¿Qué es el riesgo residual? Por qué es importante en 2023
El riesgo residual es la amenaza o vulnerabilidad que permanece después de que se han implementado todos los esfuerzos de tratamiento y corrección de riesgos.
Incluso con un astuto programa de saneamiento de vulnerabilidad, siempre habrá vestigios de riesgos que permanecen, estos son riesgos residuales.
Debido a que siempre estarán presentes, el proceso de gestión del riesgo residual implica establecer un umbral aceptable y luego implementar programas y soluciones para mitigar todos los riesgos por debajo de ese umbral.
Para saber cómo identificar y controlar los riesgos residuales en sus superficies digitales, siga leyendo.
¿Por qué es tan importante el riesgo residual en 2023?
El riesgo residual es importante porque su mitigación es un requisito obligatorio de la norma ISO 27001. Se trata de un popular estándar de seguridad de la información dentro de la familia ISO/IEC 2700 de mejores prácticas de seguridad que ayuda a las organizaciones a cuantificar la seguridad de los activos antes y después de compartirlos con los proveedores.
Para cumplir con la norma ISO 27001, las organizaciones deben completar una verificación de seguridad residual además de los procesos de seguridad inherentes, antes de compartir datos con cualquier proveedor.
Pero en 2021, el riesgo residual ha alcanzado un grado de importancia aún mayor desde que el presidente Biden firmó la Orden Ejecutiva de Ciberseguridad. Ahora se espera que las organizaciones reduzcan significativamente los riesgos residuales a lo largo de su cadena de suministro para limitar el impacto de las violaciones de terceros por parte de los actores de amenazas de los estados-nación.
Para cumplir con las estrictas expectativas de cumplimiento de la norma ISO/IEC 27001 y la orden ejecutiva de Biden, las organizaciones deben combinar soluciones de monitoreo de superficie de ataque con evaluación de riesgos residuales.
¿Cuál es la diferencia entre el riesgo inherente y el riesgo residual?
El riesgo inherente es la cantidad de riesgo dentro de un ecosistema de TI en ausencia de controles, y el riesgo residual es la cantidad de riesgo que existe después de que se han implementado los controles de ciberseguridad.
Las evaluaciones de riesgos inherentes ayudan a los equipos de seguridad de la información y a CISOS a establecer un marco de requisitos para el diseño de los controles de seguridad necesarios. Más allá de esta evaluación de alto nivel, las evaluaciones de riesgos inherentes tienen poco valor. El valor real proviene de las evaluaciones de riesgos residuales que ayudan a identificar y remediar las exposiciones antes de que sean explotadas por los ciberdelincuentes.
Evaluaciones de riesgos inherentes vs. residuales
La principal diferencia entre las evaluaciones de riesgos inherentes y residuales es que estas últimas tienen en cuenta la influencia de los controles y otras soluciones de mitigación. Como era de esperar, la probabilidad de que ocurra un incidente en un
Las siguientes definiciones son importantes para cada programa de evaluación.
Probabilidad inherente: la probabilidad de que ocurra un incidente en un entorno sin controles de seguridad.
Impacto inherente: el impacto de un incidente en un entorno sin controles de seguridad.
Probabilidad residual: la probabilidad de que ocurra un incidente en un entorno con controles de seguridad.
Impacto residual: el impacto de un incidente en un entorno con controles de seguridad establecidos.
Cuando se implementan controles de seguridad efectivos, existe una discrepancia obvia entre las evaluaciones de riesgos inherentes y residuales. Estos resultados no son suficientes para verificar el cumplimiento y siempre deben validarse con una auditoría interna independiente.
Cuanto más larga sea la trayectoria entre los riesgos inherentes y los residuales, mayor será la dependencia y, por tanto, la eficacia de los controles internos establecidos.
Más información sobre las evaluaciones de riesgos residuales
Cómo calcular el riesgo residual
Antes de que se pueda diseñar un plan de gestión de riesgos, es necesario cuantificar todos los riesgos residuales únicos de su entorno digital. Esto ayudará a definir el requisito específico de su plan de gestión y también le permitirá medir el éxito de sus esfuerzos de mitigación.
Cuantificar los riesgos residuales dentro de un ecosistema es un cálculo muy complejo. A grandes rasgos, la fórmula es la siguiente:
Riesgo residual=Riesgos inherentes - impacto de los controles de riesgo.
