Intentaré analizar, desde la perspectiva de Protección de Activos, el incidente provocado por la colocación de un artefacto explosivo en una conocida clínica de nuestra capital. No me detendré en las causas, motivación, elaboración del artefacto, mala práctica médica ni consecuencia penal por el acto; no desarrollare ningún tema que afecte la delicada sensibilidad del lector que lo oriente a ponerse de una u otra parte afectada. Espero este ensayo sea de provecho para los Gerentes y Jefes de seguridad corporativa en general como ayuda en la fase de prevención de gestión de incidentes con bombas.

Comenzaremos explicando los hechos: una señora ingresa a una reconocida clínica limeña caminando en el año 2011, luego de la intervención quirúrgica queda cuadripléjica falleciendo posteriormente el año 2013. La familia, como es de suponer quedó gravemente afectada e inició una serie de acciones penales que al finalizar el largo proceso judicial fueron prescritas y desentendidas por nuestro sistema legal. Dos de los hijos quedaron sentidos a tal punto que elucubraron un plan para colocar, en venganza, dos artefactos explosivos caseros en las instalaciones de la clínica privada.

Reunieron la pólvora recolectada de diversos fuegos pirotécnicos y elaboraron dos bombas caseras que fueron colocadas y transportadas en dos mochilas. Una de ellas fue colocada en los servicios higiénicos cerca a un laboratorio y la otra fue sembrada en uno de los sótanos de parqueo vehicular. El resultado de este atentado dejo 35 heridos, incluyendo a los autores del hecho delictivo, no se registraron víctimas fatales.

Entramos luego de este breve resumen a manera de antecedente al análisis desde nuestro dominio de Protección de Activos. Cabe anotar, ningún experto en seguridad fue requerido por la prensa para abordar este incidente de manera profesional, multidimensional y objetiva, iniciemos nuestra breve auditoría del hecho:

Una bomba es cualquier dispositivo (IED o artefacto explosivo improvisado por sus siglas en ingles), diseñado para explotar con fuerza, causando daño y lesiones de todo tipo. Una bomba se compone básicamente de una carga principal (explosivo), un iniciador (encargado de provocar la combustión), el mecanismo detonante y un mecanismo de seguridad.

Para colocar con éxito un artefacto explosivo, el atacante debe conocer en esencia tres aspectos sumamente importantes e interrelacionados: las actividades de la organización, el diseño de la instalación y principalmente las medidas de seguridad y control establecidas en ella, si a esto le sumamos el factor de oportunidad del atacante, el alcance del daño puede ser de consecuencias nefastas para cualquier empresa y las consecuencias pueden llegar inclusive al cierre de la operaciones y/o quiebra del negocio.

Precisamente la variable oportunidad es la única que puede ser controlada por el área de seguridad negando el acceso de personas y objetos no autorizados por lo que una de las respuestas implícita si deseamos saber que falló en la detección de un IED en la clínica fue precisamente el control de acceso. Es preciso anotar que no podemos gestionar las otras tres variables como el motivo por el que se colocará la bomba, ni el material que la compone y mucho menos el conocimiento que el atacante tiene sobre la manufactura de la bomba y sobre nosotros como objetivo.

Entonces, si solo podemos contrarrestar la oportunidad del atacante nuestro esfuerzo debe basarse en un plan que nos permita gestionar cualquier incidente que involucre la manipulación y colocación de un artefacto explosivo en nuestras instalaciones.

Nuestro plan debe contener suficiente información que nos permita conocer las generalidades y evaluación de amenazas ocasionadas por artefactos explosivos identificados y elementos abandonados, así como técnicas de búsqueda y reconocimiento. Además, debe detallar aspectos relacionados a las políticas, procedimientos y entrenamiento pertinente que debe ser implementado, de conocimiento y practicado por todos los integrantes de nuestra organización para que la suma de todo lo anteriormente mencionado nos brinde un solo producto final: Ayudar a la organización a responder ante un incidente de bomba.

Si extraemos del párrafo anterior la frase “evaluación de amenazas”, es evidente que el término involucra la probabilidad de ataque y esto se obtiene evaluando el perfil de la organización y las medidas de seguridad existentes. En concreto y para nuestro caso, el encargado de seguridad de la clínica debía estar informado de las acciones legales en curso, cartas notariales recibidas y respuestas enviadas, posición del Directorio frente a malas prácticas médicas y cualquier acción que pudiera discurrir en un incidente de seguridad.

En adición, debía velar por el funcionamiento correcto de su programa de seguridad en todas las dimensiones desarrolladas e implementadas. No me cansaré de repetir que la gestión de un verdadero profesional de seguridad va más allá de administrar agentes de vigilancia, mirar una cámara de circuito cerrado y cuidar una puerta de acceso/salida; el verdadero profesional de seguridad trata de conocer todo, está relacionado con todo, trabaja para todos y toma decisiones o recomienda de todo y a todos. No estoy juzgando ni criticando al encargado de seguridad de la clínica victima del atentando con un artefacto explosivo, estoy detallando la relación del líder de seguridad de la organización con su entorno interno/externo.

Para concluir, enumeraré, de acuerdo con los estándares internacionales establecidos los aspectos débiles en seguridad (a criterio muy personal), y que fueron aprovechados por atacantes para el caso de la clínica privada motivo del presente ensayo:

• Los atacantes fueron dos personas no profesionales que no supieron (por suerte), levantar y explotar un análisis de puntos vitales del establecimiento médico, no determinaron activos ni procesos sensibles ni apuntaron su acción hacia personal miembro del Directorio de la clínica. Otra suerte seria si el atentado hubiera estado en manos de criminales profesionales o terroristas.
• No existió un control de acceso eficiente, se evidencian fallas en uno o mas aspectos relacionados con la protección de sus límites internos, la identificación y verificación de personal en general, la ausencia y deficiente manipulación/identificación/evaluación de sistemas electrónicos de control de acceso/registros y la supervisión de público en áreas permitidas.
• Falta de principio esencial de cualquier programa de seguridad física: protección en profundidad, No se tomaron en cuenta niveles adicionales de control y restricción de accesos en espacios permitidos.
• No se consideraron el uso de buenas prácticas en el lugar de trabajo que permitieran al personal detectar comportamientos, personas, conductas sospechosas.
• Lo anterior va de la mano con la ausencia de conciencia de seguridad, la cual definitivamente se evidenció en el personal de seguridad y en su falta de capacidad para detectar y reportar actitudes sospechosas.
• Falta de entrenamiento de supervisores, agentes de seguridad, personal administrativo y de gerencia para responder luego de la detonación de la bomba.
• Carencia de equipos de detección adecuados y desplegados como parte del plan de seguridad y operados por personal entrenado.
• No existe el principio de redundancia al interior de su programa de seguridad.

Como ven, nuestra labor va más allá de nuestra responsabilidad e involucra el conocimiento, la experiencia y el criterio suficientes para mantenernos cohesionados con nuestros pares, nuestro equipo y con toda la organización, incluyendo nuestro público externo cuando somos una organización que brinda un servicio a terceros, es saludable considerar en nuestro análisis de riesgos, aquellos que consideramos remotos o poco probables de ocurrir y siempre preguntarnos: “¿Qué haría si…?, ¿Cuál sería mi plan alterno  a aplicar?”

Como siempre los invito a comentar este artículo enriqueciéndolo con su punto de vista, experiencia y conocimiento, generando sinergias en la solución de problemas que puedan atravesar otros colegas en su gestión.