¿Qué es la gestión de riesgos de TI? Actualizado para 2023
La gestión de riesgos de TI es el proceso de gestionar los riesgos de ciberseguridad a través de sistemas, políticas y tecnología. Este proceso consta de tres etapas principales: identificación, evaluación y control para mitigar las vulnerabilidades que amenazan los recursos confidenciales.
Los términos riesgo de TI y riesgo de información a menudo se utilizan indistintamente. Ambos se refieren a riesgos que amenazan la protección de los datos sensibles y la propiedad intelectual.
Los riesgos de la tecnología de la información, tanto inherentes como residuales, están presentes en todas las organizaciones. La gestión de riesgos de TI es, por lo tanto, una práctica esencial para todas las empresas.
¿Cuál es la diferencia entre riesgo e incertidumbre?
El riesgo se refiere a las situaciones de toma de decisiones en las que se conocen todos los resultados potenciales y su probabilidad de ocurrencia. Por otro lado, la incertidumbre se refiere a situaciones de toma de decisiones en las que no se conoce nada, ni sus posibles resultados ni su probabilidad de ocurrencia.
Un plan de gestión de riesgos de TI exitoso reduce la incertidumbre y permite a los responsables de la toma de decisiones ser completamente conscientes de todos los riesgos de la información en su entorno digital.
¿Por qué es importante la gestión de riesgos de TI?
Un programa de gestión de riesgos de TI minimiza el impacto de las violaciones de datos, lo que podría traducirse en un considerable ahorro de costes. El coste medio mundial de una violación de datos en 2020 fue de 3,86 millones de dólares.
Además del ahorro de costos, un plan de gestión de riesgos de TI tiene los siguientes beneficios:
- Ayuda a las organizaciones a aumentar su resiliencia frente a los ciberataques.
- Estabiliza a los operadores comerciales.
- Podría disminuir la responsabilidad legal.
- Podría reducir las primas de los seguros.
- Protege al personal de posibles daños.
- Facilita la consecución de los objetivos de negocio y la continuidad del negocio
Ejemplo de un plan de gestión de riesgos de TI exitoso
En 2006, el Centro Médico Virginia Mason en Seattle, Washington, aseguró su departamento de seguridad del paciente con un plan de gestión de riesgos de TI. El programa resultante se denominó Sistema de Producción Virginia Mason (VMPS).
Desde la implementación de VMPS, Virginia Mason ha aumentado la transparencia en la mitigación, la divulgación y la generación de informes de riesgos de los pacientes. Esto se tradujo en una caída significativa en las primas de profesionales hospitalarios.
Las 7 mejores estrategias y procesos de gestión de riesgos de TI
Un marco de gestión de riesgos de TI (IRM) debe tener en cuenta un panorama de amenazas en evolución. Como resultado, un solo conjunto de políticas o estrategias no será suficiente. Debido a que las tácticas de ataque cibernético cambian constantemente, los marcos de gestión de riesgos deben ser capaces de abordar múltiples amenazas cibernéticas a través de una combinación de diferentes estrategias de control.
Cuando se utilizan de manera armoniosa, estas estrategias deberían ayudar a los tomadores de decisiones a responder con confianza a las siguientes preguntas:
- ¿Qué podría salir mal?
- ¿Cómo impactará este resultado en la organización?
- ¿Cómo impactará este resultado en el logro de los objetivos empresariales?
- ¿Qué se puede hacer para evitar este resultado?
- ¿Qué se puede hacer para remediar este resultado después de que haya ocurrido?
- ¿Cuáles son los costos potenciales de este resultado?
Los requisitos esenciales de un programa de IRM que ayudarán a responder las preguntas anteriores incluyen:
- La capacidad de monitorear continuamente toda la superficie de ataque
- La capacidad de realizar un seguimiento de los esfuerzos de fortalecimiento de la postura de ciberseguridad
- La capacidad de identificar la ubicación de toda la información
- Herramientas de gestión de remediación capaces de priorizar respuestas críticas
- La capacidad de evaluar la tolerancia al riesgo de todos los activos
Estos requisitos esenciales se pueden cumplir con las siguientes 7 estrategias de gestión de riesgos
1. Identificación de riesgos
Se deben identificar todos los riesgos que podrían ser potencialmente perjudiciales para los procesos y la seguridad de la información. La transformación digital ha dificultado enormemente esta tarea, ya que la mayoría de los datos de las empresas se almacenan ahora en la nube.
La proliferación inexorable de soluciones digitales ofusca las huellas digitales, lo que dificulta la identificación de activos y el mapeo de su relación con procesos específicos. Esta falta de transparencia hace que se pasen por alto muchos vectores de ataque, lo que pone a las plataformas basadas en la nube en un mayor riesgo de ciberataques.
