamos la revisión desde el nivel general y vamos a niveles particulares, el ejercicio que se realiza es de análisis, lo cual permite conocer y descubrir la estructura en la cual nos movemos para advertir los componentes de la Cultura Organizacional de Seguridad de la Información (COSI). Mientras al regresarnos del nivel inferior al superior, adelantamos diagnóstico del nivel superior, basado en las reflexiones y revisiones efectuadas en el nivel inferior como se

advierte en la figura 1. De esta forma confirmamos la vista sistémica de la estrategia para conocer la COSI.

Figura 1. Vista anidada de la construcción y diagnóstico de una cultura organizacional de seguridad de la información

En otras palabras, la última frase significa descubrir la estructura compleja o sistema de relaciones que conforman la realidad social estudiada, en este caso la COSI, que necesariamente implica partir de la realidad que se da sobre un conglomerado específico y revelar la forma como interactúa su estructura de relaciones y establecer los referentes propios de cada uno de ellos, que de manera recursiva se repiten a sí mismos, dándole clausura e identidad al colectivo bajo estudio.

Alineado con lo anterior, un reciente estudio de CISCO (2015) revela una serie de cuatro (4) perfiles de personas, respecto de su vista sobre la protección de la información, que se articulan con las creencias, valores y actitudes propias de un colectivo que comparte una forma particular de ver la “realidad” del cuidado de la información según su experiencia y práctica corporativa.

Los cuatro perfiles identificados definen construcciones sociales particulares que hacen realidad una distinción concreta, lo que revela un imaginario social específico, que describe la forma como en la práctica se entiende y protege la información.

De acuerdo con el estudio mencionado, los cuatro perfiles analizados son: (CISCO, 2015) 

El consciente, persona que está atenta de los riesgos de seguridad de la información y entiende que la protección de los activos estratégicos de información responde a una responsabilidad compartida. Su ejercicio de protección de la información, implica el reconocimiento de unas necesidades tanto de la organización como personales.



El bien intencionado, es un sujeto que trata de mantenerse alineado con las prácticas de seguridad y control de la organización, entiende que la información es un activo relevante para la empresa, pero no siempre comprende los impactos de cómo su comportamiento puede facilitar o motivar una brecha de seguridad de la información.



El complaciente, es un individuo que cree que el riesgo de seguridad de la información y la posibilidad latente de una brecha están sobre dimensionados. Si bien entienden que la información es un recurso estratégico de la empresa, creen adicionalmente que las medidas de seguridad y control disminuyen su desempeño y limitan la innovación. No se adhieren las políticas de seguridad y control, pues juzgan que es deber de la organización proveer o suministrar los mecanismos de protección necesarios para el desarrollo de su trabajo.



El temerario no entiende y no asume la responsabilidad que tiene en la protección de la información. Si bien sabe que la información es un recurso más de la empresa, no gusta de las políticas de seguridad de la información, pues las siente como imposición de la organización. Su comportamiento frente al aseguramiento de la información, no se advierte como un riesgo clave para la organización, pues el foco se encuentra en los ataques externos, mediados por la criminalidad organizada.

Basado en lo anterior, se establece una estructura conceptual que vincula cada uno de los cuatro perfiles con imaginarios sociales, asociados con las

creencias, valores y actitudes (Escámez,

García,

Pérez y Llopis, 2007)

subyancentes en las “realidades” identificadas por cada uno de los grupos humanos nombrados. Tabla 1 Imaginarios de la seguridad de la información (Autoría propia) Imaginario Conscientes

Bien intencionados Complacientes

Temerarios

Creencia Información es un activo estratégico Información en un activo Información es un recurso estratégico Información es un recurso

Valor Proteger

Actitud Positiva

Responsabilidad Personal

Asegurar

Positiva

Personal

Suministrar

Negativa

Empresa

Imponer

Negativa

Empresa

Metodología de investigación Atendiendo a los criterios para la clasificación de los diseños de investigaciones propuesto por Sierra (1994, p.142), este trabajo utiliza un diseño de tipo seccional, el cual consiste de la observación sistemática de un grupo o población en un momento del tiempo, donde se emplean técnicas de recogida de datos basadas en la observación directa o a través de instrumentos (cuestionario basado en escalas de Likert), sin intervenir o afectar las características que se observan en los miembros de la comunidad bajo estudio.

La unidad de observación fueron profesionales de diferentes cargos y responsabilidades, pertenecientes a 14 áreas diferentes de una empresa del sector minero energético con operaciones en el país.

