Los riesgos están en todas partes, pero algunos riesgos importan más que otros. ISO 31000 (se abre en una nueva pestaña), el estándar de gestión de riesgos con el alcance internacional más amplio, define el riesgo como “el efecto de la incertidumbre en los objetivos”. En cualquier empresa, abundan las incertidumbres (tanto las positivas como las negativas) y los objetivos pueden variar desde la compra de una nueva impresora hasta el lanzamiento de un nuevo producto.
En esta publicación, ofrezco pautas que puede usar para medir los riesgos que importan. En el camino, destaco la importancia de la colaboración para identificar, medir y mitigar los riesgos. Cuando los departamentos de TI trabajan en estrecha colaboración con sus unidades de negocio, se pueden comprender y abordar los riesgos.
Identificar los riesgos asociados con los objetivos estratégicos
Las organizaciones de TI son responsables de identificar una amplia gama de riesgos, incluidos sistemas sin parches, nuevas variantes de malware, nuevas técnicas de phishing y más; la lista continúa. Aunque es importante hacer un seguimiento de estos riesgos, medirlos y priorizarlos, debe considerar su contexto. Después de todo, el riesgo de una sola vulnerabilidad de seguridad puede diferir de un sistema a otro.
Considere, por ejemplo, dos servidores de archivos que carecen de los últimos parches para una aplicación. Un servidor de archivos almacena menús de almuerzo para la cafetería del empleado. Las otras tiendas fabrican diseños para un nuevo producto que se introducirá el próximo mes.
Claramente, el servidor con los documentos de diseño es más estratégicamente importante. Por lo tanto, sus riesgos deben tener prioridad sobre los riesgos que afectan al servidor de archivos con los menús de almuerzo.
A partir de este ejemplo, podemos derivar una regla general: Cualquier riesgo que ponga en peligro un objetivo estratégico de alto nivel tiene prioridad sobre los riesgos que afectan solo los objetivos de menor nivel.
Dada esta regla, el trabajo de medir el riesgo comienza con la identificación de los objetivos estratégicos de su empresa. Luego, puede explorar la infraestructura de TI que respalda la búsqueda de su empresa de esos objetivos.
Piense en ello como una forma de análisis de la cadena de suministro. Está rastreando el flujo de datos, personas y operaciones desde una meta de alto nivel hasta los sistemas y procesos de TI específicos que ayudan a la empresa a alcanzar esa meta. Estos sistemas y procesos funcionan como un tipo de cadena de suministro para los objetivos en sí.
Por ejemplo, supongamos que su empresa tiene el objetivo de alto nivel de brindar servicios financieros confiables y de vanguardia a través de una aplicación móvil. Claramente, el servidor web, las bases de datos y los módulos de software que admiten esta aplicación móvil son estratégicamente importantes. Cualquier riesgo que pudiera desconectarlos también se consideraría importante, especialmente cuando se compara con un riesgo para una aplicación interna que nunca es utilizada por los clientes.
En este caso, el equipo de gestión de riesgos de la empresa debe hacer preguntas como:
- ¿Qué sistemas y procesos respaldan directamente la confiabilidad y la innovación de nuestra aplicación móvil de servicios financieros?
- ¿Qué sistemas y procesos permiten esos sistemas y procesos?
- ¿Cuál es el sistema que hace que la aplicación móvil funcione?
Para medir el riesgo, identifique estas interconexiones y rastree según sea necesario de acuerdo con los objetivos y las capacidades de su empresa.
No todos los sistemas y procesos de esta “cadena de suministro” son igualmente importantes. Para medir los riesgos dentro de la cadena de suministro en sí, asigne un valor a todo (que importa en consideración de la regla 80/20 ) desde el objetivo de nivel superior hasta el sistema o proceso de soporte más bajo.
Generar una gama de riesgos
Sus objetivos estratégicos también deben compararse y valorarse. Es raro que una empresa los trate por igual.
Una vez que haya identificado sus objetivos principales, asigne a cada uno un valor a lo largo de algún tipo de rango. Por ejemplo, en función de las conversaciones con su equipo ejecutivo, puede asignar un crecimiento continuo de los ingresos de al menos el 10 % de CAGR un valor de 10 en un rango de 1 a 10, lo que significa que es el más importante.
Por el contrario, podría valorar el cumplimiento normativo como un 7. Esto no significa que el cumplimiento no sea importante para la empresa. Solo significa que asegurar el cumplimiento es excelente, pero no será la prioridad de primer nivel que tiene prioridad sobre todas las demás inversiones.
Luego, identifique a las personas, los procesos y las tecnologías involucrados en el apoyo a cada objetivo estratégico. Luego, clasifique la importancia de cada factor de apoyo.
