Si se pregunta a la mayoría de los expertos en seguridad informática, el riesgo está presente en todas partes. Existen riesgos derivados de los dispositivos finales sin parches, las nuevas variantes de malware, los ataques de phishing, los servicios en la nube de «TI en la sombra» y los ordenadores portátiles abandonados en los bancos de los parques; la lista es interminable.
Al menos una o dos veces al año, se pedirá al equipo de gestión de riesgos de su empresa que evalúe y presente un informe sobre los riesgos existentes en toda la organización de una forma que resulte significativa para el equipo directivo y el consejo de administración.
Dada la gran cantidad de detalles técnicos que influyen en el riesgo, es posible que su equipo se pregunte cómo abordar esta tarea tan importante y de gran alcance. El equipo de seguridad de su empresa ya debería estar realizando un seguimiento de las variantes de malware y determinando qué sistemas necesitan nuevos parches. Pero, ¿son esas las cifras que le interesan a su equipo directivo y a su consejo de administración? Si esas cifras oscilan de un trimestre a otro, ¿está su equipo haciendo un buen trabajo? Si usted piensa así, ¿pensará lo mismo la junta directiva?
En cambio, la verdadera pregunta es: ¿Cómo se mide el riesgo de forma que resulte útil para los responsables de su organización? O, dicho de otro modo: ¿cómo se mide el riesgo para que los responsables de su organización puedan, en primer lugar, comprender qué aspectos del riesgo son relevantes y, a continuación, tomar las decisiones adecuadas para reducirlo?
En esta entrada, comparto las mejores prácticas para medir el riesgo de forma que resulte significativa para la alta dirección. Ahí es donde vamos a empezar: por la cúpula de la organización y por los objetivos que los responsables de su organización han considerado más urgentes.
Evaluar los riesgos que son importantes para sus directivos
Dejemos de lado el tema del riesgo por un momento y hablemos, en su lugar, de la labor del equipo directivo y del consejo de administración. Son los responsables de marcar la dirección estratégica de su organización. Esto implica garantizar que las decisiones y las inversiones que se toman en los niveles inferiores de la dirección respalden la estrategia general de su empresa.
Independientemente del sector en el que se dedique, es casi seguro que estos objetivos generales incluirán:
- Continuidad del negocio
- Confidencialidad, integridad y disponibilidad de los datos (CIA de los datos)
- Cumplimiento normativo
Analicemos cada uno de ellos por separado.
Evaluación del riesgo asociado a la continuidad del negocio
La continuidad del negocio consiste en mantener la actividad, garantizar la productividad de los empleados, asegurar que las operaciones de fabricación y envío (si procede) sigan funcionando sin contratiempos, y velar por que cualquier otro tipo de actividad —ya sea la extracción de petróleo o la prestación de un servicio SaaS— continúe funcionando, pase lo que pase.
Esta categoría incluye la recuperación ante desastres. También implica garantizar que los servicios informáticos esenciales para la empresa dispongan de capacidad suficiente para dar soporte a todos los usuarios, incluidos los empleados, los clientes y los socios.
La continuidad del negocio también implica que estos servicios puedan resistir amenazas de seguridad como , ataques DDoS (se abre en una nueva pestaña),y , y que los errores de configuración u otros errores de gestión informática nunca impidan a los empleados acceder a las aplicaciones y los recursos informáticos que necesitan.
Evaluación del riesgo asociado a la confidencialidad, la integridad y la disponibilidad de los datos
En todos los sectores, se reconoce la importancia de los datos —se trata del «nuevo petróleo (se abre en una nueva pestaña)» de la economía digital—, así como la urgencia de protegerlos. Las organizaciones siempre han adoptado ciertas medidas para mantener la confidencialidad de los datos y garantizar que solo los usuarios autorizados tengan acceso a ellos.
Sin embargo, el reto de garantizar la seguridad de los datos se ha agravado. Por un lado, actualmente se accede a los datos confidenciales desde más lugares que nunca. Esto se debe, en parte, a que los trabajadores que teletrabajan recurren cada vez más a la política de «traiga su propio dispositivo» (BYOD), en lugar de utilizar ordenadores portátiles y de sobremesa probados y configurados por su departamento de TI.
