Si pregunta a la mayoría de los expertos en seguridad de TI, el riesgo está en todas partes. Existen riesgos en los puntos finales sin parches, las nuevas variantes de malware, los ataques de phishing, los servicios de nube de TI oculta, las computadoras portátiles que quedan en las mesas de trabajo del parque; el listado continúa.
Al menos una o dos veces al año, se le pedirá al equipo de gestión de riesgos de su empresa que mida e informe el riesgo en toda su organización de una manera que sea significativa para el equipo ejecutivo y la junta directiva.
Con tantos detalles técnicos que contribuyen al riesgo, su equipo podría preguntarse cómo abordar este importante y amplio trabajo. El equipo de seguridad de su empresa ya debería estar rastreando variantes de malware y determinando qué sistemas necesitan nuevos parches. Pero, ¿son esos los números que a su equipo ejecutivo y a su junta directiva les importan? Si esos números suben y bajan de un trimestre a otro, ¿su equipo está haciendo un buen trabajo? Si lo cree, ¿el tablero también lo pensará?
En cambio, la pregunta real es: ¿Cómo mide el riesgo de maneras que pueden ayudar a los líderes de su organización? O, para decirlo de otra manera: ¿Cómo mide el riesgo para que los líderes de su organización puedan primero entender qué es relevante sobre el riesgo y luego tomar las decisiones correctas para reducirlo?
En esta publicación, comparto las mejores prácticas para medir el riesgo de maneras que son significativas para la parte superior. Aquí es donde vamos a comenzar, en la cima de la organización, y los objetivos que los líderes de su organización han decidido son los más apremiantes.
Medición de los riesgos que importan a sus líderes
Dejemos de lado el riesgo por un momento y hablemos en su lugar sobre el trabajo del equipo ejecutivo y la junta directiva. Son responsables de establecer la dirección estratégica de su organización. Eso incluye garantizar que las decisiones y las inversiones en niveles de gestión más bajos respalden la estrategia de alto nivel de su empresa.
Independientemente del negocio en el que se encuentre, estos objetivos de alto nivel casi seguramente incluirán:
- Continuidad del negocio
- Confidencialidad, integridad y disponibilidad de los datos (CIA de datos)
- Cumplimiento normativo
Consideremos cada uno a su vez.
Medición del riesgo asociado con la continuidad del negocio
La continuidad del negocio significa mantener las luces encendidas, mantener a los empleados productivos, mantener las operaciones de fabricación y envío (si es relevante) funcionando y garantizar que cualquier otro tipo de operación, ya sea bombeando aceite o entregando un producto SaaS, continúe funcionando, sin importar lo que suceda.
Esta categoría incluye la recuperación ante desastres. También incluye garantizar que los servicios de TI críticos para el negocio tengan suficiente capacidad para respaldar a todos los usuarios, incluidos empleados, clientes y socios.
La continuidad del negocio también significa que estos servicios pueden soportar amenazas de seguridad como ataques de DDoS (se abre en una nueva pestaña) y que las configuraciones erróneas u otros errores de gestión de TI nunca excluirán a los empleados de las aplicaciones y los recursos de TI que necesitan.
Medición del riesgo asociado con la confidencialidad, integridad y disponibilidad de los datos
En cada industria, las personas reconocen la importancia de los datos, es el “nuevo petróleo (se abre en una nueva pestaña)” de la economía digital, así como la urgencia de protegerlos. Las organizaciones siempre han tomado algunas medidas para mantener la confidencialidad de los datos y garantizar que estén disponibles solo para usuarios autorizados.
Pero el desafío de mantener los datos seguros ha aumentado. Por un lado, ahora se accede a los datos confidenciales desde más ubicaciones que nunca. Esto se debe, en parte, a la fuerza laboral de trabajo desde casa (Work-from-Home, WWFH), que utiliza cada vez más dispositivos “traiga sus propios dispositivos” (BYOD) en lugar de computadoras portátiles y de escritorio probadas y proporcionadas por su departamento de TI.
