Metodología de evaluación de riesgos de seguridad de TI: cualitativa vs cuantitativa

La formulación de una metodología de evaluación de riesgos de seguridad de TI es una parte clave de la creación de un sólido programa de gestión de riesgos de seguridad de la información.

Los dos tipos más populares de metodologías de evaluación de riesgos utilizadas por los evaluadores son:

Análisis cualitativo de riesgos: Una metodología basada en escenarios que utiliza diferentes escenarios de amenazas-vulnerabilidades para tratar de responder preguntas del tipo "qué pasaría si". Estas evaluaciones son de naturaleza subjetiva.
Análisis cuantitativo de riesgos: Asigna un valor numérico a diferentes componentes de la evaluación de riesgos. Los descriptores de acceso tienen como objetivo cuantificar todos los elementos (valor del activo, frecuencia de amenazas, efectividad de la salvaguarda, incertidumbre y probabilidad) para responder a preguntas como "¿Cuánto nos costaría una violación de datos?" y "¿Cuánto tiempo es una cantidad aceptable de tiempo fuera de línea antes de que necesitemos iniciar nuestro plan de respuesta a incidentes?"

¿Qué es una evaluación de riesgos?

Una evaluación de riesgos es un proceso que tiene como objetivo identificar los riesgos de ciberseguridad, sus fuentes y cómo mitigarlos a un nivel aceptable de riesgo.

El proceso generalmente comienza con una serie de preguntas para establecer un inventario de activos de información, procedimientos, procesos y personal.

Esto permite a su organización y a sus descriptores de acceso comprender cuáles son sus activos de información clave y cuáles representan el mayor riesgo. El riesgo generalmente se calcula como el impacto de un evento multiplicado por la frecuencia o probabilidad del evento.

Independientemente de si su organización utiliza un proceso de evaluación de riesgos cualitativo o cuantitativo, se requiere cierto nivel de toma de decisiones. Esto generalmente se presenta en forma de un análisis de costo/beneficio para determinar qué riesgos son aceptables y cuáles deben mitigarse.

Un sólido proceso de evaluación de riesgos se centrará en todos los aspectos de la seguridad de la información, incluidos los controles físicos y ambientales, administrativos y de gestión, así como los controles técnicos.

Este es un proceso laborioso para los evaluadores que requiere sólidas habilidades de aseguramiento de la calidad y gestión de proyectos, y se vuelve más difícil a medida que su organización crece. Impulsado por el ritmo cada vez mayor de los sistemas de información, los procesos y los cambios de personal, así como por la introducción de nuevas amenazas cibernéticas, vulnerabilidades y proveedores externos.

Realice un recorrido por las funciones de evaluación de riesgos de UpGuard >

¿Cuándo se deben realizar las evaluaciones de riesgos?

Las evaluaciones de riesgos deben realizarse a lo largo del ciclo de vida de un activo de información, a medida que cambian las necesidades del negocio y surgen nuevos vectores de ataque.

Al emplear un enfoque de evaluación continua de riesgos, las organizaciones pueden identificar los riesgos emergentes de ciberseguridad y los controles que deben implementarse para abordarlos.

Al igual que con cualquier otro proceso, la seguridad debe supervisarse, mejorarse y tratarse continuamente como parte de la calidad general del producto/servicio.

Considere la posibilidad de realizar una evaluación de riesgos cada vez que se encuentren brechas de seguridad o exposiciones al riesgo, así como cuando decida implementar o eliminar un determinado control o proveedor externo.

Al igual que con cualquier proceso de gestión de riesgos de información, este se basa en gran medida en la tríada de la CIA (confidencialidad, integridad y disponibilidad) y en las necesidades de su negocio.

Para agilizar el proceso de evaluación de riesgos, las organizaciones deben contar con políticas y normas de seguridad internas que exijan requisitos, procesos y procedimientos de seguridad en toda la organización y sus proveedores, por ejemplo, utilizando solo proveedores externos con garantía SOC 2 y una calificación de seguridad superior a 850.

Descargue su plantilla de evaluación de riesgos del proveedor >

¿Por qué es importante un proceso de evaluación de riesgos?

La ciberseguridad tiene que ver en gran medida con la mitigación de riesgos. En el momento en que se conecta a Internet, confía en las nuevas tecnologías de la información o incorpora un nuevo proveedor externo, introduce cierto nivel de riesgo.

Las evaluaciones de riesgos identifican los activos de información clave, cuál es su valor (cualitativo o cuantitativo) para la organización, así como para sus clientes y socios.

Con esta información, la gerencia puede comprender mejor su perfil de riesgo y si los controles de seguridad existentes son adecuados.

Esto es cada vez más importante debido al aumento de la externalización y a la creciente dependencia de los proveedores para procesar, almacenar y transmitir datos confidenciales, así como para entregar bienes y servicios a los clientes.

Si a esto le sumamos la creciente regulación centrada en la protección y divulgación de la información de identificación personal (PII) y la información sanitaria protegida (PHI), la necesidad de una metodología clara de evaluación de riesgos nunca ha sido mayor.

Comprenda que cada pieza de tecnología, proveedor y empleado es un vector de ataque potencial, ya sea desde ataques de ingeniería social como phishing y spear phishing o ataques basados en tecnología como los exploits de vulnerabilidades enumeradas en CVE, ataques de intermediario, ransomware y otros tipos de malware.