El primer paso para lograr una transparencia de riesgos absoluta es identificar todos sus activos y sus ubicaciones. Esto se puede lograr a través del mapeo de la huella digital.
Una solución de monitoreo de la superficie de ataque también podría identificar todos sus activos corporativos y sacar a la luz posibles riesgos y vulnerabilidades.
2. Identificar los niveles de riesgo y las probabilidades de que cada riesgo sea explotado
Después de identificar todos los activos y sus ubicaciones, es necesario cuantificar el nivel de riesgo de los datos almacenados en ellos.
No todos los datos sensibles son iguales a ojos de un ciberdelincuente, algunas categorías son más codiciadas que otras.
Un estudio realizado por IBM y Ponemon encontró que el 80% de las violaciones de datos evaluadas involucraron información de identificación personal (PII) del cliente.
Los datos confidenciales que ofrecen rendimientos financieros compuestos a los ciberdelincuentes corren el mayor riesgo de ser atacados. Cuando se roban los datos de los clientes, cada víctima es objeto de ataques de phishing. Cada campaña de phishing descubre nuevas víctimas que pueden ser objeto de nuevos ataques de phishing, lo que prolonga el ciclo de ataque pernicioso.
El nivel de riesgo para cada tipo de datos se puede calcular con una fórmula de riesgo.
Una fórmula simple para calcular los niveles de riesgo es la siguiente:
Nivel de riesgo=Probabilidad de una violación de datos X Impacto financiero de una violación de datos.
El análisis de probabilidades se utiliza para calcular el potencial de que ocurra cada riesgo identificado. Esto se puede evaluar con una matriz de riesgos.
3. Priorizar cada riesgo de seguridad de la información identificado
Para mantener los costos de las operaciones de seguridad interna ajustados, los esfuerzos de respuesta deben distribuirse de manera eficiente para que los riesgos de TI más críticos se aborden primero.
Esto solo se puede lograr si los riesgos críticos se clasifican correctamente. Aunque algunos cálculos de riesgo son bastante precisos, su evaluación implica un largo proceso manual.
Además de la precisión, la velocidad es otra variable crítica en el análisis de TI rIsk, ya que afecta al nivel de impacto de una violación de datos si los ciberdelincuentes explotan los riesgos.
Las víctimas que responden a las filtraciones de datos en menos de 200 días ahorran una media de 1,12 millones de dólares.
La solución idea debe ser capaz de clasificar correctamente las vulnerabilidades de seguridad y priorizarlas para una solución eficiente.
La plataforma UpGuard cumple con estos dos requisitos. Los usuarios pueden ver una lista de todas las vulnerabilidades no abordadas (tanto internamente como en la red del proveedor) ordenadas por criticidad. Cada riesgo se puede abordar rápidamente a través de la función de gestión de soluciones de la plataforma.
4. Establecer un apetito de riesgo
Con todos los riesgos de TI y su probabilidad de explotación conocidos, es necesario establecer un apetito de riesgo. Los apetitos de riesgo ayudan a las organizaciones a decidir qué medidas de control deben asignarse a cada factor de riesgo. Hay 5 opciones de control:
- Aceptación del riesgo
- Evitación de riesgos
- Mitigar el riesgo
- Riesgo de transferencia
- Supervise el riesgo
Un apetito de riesgo (o tolerancia al riesgo) establece el nivel máximo de riesgo que se puede aceptar antes de que se implementen los esfuerzos de mitigación.
Aprenda a calcular el apetito de riesgo para su programa de gestión de riesgos de terceros.
5. Mitigar los riesgos
Se deben implementar controles de MIitgación para cada tipo de riesgo que sorprenda el umbral de riesgo. Estos controles deben evaluar primero el riesgo de TI mejor clasificado.
Estos controles deben estar respaldados por planes de respuesta a incidentes (IRP) para ayudar a los equipos de seguridad a responder a las amenazas de manera oportuna y controlada.
Los controles de mitigación de riesgos de TI incluyen:
- Cortafuegos
- Cifrado de datos
- Mantener el software actualizado
- Mantener el antivirus actualizado
- Instalación de los últimos parches de software
- Copia de seguridad de datos críticos
- Implementación de la autenticación multifactor (MFA)
- Protección de cuentas de acceso con privilegios
- Implementación de marcos de ciberseguridad resilientes
El riesgo también se puede mitigar a través de un marco de ciberseguridad. Hay muchos marcos de gestión de riesgos de seguridad de la información disponibles. A continuación se enumeran los más reputados.
- COBIT: este marco ayuda a las organizaciones a desarrollar una estrategia de gestión de redes empresariales (ERM).
- Essential Eight: este es el marco de ciberseguridad recomendado para todas las empresas australianas.