Los riesgos residuales también pueden evaluarse en relación con la tolerancia al riesgo (o el apetito por el riesgo) para evaluar la eficacia de los planes de recuperación. Esto impondrá una auditoría de todos los controles de seguridad implementados e identificará cualquier falla que permita riesgos inherentes excesivos. Con estos análisis invaluables, los equipos de seguridad pueden llevar a cabo campañas de corrección específicas, respaldando la distribución eficiente de los recursos internos.
Aprenda a calcular el apetito de riesgo para su programa de gestión de riesgos de terceros.
>Debido a que la superficie de ataque moderna sigue expandiéndose y creando variables de riesgo adicionales, es mejor confiar este cálculo a soluciones inteligentes para garantizar la precisión. Sin embargo, para lograr una evaluación preliminar de su perfil de riesgo residual, se puede seguir el siguiente proceso de cálculo.
Paso 1: Calcule su factor de riesgo inherente.
Calcular los RTO para unidades de negocio críticas
El factor de riesgo inherente es una función de los Objetivos de Tiempo de Recuperación (RTO) para los procesos críticos, aquellos que tienen los RTO más bajos. Esto requiere que primero se calculen los RTO para cada unidad de negocio.
Aprenda a calcular los objetivos de tiempo de recuperación
Calcular el impacto potencial de cada categoría de RTO
Una vez calculado el RTO de cada unidad de negocio, esta lista debe ordenarse por nivel de impacto potencial en el negocio. Los RTO más bajos tienen un mayor nivel de criticidad y, por lo tanto, tendrán el mayor impacto negativo en una organización.
A cada RTO se le debe asignar una puntuación de impacto en el negocio de la siguiente manera:
- 1=Impacto insignificante
- 2=Impacto mínimo
- 3=Impacto moderado
- 4=Impacto crítico
- 5=Impacto catastrófico
por ejemplo:
Si la unidad de negocio A está compuesta por los procesos 1, 2 y 3 que tienen RTO de 12 horas, 24 horas y 36 horas respectivamente, un plan de recuperación de negocio solo debe evaluarse para el proceso 1. Esto se debe a que el proceso 1 tiene el RTO más bajo, lo que lo convierte en el proceso de negocio más crítico de su categoría de unidad de negocio.
Debido a que la unidad de negocio A tiene un RTO de 12 horas o menos, se clasificaría como un proceso altamente crítico y, por lo tanto, se le debería asignar una puntuación de impacto de 4 o 5.
Asigne una puntuación de nivel de amenaza a la unidad de negocio
A continuación, será necesario mapear el panorama de amenazas cibernéticas de cada unidad de negocio. Para garantizar la detección precisa de vulnerabilidades, esto debe hacerse con una solución de monitoreo de la superficie de ataque.
A continuación, se debe asignar una puntuación de nivel de amenaza a cada unidad en función del recuento de vulnerabilidades y el riesgo de explotación.
El sistema de puntuación del nivel de amenaza es el siguiente:
- 1=Bajo
- 2=Mínimo
- 3=Moderado
- 4=Alto
- 5=Crítico
Estimar el factor de riesgo inherente a la unidad de negocio
Una estimación del riesgo inherente se puede calcular con la siguiente fórmula:
Riesgo inherente=[ (Puntuación de impacto en el negocio) x (Puntuación del panorama de amenazas) ]/5
La puntuación de riesgo inherente resultante estará entre 2,0 y 5,0 y, a continuación, se puede clasificar de la siguiente manera:
- Entre 2 y 3=Bajo riesgo inherente
- Entre 3 y 3,9=Riesgo inherente moderado
- Entre 4 y 5 - Alto riesgo inherente
Paso 2: Identificar niveles aceptables de riesgo
Los niveles de riesgos aceptables dependen de los requisitos de cumplimiento normativo de cada organización. A grandes rasgos, todos los riesgos aceptables deben tener un impacto mínimo en los ingresos, los objetivos empresariales, la prestación de servicios y la gestión de la superficie de ataque.
Cómo definir niveles aceptables de riesgo
Es necesario definir los riesgos aceptables para cada activo individual. Esto puede convertirse en un requisito previo abrumador con un inventario completo de activos. El siguiente marco aceptable de análisis de riesgos ayudará a distribuir el esfuerzo y acelerar el proceso.
Esto se puede lograr con el siguiente marco de análisis de riesgos aceptable:
- Identifique todos los activos con el mapeo de huellas digitales.
- Asigne cada activo, o grupo de activos, a un propietario.
- Identifique las vulnerabilidades actuales y potenciales de cada activo.
- Cuantificar la probabilidad de que estas vulnerabilidades sean explotadas
- Cuantifique el riesgo de cada activo utilizando la siguiente fórmula:
Riesgo=Probabilidad x Impacto
Donde:
- La probabilidad es una función de las vulnerabilidades, la exposición y las amenazas.