Para minimizar las pérdidas potenciales y permanecer operativo, todos los niveles de su organización deben comprender los requisitos de seguridad y una metodología sólida de evaluación de riesgos puede hacer mucho para mitigar los riesgos identificados.

Como resultado de las evaluaciones de riesgos, el personal se vuelve más consciente de las amenazas cibernéticas y aprende a evitar malas prácticas que podrían ser perjudiciales para la seguridad de la información, la seguridad de los datos y la seguridad de la red, aumentando la conciencia de seguridad y ayudando a la planificación de la respuesta a incidentes.

¿Es mejor una metodología de evaluación de riesgos cuantitativa o cualitativa?

Las metodologías cuantitativas y cualitativas de evaluación de riesgos tienen sus pros y sus contras. Las mejores organizaciones de su clase emplean un enfoque híbrido que tiene en cuenta las aportaciones cuantitativas y cualitativas.

La gestión de riesgos se centra en tomar decisiones ajustadas al riesgo para permitir que su organización opere de manera eficiente, al tiempo que asume tanto o tan poco riesgo como considere aceptable.

Y la única manera de hacerlo es entender qué riesgos tienes, qué estás dispuesto a aceptar y cuáles deseas transferir, mitigar o evitar. Por ejemplo, puede optar por ignorar un riesgo alto con una probabilidad extremadamente baja, por ejemplo, que Amazon interrumpa Amazon Web Services, porque decide que no es rentable mitigarlo.

Por el contrario, una organización diferente con una menor tolerancia al riesgo puede decidir agrupar a dos proveedores de servicios en la nube para mitigar el riesgo.

Independientemente de su perfil de riesgo, siempre existe un riesgo residual, ya que no es rentable mitigarlo todo.

ProsContrasCualitativo

El análisis cualitativo es un enfoque de evaluación más simple, no hay cálculos complejos
Determinar el valor monetario de los activos no siempre es necesario o posible para valorar activos intangibles como la reputación y el fondo de comercio de los clientes
No es necesario cuantificar la frecuencia de las amenazas
Es más fácil involucrar a personal no técnico y no de seguridad

De naturaleza subjetiva
Los resultados y la calidad de la evaluación dependen de la experiencia y la calidad del equipo de gestión de riesgos
Esfuerzo limitado para comprender el valor monetario de los activos
No hay análisis de costo/beneficio para las técnicas de mitigación de riesgos, por ejemplo, el costo de la implementación de controles de seguridad y políticas de seguridad

cuantitativo

El análisis cuantitativo se basa en procesos y métricas objetivos, eliminando la subjetividad
El valor de los activos y las opciones de mitigación de riesgos son bien conocidas
Las evaluaciones de costo/beneficio se emplean mucho, lo que ayuda a la alta dirección a mitigar primero las actividades de alto riesgo
Los resultados pueden expresarse en un lenguaje específico de la gestión (por ejemplo, valor monetario y probabilidad)

Los enfoques cuantitativos pueden ser complejos y llevar mucho tiempo
Históricamente, solo funciona bien con una herramienta de gestión de seguridad automatizada reconocida y una base de conocimientos asociada
Requiere un trabajo preliminar para recopilar y cuantificar diferentes información de riesgo
Por lo general, no se centra en el nivel del personal, por lo que la formación en materia de seguridad puede pasarse por alto

¿Cuáles son los obstáculos para una gestión eficaz de los riesgos?

Una queja común de los equipos de gestión de seguridad es que no tienen tiempo para realizar evaluaciones de riesgos en profundidad.

Incluso para aquellos que lo hacen, a menudo luchan con dónde empezar. Esto se debe a que no existe un estándar de la industria que todos acepten como la mejor práctica.

Además, la mayoría de las directrices, como la ISO 27001 y la Guía de autoevaluación de seguridad del NIST para sistemas de tecnología de la información, SP 800-26, son de naturaleza general y no proporcionan suficientes detalles sobre cómo realizar una evaluación de riesgos adecuada.

Esto ha llevado a muchas organizaciones a externalizar el proceso de gestión de riesgos a proveedores externos que tienen experiencia en la realización de evaluaciones de riesgos adecuadas. También pueden ayudar a su organización a crear políticas eficaces, como una política de gestión de proveedores y un marco de gestión de riesgos de terceros.

Sin embargo, a medida que las organizaciones crecen en tamaño y complejidad y crece el número de proveedores externos, se vuelve costoso subcontratar. Tampoco desea que su organización dependa de un proveedor externo para tomar decisiones comerciales importantes y de mitigación de riesgos.

Esta es la razón por la que cada vez más organizaciones están internalizando sus programas de gestión de riesgos y de gestión de riesgos de proveedores.

Las herramientas de calificación de seguridad cibernética pueden ayudar a escalar su equipo de gestión de riesgos al monitorear y evaluar automáticamente la postura de seguridad de primera, tercera y cuarta parte. Esto permite que su equipo de gestión de riesgos se centre primero en las correcciones de mayor riesgo y alto impacto, y aumenta exponencialmente el número de proveedores externos que una persona puede gestionar.

Las evaluaciones de vulnerabilidades permiten a los equipos pequeños escalar y comprender el riesgo de terceros y el riesgo de terceros en tiempo real.