Para proporcionar más matices, puede estimar la probabilidad de que ocurra una falla específica. Por ejemplo, imagine que su empresa tiene un servidor web que admite una aplicación móvil crítica para el negocio. Las probabilidades de que ese servidor ofrezca un rendimiento inaceptablemente lento durante un período de uso pico son probablemente mayores que las probabilidades de que ese mismo servidor sucumba a un corte de energía que bloquea los sistemas de energía principal y de copia de seguridad.
Al multiplicar el rango para el valor estratégico del servidor (digamos, 7 de 10) por la probabilidad de un riesgo específico (digamos, 50 % o 0.5), puede comenzar a clasificar los riesgos e identificar aquellos que requieren una acción más inmediata.
Por ejemplo, supongamos que la probabilidad de que un servidor ofrezca un rendimiento lento es del 40 %, mientras que la probabilidad de que un servidor se rompa en un corte de energía catastrófico es de solo el 2 %. Si la importancia del servidor clasifica un 7 en un rango de 1 a 10, el valor de riesgo para el escenario de rendimiento lento sería 7 veces 0.40, lo que da 2.8. Luego, el valor de riesgo para el escenario de corte de energía sería 7 veces 0.02, lo que da 0.14. El escenario de rendimiento lento, que tiene el valor de riesgo más alto (2.8 frente a 0.14), es obviamente el riesgo que necesitará atención primero.
La importancia de colaborar para medir el riesgo
Realizar este tipo de evaluación de riesgos requiere mucho trabajo y una apertura para aceptar la ambigüedad, la paradoja y la incertidumbre. Incluye recopilar información detallada sobre personas, procesos y tecnologías en toda la empresa y sintetizarla para comprender qué hacer.
De manera realista, ninguna persona o equipo conoce de manera fuera de lo común todos los detalles y vulnerabilidades asociados con todos los sistemas y procesos de TI que respaldan todos los objetivos estratégicos de la empresa. El departamento de TI deberá buscar ayuda.
Mi consejo: Si está evaluando los procesos y las tecnologías de un departamento, pida ayuda a ese departamento. Por ejemplo, si desea comprender los riesgos relacionados con las aplicaciones del departamento de recursos humanos (RR. HH.), hable con alguien de RR. HH. Probablemente sabrán cosas sobre su aplicación que el equipo de operaciones de TI no sabe.
Al hablar con personas fuera del departamento de TI, minimice el uso de la jerga técnica. Al hablar con colegas de TI, está bien usar lingotes técnicos como “¿Están funcionando sus controles?” Pero fuera de TI, es probable que ese tipo de lenguaje sea confuso.
Cuando hablo con personas que no son de TI, generalmente hablo en términos de empoderar cosas buenas y prevenir cosas malas. También les pregunto sobre el propósito de un proceso o aplicación. Analizo los objetivos de nuestro proceso de gestión de riesgos. Y explico cómo nuestras evaluaciones de riesgos pueden ayudarlos a realizar el trabajo y a alcanzar sus propios objetivos departamentales al aumentar la certeza del éxito.
Otro consejo: Nunca le diga a alguien cómo hacer algo sin preguntarle primero cómo cree que debe hacerse. Si impone una solución, es posible que se pierda una alternativa creativa. También es posible que descubra que la gente se opone a seguir una nueva póliza que los afecta directamente, especialmente si no tiene en cuenta sus ideas.
Una mejor solución: Solicite asesoramiento a los usuarios comerciales. Luego, puede encontrar una solución de gestión de riesgos que probablemente sea compatible.
La gestión de riesgos es un problema de la empresa, no solo un problema de TI
Cuando las personas fuera de TI se dan cuenta de que usted confía en ellas y que está genuinamente interesado en lo que tienen para decir, se comunicarán con usted más libremente. También será más probable que asuman la responsabilidad de las soluciones de gestión de riesgos (se abre en una nueva pestaña) que implementó conjuntamente.
Esta colaboración continua es un beneficio de adoptar un enfoque de “sistemas” para gestionar el riesgo a través de la integración. No solo descubre los detalles que necesita para medir los riesgos con mayor precisión, sino que también educa a las partes interesadas de la organización sobre la importancia de la medición y mitigación de riesgos. Y puede colaborar con estas partes interesadas para desarrollar soluciones que minimicen los riesgos que ambos han identificado.
La medición de riesgos inevitablemente genera algunas sorpresas, y algunas pueden ser aterradoras o ¡Ah! momentos. Pero la medición de riesgos casi siempre mejora la comunicación entre departamentos. También puede ayudar a toda la empresa a tomar mejores decisiones sobre cómo reducir la incertidumbre y lograr los objetivos más importantes de la empresa.
Consulte el primer blog de esta serie, Medición de lo que importa: Alinear la medición de riesgos con los objetivos corporativos. (Se abre en una nueva pestaña)
Obtenga más información sobre la solución de gestión de riesgos de Tanium (se abre en una nueva pestaña).