El estado de seguridad de estos puntos finales es difícil de monitorear porque las herramientas de seguridad que la mayoría de las organizaciones utilizan fueron diseñadas para trabajar principalmente con puntos finales en una red local.
Además, las empresas confían estratégicamente en los datos de nuevas maneras. Eso incluye crear nuevos productos y servicios combinando datos internos y externos. Esto se refleja en el surgimiento de un nuevo miembro del equipo ejecutivo, el director de datos (Chief Data Officer, CDO), que da fe de la creciente importancia de los datos para la dirección organizacional y la situación financiera.
De una manera u otra, cada organización de cada industria necesitará garantizar la confidencialidad, integridad y disponibilidad de los datos (se abre en una nueva pestaña) (o como se conoce en algunos círculos de TI, “datos CIA”).
Medición del riesgo asociado con el cumplimiento normativo
Cuando pensamos en la privacidad de los datos, naturalmente pensamos en reglamentaciones como el RGPD (se abre en una nueva pestaña) y la HIPAA (se abre en una nueva pestaña), las cuales exigen la protección de los datos personales.
Pero también hay otras reglamentaciones, y cubren todo, desde la elaboración de informes financieros hasta la discriminación racial. Son regulaciones que ninguna organización puede permitirse violar. El incumplimiento puede resultar en multas considerables, cancelaciones de contratos y mala publicidad que dura años.
Por ejemplo, un estudio del Reino Unido (se abre en una nueva pestaña) descubrió que las pérdidas acumulativas resultantes de una sanción regulatoria eran nueve veces la multa regulatoria en sí. Pocas empresas asumían a sabiendas ese riesgo de tamaño.
Para medir el riesgo de cumplimiento de manera efectiva, necesitará saber qué regulaciones son importantes para su organización. Luego, deberá hacer un seguimiento de los activos y procesos de TI que pueden ayudar a determinar si su empresa cumple.
Enmarcar el riesgo con objetivos estratégicos
Para llamar la atención de los líderes de su organización, enmarque su análisis de riesgos y mediciones de riesgos en términos de sus principales objetivos estratégicos.
Después de todo, es su trabajo asegurarse de que su organización alcance sus objetivos centrales en torno a la continuidad del negocio, la privacidad de los datos y el cumplimiento normativo. Por supuesto, también podrían llevar a la empresa a lograr otros objetivos, como el crecimiento anual de las ventas o la cultura de la empresa.
Y cuando estos líderes se reúnen, son estos objetivos en los que están pensando. Por eso es tan importante que enmarque sus riesgos de TI en el contexto de la estrategia de la organización.
Conclusión
Comencé esta publicación notando que el riesgo está en todas partes. Pero si se enfoca en los objetivos estratégicos de su organización, no necesitará dedicar tiempo a catalogar todas las métricas posibles de seguridad o cumplimiento de TI. En cambio, puede enfocarse en medir métricas que reflejen cualquier riesgo para que su empresa alcance sus objetivos de más alto nivel.
En futuras publicaciones en blogs de esta serie, los expertos en riesgos de Tanium analizarán con más detalle cómo medir el riesgo e informarlo al liderazgo de su empresa.
Por ahora, sin embargo, puede respirar un suspiro de alivio. No es necesario crear una amplia colección de hojas de cálculo que rastree todas las métricas de seguridad y cumplimiento posibles de todos sus sistemas de TI y procesos operativos.
En cambio, al medir el riesgo, ahora tiene una lista priorizada de objetivos para comenzar. Todavía tiene trabajo por hacer, pero ahora está enfocado. Y es más probable que sus informes sean comprendidos por los líderes que establecen el curso de su organización.
Obtenga más información sobre cómo Tanium puede ayudarlo a mejorar la visibilidad de los datos y reducir el riesgo. (Se abre en una nueva pestaña)