- COSO (Comité de Organizaciones Patrocinadoras de la Comisión Treadway): este marco facilita las operaciones de red seguras.
- Análisis Factorial de Riesgo de Información (FAIR) - Este marco evalúa la relación entre los diferentes riesgos y facilita el cumplimiento de las regulaciones internacionales.
6. Transfiera los riesgos de TI
En muchos casos, es más eficiente y menos oneroso para los equipos de seguridad interna transferir los riesgos críticos a una parte externa o a una entidad de seguros cibernéticos.
La asociación con soluciones de almacenamiento de datos, o copia de seguridad, transferirá y mitigará el riesgo de interrupción del servicio en caso de una violación de datos. Esta asociación también mitiga el riesgo de amenazas internas, ya que los empleados no tendrán acceso a todos los recursos de datos; y desastres naturales porque hay pocas posibilidades de que ocurra el mismo daño ambiental en dos lugares dispersos.
7. Supervise los riesgos y el cumplimiento de TI
Se deben implementar metodologías de monitoreo de TI para rastrear la progresión de los riesgos mitigados y los riesgos ignorados dentro del apetito de riesgo.
Un ejemplo de un control de supervisión de riesgos de TI es una solución de supervisión de la superficie de ataque capaz de analizar tanto en la red interna como en la de terceros. Un nivel de transparencia tan amplio y profundo mantiene a las organizaciones al tanto del estado de cada riesgo, de cualquier riesgo relacionado y de qué vulnerabilidades superan el apetito por el riesgo.
Los controles de seguimiento también deben evaluar la eficacia de los controles de mitigación. Los ciberatacantes siempre están ajustando sus tácticas para evadir las defensas de seguridad y las estrategias de mitigación. Un ejemplo reciente es el uso de software de rescate en un ataque a la cadena de suministro por parte del grupo de ciberdelincuentes REvil.
Las calificaciones de seguridad brindan a los equipos de seguridad y a las partes interesadas información sobre la postura de seguridad de su organización, todas sus subsidiarias y proveedores. Esta característica también confirma instantáneamente la efectividad de todos los esfuerzos de corrección.
Cuando la funcionalidad de retroalimentación inmediata de las calificaciones de seguridad se combina con los controles de supervisión de la superficie de ataque, las organizaciones son conscientes con confianza de la probabilidad de que ocurra una violación de datos, en cualquier punto de su entorno de TI, en cualquier momento.
Los KPI de ciberseguridad son los agentes licitadores que garantizan que todos los esfuerzos de supervisión de riesgos de TI respalden los objetivos generales de seguridad. También facilitan informes significativos para los equipos de seguridad de TI y las partes interesadas.
Aquí hay 14 métricas importantes que deben implementarse en su programa de gestión de riesgos de TI.
1. Nivel de preparación
2. Dispositivos no identificados en redes internas
3. Intentos de intrusión
4. Incidentes de seguridad
5. Tiempo medio de detección (MTTD)
6. Tiempo medio de resolución (MTTR)
7. Tiempo medio de contención (MTTC)
8. Calificaciones de seguridad de primera parte
9. Calificación media de seguridad del proveedor
10. Cadencia de parches
11. Gestión de accesos
12. Rendimiento de la empresa frente al rendimiento de los pares
13. Cadencia de parches de proveedores
14. Tiempo medio de respuesta a incidentes de los proveedores
Más información sobre los KPI de ciberseguridad
Proceso y Normas de Gestión de Riesgos
La proliferación de violaciones de datos ha hecho que las organizaciones tengan una mayor responsabilidad a la hora de asegurar sus redes y proteger los datos de los clientes. Estas mejores prácticas de seguridad se aplican a través del cumplimiento normativo.
Las industrias con mayor riesgo de ciberataques, como los servicios financieros y la atención médica, están sujetas a las leyes regulatorias y a los marcos de seguridad que facilitan el cumplimiento regulatorio.
Algunos ejemplos de normas de cumplimiento normativo son el Reglamento General de Protección de Datos (RGPD) para los residentes en la Unión Europea y el CPS 234 para las organizaciones reguladas por la APRA.
El siguiente gráfico muestra las 4 principales industrias a las que apuntan los ciberdelincuentes en Australia. Esto también refleja las tendencias globales de violación de datos.
Las industrias que no están reguladas aún se beneficiarán de la implementación de marcos regulatorios para beneficiarse de sus controles avanzados de protección contra violaciones de datos.
La Organización Internacional de Normalización (ISO) consta de una gama de normas que se adaptan a todas las organizaciones y sectores. Las normas ISO más populares para la seguridad informática son la ISO 27001 y la ISO 3100.