Considerando la población total de 9000 funcionarios de planta de empresa, elegidos al azar y siguiendo los parámetros de la fórmula para calcular el tamaño de la muestra sobre una población finita, con nivel de confianza del 95%, se establece que se requieren 368 personas para que los resultados de la aplicación

del instrumento previsto representen realmente al universo de funcionarios de planta de la organización. 393 profesionales de la organización diligenciaron la totalidad del instrumento de recolección de información en la investigación.

Figura 2. Cálculo del tamaño de la muestra

En lo referente a las variables o características a observar, en este caso los imaginarios de la seguridad de la información descritos previamente, se puede indicar que, son de naturaleza descriptiva, variables de tipo cualitativo y cuyo nivel de abstracción es general, los cuales se operacionalizan de acuerdo con lo indicado en la tabla 1.

Para el desarrollo de esta investigación se aplicó un cuestionario general de 20 ítems, basado en una escala de Likert de tendencia negativa, orientados a determinar el tipo de imaginario de la seguridad de la información presente en la organización objetivo. Estas 20 declaraciones se diseñaron y validaron con el área de seguridad de la información de la empresa, como resultado del programa de interiorización y concientización que se ha desarrollado durante los últimos 6 años a nivel de toda la organización.

Figura 3. Cuestionario general de percepción de seguridad de la información

Dado que el cuestionario diseñado es un instrumento experimental, se requiere validar su consistencia interna, con el fin de estimar la fiabilidad del mismo, esto es, que el conjunto de ítems establecidos mida el mismo constructo o dimensión teórica (Frías, s.f.). En razón con lo anterior, se utilizó el coeficiente Alfa Cronbach, que “asume que los ítems (medidos en escala tipo Likert) miden un mismo constructo y que están altamente correlacionados” (Frías, s.f.). Cuanto más cerca se encuentre el valor alfa a 1 mayor es la consistencia interna de los ítems analizados. De acuerdo con Oviedo y Campo (2005, p.576), “el coeficiente alfa de Cronbach es más fidedigno cuando se calcula a una escala de veinte ítems o menos”.

Figura 4. Cálculo de coeficiente Alfa Cronbach

De acuerdo con estos resultados, podemos indicar que la confiabilidad del instrumento utilizado es alta y que medirá lo relacionado con lo planteado respecto de los imaginarios de seguridad de la información ilustrados previamente.

Para identificar el imaginario predominante se toma el promedio de las respuestas de cada una de las preguntas con menor desviación estándar y se cruza contra la propuesta de imaginarios de seguridad de la información previamente planteado. De esta forma se establecen, aquellas actitudes más relevantes que confirman alguno de los imaginarios establecidos como referentes.

Resultados Luego de tabular las 393 respuestas de los participantes en esta investigación se identifican las siguientes declaraciones con menor desviación estándar. Es importante recordar que dado que la escala de Likert planteada es de tendencia negativa, los resultados deben leerse por el complemento. Tabla 2 Resultados de la aplicación del instrumento diseñado para la investigación No. de pregunta 1 2 16 6 11 12 17 19 20 13

Declaración La seguridad de la información es un asunto exclusivo de la Coordinación de la DTI. El tratamiento seguro de la información de la compañía es responsabilidad del Coordinador de Seguridad. El tratamiento de la información no aporta significativamente al sostenimiento económico de la compañía. La Seguridad de la Información es un tema que otros hacen por mí. Lo que no está expresamente solicitado por mis jefes no entra dentro de mis funciones o compromisos. Mi comportamiento frente a la información que manejo no afecta al resto del área y menos a la compañía. He escuchado sobre hábitos relacionados con la gestión segura de la información pero no están relacionados con mis labores. Tengo demasiado trabajo y presiones diarias como para gastar tiempo en Seguridad de la Información. La Seguridad de la Información no está dentro de mis prioridades. Las herramientas tecnológicas instaladas en mi equipo, son suficientes para mantener mi información segura.

Promedio

Desviación Estándar

4,32

1,09

4,21

1,07

4,43

0,72

4,43

0,72

3,85

1,05

4,18

1,03

4,11

0,89

4,14

0,84

4,29

0,81

2,83

1,25

Considerando los datos indicados en la tabla anterior, la puntuación indicada en el instrumento diseñado y teniendo en cuenta la orientación negativa de las declaraciones podemos indicar que en la organización objeto de estudio: 1. La seguridad de la información no es un asunto exclusivo de un área en particular. 2. El tratamiento de la información es un tema en el cual las personas también son responsables. 3. Un adecuado tratamiento de la información aporta significativamente al sostenimiento económico de la empresa. 4. La seguridad de la información hace parte de las actividades diarias de las personas. 5. Los comportamientos de las personas frente al tratamiento de la información afectan sus áreas de trabajo y la compañía en general.