Resulta difícil supervisar el estado de seguridad de estos dispositivos finales, ya que las herramientas de seguridad que utilizan la mayoría de las organizaciones se diseñaron para funcionar principalmente con dispositivos finales conectados a una red local.
Además, las empresas están recurriendo a los datos de forma estratégica y de nuevas maneras. Esto incluye la creación de nuevos productos y servicios mediante la combinación de datos internos y externos. Esto se refleja en la aparición de un nuevo cargo en el equipo directivo, el director de datos (CDO), lo que pone de manifiesto la creciente importancia de los datos para la orientación de la organización y su situación financiera.
De una forma u otra, todas las organizaciones de todos los sectores deberán garantizar la confidencialidad, la integridad y la disponibilidad de los datos (se abre en una nueva pestaña) (o, como se conoce en algunos círculos de TI, «CIA de los datos»).
Evaluación del riesgo asociado al cumplimiento normativo
Cuando pensamos en la privacidad de los datos, nos vienen a la mente, de forma natural, normativas como (RGPD) (se abre en una nueva pestaña) y (HIPAA) (se abre en una nueva pestaña), las cuales exigen la protección de los datos personales.
Sin embargo, también existen otras normativas, que abarcan desde la información financiera hasta la discriminación racial. Se trata de normas que ninguna organización puede permitirse incumplir. El incumplimiento puede acarrear multas cuantiosas, la rescisión de contratos y una mala publicidad que perdure durante años.
Por ejemplo, un estudio británico (se abre en una nueva pestaña) reveló que las pérdidas acumuladas derivadas de una sanción regulatoria equivalían a nueve veces el importe de la propia multa regulatoria. Son pocas las empresas que asumirían a sabiendas un riesgo de tal magnitud.
Para evaluar el riesgo de cumplimiento de forma eficaz, deberá saber qué normativas son relevantes para su organización. A continuación, deberá realizar un seguimiento de los activos y procesos informáticos que puedan ayudarle a determinar si su empresa cumple con la normativa.
Enmarcar el riesgo en el contexto de los objetivos estratégicos
Para captar la atención de los responsables de su organización, plantee su análisis sobre el riesgo y las medidas de riesgo en relación con sus principales objetivos estratégicos.
Al fin y al cabo, su labor consiste en garantizar que su organización alcance sus objetivos fundamentales en materia de continuidad del negocio, protección de datos y cumplimiento normativo. Por supuesto, también podrían contribuir a que la empresa alcance otros objetivos, como el crecimiento anual de las ventas o la cultura empresarial.
Y cuando estos líderes se reúnen, son precisamente estos objetivos en los que piensan. Por eso es tan importante que sitúe sus riesgos informáticos en el contexto de la estrategia de la organización.
En resumen
He comenzado esta entrada señalando que el riesgo está presente en todas partes. Sin embargo, si se centra en los objetivos estratégicos de su organización, no tendrá que dedicar tiempo a recopilar todas y cada una de las posibles métricas de seguridad informática o de cumplimiento normativo. En su lugar, puede centrarse en medir los indicadores que reflejen cualquier riesgo que pueda impedir que su empresa alcance sus objetivos de máximo nivel.
En futuras entradas del blog de esta serie, los expertos en riesgos de Tanium profundizarán en cómo medir el riesgo y cómo informar de ello a la dirección de su empresa.
De momento, sin embargo, puede dar un suspiro de alivio. No es necesario que cree una amplia colección de hojas de cálculo que recojan todas las métricas posibles en materia de seguridad y cumplimiento normativo de todos sus sistemas informáticos y procesos operativos.
En cambio, a la hora de evaluar el riesgo, ahora dispone de una lista de objetivos ordenados por prioridad desde la que partir. Aún le queda trabajo por hacer, pero ahora está más centrado. Además, es más probable que sus informes resulten comprensibles para los responsables que marcan el rumbo de su organización.
Obtenga más información sobre cómo Tanium puede ayudarle a mejorar la visibilidad de los datos y reducir el riesgo. (se abre en una nueva pestaña)