La familia ISO 27001 ofrece requisitos para los sistemas de gestión de seguridad de datos, y la familia ISO 3100 puede proporcionar orientación sobre auditorías internas de riesgos.
ISO ha publicado más de 22.700 normas para cumplir con casi todos los requisitos de seguridad de la información. El siguiente video proporcionará orientación sobre qué familia ISO es adecuada para los requisitos de riesgo de su negocio.
El Instituto Nacional de Normas y Tecnología (NIST, por sus siglas en inglés) ha
Garantizar el cumplimiento de los estándares regulatorios por parte de los proveedores es un componente esencial de la gestión de riesgos de TI, ya que las violaciones de terceros representan casi el 60% de los eventos de violación de datos.
Esto se puede lograr a través de evaluaciones de riesgos y cuestionarios de seguridad. Para respaldar la gestión eficiente de riesgos de los sistemas de información, los cuestionarios de seguridad de los proveedores deben administrarse a través de una solución de seguridad como UpGuard. De este modo,
Esto aliviará la pesadilla logística de rastrear manualmente el estado de múltiples evaluaciones de riesgos en hojas de cálculo.
La plataforma UpGuard admite los siguientes cuestionarios de seguridad:
- Cuestionario de Riesgo Cibernético: Proporciona una evaluación completa de la postura de seguridad de una organización, desde su marco de políticas hasta sus controles técnicos.
- Cuestionario ISO 27001: Evalúa la postura de seguridad de una organización con respecto a la norma ISO 27001 con riesgos asignados a los dominios ISO 27001. También es adecuado para la evaluación de los requisitos de APRA CPS 234.
- Cuestionario de Forma Corta: Una versión condensada del Cuestionario de Riesgo Cibernético, diseñado para ser enviado a organizaciones más pequeñas.
- Cuestionario del Marco de Ciberseguridad del NIST: Evalúa la postura de seguridad de una organización en relación con el Marco de Ciberseguridad del NIST.
- Cuestionario PCI DSS: evalúe el cumplimiento de una organización a los doce requisitos de PCI DSS.
- Cuestionario de la Ley de Privacidad del Consumidor de California (CCPA): Evalúa si un proveedor cumple con los requisitos de divulgación de información personal descritos en la CCPA.
- Cuestionario sobre la esclavitud moderna: diseñado para identificar los riesgos de la esclavitud moderna, abordar los riesgos identificados y destacar las áreas que requieren una mayor diligencia debida.
- Cuestionario de pandemia: diseñado para ayudarte a evaluar el impacto negativo de cualquier pandemia actual o futura.
- Cuestionario del programa de seguridad y privacidad: se centra únicamente en el programa de seguridad y privacidad de una organización.
- Cuestionario de seguridad de aplicaciones web: se centra únicamente en los controles de seguridad de las aplicaciones web de una organización.
- Cuestionario de seguridad de la infraestructura: se centra únicamente en los controles de seguridad de la infraestructura de una organización.
- Cuestionario de seguridad física y del centro de datos: se centra únicamente en los controles de seguridad físicos y del centro de datos de una organización.
- Cuestionario del Estándar de Seguridad COBIT 5: Evalúa el cumplimiento de los Objetivos de Control para el Marco de Tecnologías de la Información y Relacionadas creado por ISACA.
- ISA 62443-2-1:2009 Cuestionario de la norma de seguridad: Evalúa el cumplimiento de la norma ISA 62443-2-1:2009 para sistemas de control y automatización industrial.
- ISA 62443-3-3:2013 Cuestionario de la Norma de Seguridad: Evalúa el cumplimiento de los requisitos del sistema de control técnico asociados con los siete requisitos fundamentales (FR) descritos en IEC 62443-1-1.
- Cuestionario del estándar de seguridad del RGPD: evalúa el cumplimiento de los requisitos de divulgación de información personal descritos en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
- Cuestionario de la norma de seguridad CIS Controls 7.1: Evalúa el cumplimiento de las directrices de mejores prácticas para la ciberseguridad descritas en 20 controles CIS.
- NIST SP 800-53 Rev. 4 Security Standard Questionnaire: Evalúa el cumplimiento de los controles de seguridad y privacidad requeridos para todos los sistemas de información federales de EE. UU., excepto los relacionados con la seguridad nacional.
- Cuestionario de SolarWinds: diseñado para ayudarle a evaluar a sus proveedores que pueden utilizar SolarWinds.
- Cuestionario de Kaseya: Para ayudarlo a determinar si usted o sus proveedores estuvieron expuestos al sofisticado ataque de ransomware de la cadena de suministro
Para evaluaciones de riesgos de TI altamente específicas, UpGuard ofrece un creador de cuestionarios de seguridad personalizado. que permite editar cuestionarios existentes o crear cuestionarios completamente personalizados.