Estos resultados cruzados contra los imaginarios planteados, nos ubican a la empresa bajo estudio al menos en el imaginario denominado “Bien intencionados”, donde la información es un activo, se tiene la idea de asegurarla en la medida que se requiera pues reconoce que su inadecuado tratamiento puede afectar tanto a su área de trabajo como a la empresa.

De igual forma se advierte una actitud positiva hacia la seguridad de la información como quiera que las personas saben que la adecuada protección de la información, hace parte de sus actividades diarias, aunque algunas veces no comprenda claramente los impactos de la aplicación de las prácticas de gestión segura de la información.

Discusión De conformidad con lo señalado en el marco teórico, la cultura organizacional de seguridad de la información es una construcción colectiva y anidada de elaboraciones sociales y significaciones que los individuos le dan a aspectos específicos de la protección de la información. En este sentido, la teoría de los

imaginarios sociales, que siguiendo las indicaciones de Pintos (1999), se definen como “aquellos esquemas, construidos socialmente, que nos permiten percibir algo como real, explicarlo e intervenir operativamente en lo que en cada sistema social se considere como realidad”, establecen referentes básicos para comprender la dinámica interna de las organizaciones respecto de sus prácticas de gestión segura de la información.

Aunque si bien los resultados muestran que en la organización evaluada predomina el imaginario de los “Bien intencionados” no significa que no exista un porcentaje importante de la población que se encuentre identificado con los imaginarios “Complaciente” y “Temerario” como quiera que, siguiendo los desarrollos de

Luhmann, “en la base de toda construcción se encuentra una

distinción, que establece un frontera entre dos espacios, donde la distinción no presupone la diferencia sino que la articula” (Maas, Amozurrutia, Almaguer, González y Meza, 2012, p.28).

Los resultados muestran que existe una alta confianza en los mecanismos tecnológicos de seguridad de la información instalados en la empresa y su nivel de efectividad, que pueden llevar a una falsa sensación de seguridad que confronte el imaginario actual, debilitando la responsabilidad personal y privilegiando la empresarial. Por tanto, se hace necesario, mantener una observación permanente de la evolución del imaginario, habida cuenta que la reconstrucción de la realidad respecto del tratamiento de la información está inmersa en la dinámica social de cada empresa.

Los resultados también parecen confirmar trabajos de investigación reseñados por Randazzo (2012, p.92), en el sentido que los imaginarios sociales “estructuran el edificio social con base a esquemas mentales socialmente construidos, que funcionan como sistema de interpretación, donde las significaciones imaginarias institucionalizadas cristalizan una percepción natural del mundo” (las cursivas están fuera del texto original).

Lo anterior leído en clave de una cultura organizacional de seguridad de la información equivale a afirmar que las prácticas de gestión segura de la información se institucionalizan en el hacer y saber práctico de las personas, que no sólo distingue a aquellos que entienden la responsabilidad frente a su tratamiento, sino que revela la opacidad de aquellos que la experimentan bien como una imposición o como algo que debe suministrar la organización para la realización de sus actividades.

Conclusiones Con base en los resultados obtenidos, y los referentes teóricos revisados, las principales conclusiones y recomendaciones que se derivan de esta investigación son las siguientes:

Si bien puede existir imaginarios sociales predominantes para la seguridad de la información en una organización, estos pueden variar confirme evoluciona la dinámica social propia de la empresa, en palabras de Coca y Pintos (2006, p.67), de acuerdo con un “conjunto de intereses generales, de organizaciones particulares o de los individuos” e incluso dependiente de la forma como se lean, asuman e incorporen las brechas de seguridad de la información ocurridas en la empresa.

Al examinar la correspondencia entre los resultados del instrumento y los imaginarios planteados, se observa que las percepciones identificadas y predominantes se emparejan con la realidad de la organización analizada. No obstante, esta correspondencia no significa que existan casos donde se encuentren percepciones diversas, cuando se analizan grupos particulares de la misma organización.

En general, los resultados muestran que los imaginarios sociales respecto de la seguridad de la información, revelan la unión existente entre individuo y sistemas sociales, que funcionando como un mecanismo transversal en una organización, es

capaz de revelar una realidad invisible a los artefactos naturales de una cultura y cambiar los comportamientos de las personas, como quiera que la construcción y mantenimiento de éstos, es producto de un proceso colectivo que legitima o no una realidad concreta sobre la protección de la información.

Agradecimientos El autor agradece a los ingenieros John Redondo y Yadir Molina por su apoyo y revisión de los instrumentos y validación de los mismos durante el desarrollo de esta investigación.

Nota Este artículo hace parte de la tesis doctoral que actualmente se desarrolla en el contexto del Programa Doctoral en Educación de la Universidad Santo Tomás de Aquino, con sede en Bogotá.