- El impacto es una función de la criticidad del negocio.
Los niveles aceptables de riesgo deben definirse como un porcentaje en el que:
- Si el factor de riesgo inherente es inferior a 3=20% de riesgo aceptable (tolerancia al riesgo alto).
- Si el factor de riesgo inherente está entre 3 y 3,9=15% de riesgo aceptable (tolerancia al riesgo moderada).
- Un factor de riesgo inherente entre 4 y 5=10% (tolerancia al riesgo bajo).
Cuanto menor sea el porcentaje, más severos serán los requisitos de control de riesgos de ciberseguridad. Y cuanto mejor se controle el riesgo, mayores serán las posibilidades de recuperación tras un ciberataque.
La tolerancia máxima al riesgo se puede calcular con la siguiente fórmula:
Tolerancia máxima al riesgo=Porcentaje de tolerancia al riesgo inherente x Factor de riesgo inherente
Y el umbral final de tolerancia al riesgo se calcula de la siguiente manera:
Umbral de tolerancia al riesgo=Factor de riesgo inherente - tolerancia máxima al riesgo.
Por ejemplo:
Con un factor de riesgo inherente de 3, la tolerancia al riesgo inherente correspondiente es del 15%. La tolerancia máxima al riesgo es:
3 x 15%=0,45.
El umbral de tolerancia al riesgo se convierte entonces en:
3 - 0,45=2,55.
Esto significa que, para que los controles de mitigación estén dentro de la tolerancia, sus capacidades deben sumar 2,55 o más.
El costo de mitigar estos riesgos es mayor que el impacto en el negocio.
Incluso con soluciones implementadas, los nuevos riesgos residuales seguirán apareciendo por encima del umbral, como el riesgo de nuevas fugas de datos.
La mitigación de estos riesgos requiere un estilo de gestión dinámico: identificar rápidamente los nuevos riesgos que superan el umbral y reducirlos con respuestas de remediación adecuadas. El objetivo es mantener todos los riesgos residuales por debajo del umbral de riesgo aceptable durante el mayor tiempo posible.
Paso 3: Asignar ponderaciones para todos los controles de mitigación
A todos los controles que protegen un plan de recuperación se les debe asignar un peso en función de su importancia. Los controles más críticos suelen ser:
- La estrategia de recuperación: también conocida como plan de respuesta a incidentes.
- Ejercicios de recuperación: el nivel de experiencia en la prueba de la estrategia de recuperación.
Otros controles comunes incluyen:
- Capacitación y concientización sobre incidentes cibernéticos
- Análisis de riesgos de terceros
- Detección y corrección de fugas de datos.
Ahora asigne una puntuación ponderada para cada control de mitigación en función de su análisis de impacto empresarial (BIA).
Agregue las puntuaciones ponderadas de cada control de mitigación para determinar el estado general del control de mitigación
Paso 4: Calcule su riesgo residual.
Para completar la fórmula de riesgo residual, compare el número de estado de control de mitigación general con el umbral de tolerancia al riesgo.
Se encuentra dentro del rango de tolerancia si el número de estado de control de mitigación es igual o superior al umbral de tolerancia al riesgo.
Está fuera del intervalo de tolerancia si el número de estado de control de mitigación es inferior al umbral de tolerancia al riesgo.
Cuanto menor sea el resultado, más esfuerzo se requiere para mejorar el plan de recuperación de su negocio. Por el contrario, cuanto mayor sea el resultado, más eficaz será su plan de recuperación.
Preguntas frecuentes sobre el riesgo residual
¿Qué significa riesgo residual?
Los riesgos residuales son todos los riesgos que quedan después de que los inherentes se han reducido con controles de seguridad.
¿Cuáles son algunos ejemplos de riesgo residual?
Algunos ejemplos de riesgos residuales son:
- El riesgo de infracciones de terceros
- El riesgo de ataques a la cadena de suministro
- El riesgo de secuestro de dominios
- El riesgo de un ataque de phishing
- Buckets de S3 expuestos
¿Qué es el riesgo residual en la banca?
Ejemplos de riesgo residual en la banca incluyen:
- La incapacidad de saldar una deuda
- El riesgo de que un solicitante de préstamo pierda su trabajo
- El riesgo de liquidación de activos
¿Cuáles son los factores que contribuyen al riesgo residual?
Los riesgos residuales pueden ser causados por controles de seguridad ineficaces o por los propios controles de seguridad, lo que se conoce como riesgos secundarios.