Referencias Alnatheer, M. (2012) Understanding and measuring information security culture in developing countries: case of Saudi Arabia (Doctoral Thesis). Queensland University of Technology, Australia. Carretero, A. (2010) Para una tipología de las «representaciones sociales». Una lectura de sus implicaciones epistemológicas. EMPIRIA. Revista de Metodología de Ciencias Sociales. 20, Julio-Diciembre, 88-108. Recuperado de: http://www.redalyc.org/articulo.oa?id=297125195004 Cegarra, J. (2012) Fundamentos teórico epistemológicos de los imaginarios sociales.

Cinta

Moebio.

43,

1-13.

Recuperado

de:

www.moebio.uchile.cl/43/cegarra.html CISCO (2015) How to be agile and secure. The fundamental challenge facing organisations

today.

Recuperado

de:

http://www.cisco.com/assets/global/UK/products/security/How_to_be_agile_a nd_secure.pdf

Coca, J. y Pintos, J. (2006) Tecnociencia y cooperación: Una mirada desde la perspectiva de los imaginarios sociales. Revista Colombiana de Filosofía de la Ciencia. 7, 14-15. 63-75 Córdoba-Pachón, J. R. (2010) Systems practice in the information society. Routledge Series in Information Systems. Londres, United Kingdom: Routledge. Cortada, J. (2011) Information and the modern corporation. Cambridge, Massachussets. USA: MIT Press. Escámez, J., García, R., Pérez, C. y Llopis, A. (2007) El aprendizaje de valores y actitudes. Teoría y práctica. Madrid, España: Editorial Octaedro-OEI. Espejo,

R.

(2012)

Seeing

organisations:

epistemological

considerations.

Kybernetes, 41 (3/3), 327-338. Frías, D. (s.f.) Alfa de Cronbach y consistencia interna de los ítems de un instrumento

de

medida.

Recuperado

de:

http://www.uv.es/~friasnav/AlfaCronbach.pdf García, R. (2013) Sistemas complejos. Conceptos, métodos y fundamentación epistemológica de la investigación interdisciplinaria. Barcelona, España: Gedisa. Giddens, A. (1995) La Constitución de la Sociedad. Bases para la teoría de la estructuración. Buenos Aires, Argentina: Ed. Amorrortu. Hoverstadt, P. (2008) The fractal organization. Creating sustainable organizations with the Viable System Model. Chichester, West Susex.UK: John Wiley & Sons. Maas, M., Amozurrutia, J., Almaguer, P., González, L. y Meza, M. (2012) Sociocibernética, cibercultur@ y sociedad. Centro de Investigaciones Interdisciplinarias en Ciencias y Humanidades. Colección Debate y Reflexión. México, México: UNAM. Oviedo, H. y Campo, A. (2005) Aproximación al uso del coeficiente de Alfa Cronbach. Revista Colombiana de Psiquiatría. 34, 4. Septiembre/Diciembre. Recuperado de: http://www.scielo.org.co/pdf/rcp/v34n4/v34n4a09.pdf

Pintos, J. (1994) Sociocibernética: Marco sistémico y esquema conceptual. En Delgado, J. y Gutiérrez, J. (Coord.) (1995) Métodos y técnicas cualitativas de investigación en ciencias sociales. Madrid, España: Síntesis, 563-580 Pintos, J. (1995) Los imaginarios sociales. La nueva construcción de la realidad social. Madrid, España: Sal Terrae. Pintos, J. (1999) Los imaginarios sociales del delito: La construcción social del delito a

través

de

las

películas

(1930-1999).

Recuperado

de:

http://idd00qmm.eresmas.net/articulos/delitocine.htm Pintos, J. y Aliaga, F. (2012) La investigación en torno a los imaginarios sociales. Un horizonte abierto a las posibilidades. RIPS: Revista de investigaciones políticas y sociológicas, 11, 2,11-17 Randazzo, F. (2012) Los imaginarios sociales como herramienta. Imagonautas. 2, 2. 77-96 Reid, R., Van Niekerk, J. y Renaud, K. (2014) Information security culture: A general living systems theory perspective. Information Security for South Africa (ISSA), 13-14 August. 1-8. Doi: 10.1109/ISSA.2014.6950493. Sierra, R. (1994) Técnicas de investigación social. Teoría y Ejercicios. Madrid, España: Paraninfo. Von Foerster, H. (2003) Objects: Tokens for (Eigen-)Behaviors. En Von Foerster, H. (2003) Understanding understanding. Essays on cybernetics and cognition. New York, USA: Springer Verlag. 261-271 Vozmediano, F. (2014) Mente Fractal. El origen de las formas. San Bernardino, CA. USA:Sin editorial.