Una puntuación de riesgo cibernético identifica el nivel de exposición de una organización ante la ciberdelincuencia y las responsabilidades derivadas de las vulnerabilidades informáticas. Considere las puntuaciones de riesgo cibernético como una especie de puntuación crediticia en materia de ciberseguridad. Un informe de puntuación de riesgos constituye un medio valioso para dar a conocer la solidez del programa de gestión de activos de TI de una organización, tanto a nivel interno como externo.
Las organizaciones utilizan las puntuaciones de riesgo cibernético para evaluar a los proveedores y para la gestión interna de vulnerabilidades. En el sector privado, la evaluación del riesgo cibernético se está convirtiendo en una práctica habitual en el ámbito empresarial; Dun & Bradstreet ha incorporado incluso un producto denominado « » (Evaluación del riesgo cibernético) a su oferta de información empresarial.
La puntuación de riesgo cibernético de una empresa puede influir en todo, desde las oportunidades de fusión y adquisición hasta las tarifas de los seguros. Hacer un seguimiento de su puntuación de riesgo cibernético y buscar formas de mejorarla se han convertido en aspectos fundamentales para la ciberseguridad, así como en una tarea esencial para los directores de seguridad de la información (CISO).
Las puntuaciones de riesgo cibernético pueden expresarse numéricamente, de forma muy similar a una puntuación crediticia, o bien pueden presentarse en forma de porcentajes, en los que el 100 % representa una visibilidad completa de todas las vulnerabilidades de ciberseguridad de la organización. La puntuación indica qué porcentaje del riesgo se ha mitigado mediante controles, tales como una gestión eficaz de parches , herramientas de gestión de parches y herramientas de monitorización . Lo que queda es el riesgo aceptado o el nivel de riesgo residual que la organización está dispuesta a tolerar.
El nivel de riesgo que una organización esté dispuesta a asumir dependerá de su presupuesto en materia de ciberseguridad, de la facilidad para mitigar las vulnerabilidades conocidas y de su tolerancia al riesgo.
¿Cómo se calcula la puntuación de riesgo cibernético?
El primer paso para crear una puntuación de riesgo cibernético consiste en obtener una visión general del riesgo inherente a toda su organización, priorizando los activos de TI y evaluando el factor de riesgo de cada uno de ellos. Esta evaluación debería incluir:
- Datos en la nube. La nube es una herramienta fantástica para los equipos que necesitan compartir datos, pero puede aumentar el riesgo de que se produzca una filtración de datos debido a la falta de observabilidad.
- Evaluación de vulnerabilidades. Empiece por identificar los posibles puntos débiles de sus sistemas.
- Controles actuales y previstos. ¿Qué medidas cuenta ya su organización para la gestión de vulnerabilidades y qué controles adicionales son necesarios?
- Valor de los activos. Puede evaluar la importancia de un activo de datos en función de su papel en las operaciones de la organización, dando prioridad a los datos críticos en su planificación de ciberseguridad.
«. La evaluación del riesgo cibernético es una necesidad imprescindible, más que un simple extra, para las organizaciones medianas y de gran tamaño.»
- Sensibilidad de los datos. Otro indicador del riesgo cibernético consiste en comprender las consecuencias de una filtración de datos. Los registros sujetos a la normativa sobre protección de datos de los consumidores u otros marcos normativos requieren un mayor nivel de protección de datos, ya que el coste de una violación de la seguridad —tanto en multas como en pérdida de confianza pública— puede ser elevado.
- Identificación de activos de TI. Ya antes de la pandemia de COVID-19, los límites entre la vida laboral y la vida personal se habían difuminado. En la actualidad, dado que son muchas más las personas que trabajan a distancia, el número de terminales que suponen posibles vulnerabilidades en materia de ciberseguridad ha aumentado, al tiempo que se ha agravado el reto que supone la identificación de activos informáticos. Los trabajadores a distancia suelen descargar programas que no han sido revisados por el departamento de TI, lo que supone un riesgo adicional. Además, es posible que el personal que cuenta con menos supervisión en materia de TI no instale las actualizaciones de software, lo que deja a las aplicaciones expuestas a vulnerabilidades críticas. La detección continua de activos es fundamental para la gestión de inventarios de software , la gestión de inventarios y la gestión de parches.
- Análisis de amenazas. La evaluación del ecosistema de amenazas implica la investigación y el análisis del entorno externo de riesgos de ciberseguridad.
¿Cuáles son los distintos marcos de referencia en materia de riesgos de ciberseguridad?
Un marco de riesgos de ciberseguridad es el conjunto de procesos y directrices que una organización ha desarrollado para mitigar los riesgos cibernéticos.
Los programas de gestión de riesgos de ciberseguridad suelen ajustarse a los requisitos de uno o varios marcos de ciberseguridad de la Agencia de Seguridad Nacional de Estados Unidos ( ). Entre los marcos de ciberseguridad más utilizados se encuentran:
- Instituto Nacional de Normas y Tecnología. El NIST ( ) diseñó su marco «» ( ) para proteger los activos gubernamentales esenciales, pero sus normas «» ( ) para la evaluación del riesgo cibernético pueden aplicarse a cualquier organización.
- Organización Internacional de Normalización. La ISO establece normas internacionales sobre diversos temas, entre ellos la gestión de la seguridad de la información. La familia de normas ISO/IEC 2700 « » ofrece un marco para la gestión de vulnerabilidades a nivel internacional, lo cual resulta fundamental para las empresas que operan en varios países.
- Reglamento General de Protección de Datos. El Reglamento General de Protección de Datos ( , RGPD) es un conjunto de normas destinadas a proteger los datos personales de los ciudadanos de la UE. Dado que las normas se aplican a la recogida de datos cuando los ciudadanos de la UE visitan sitios web, independientemente de dónde tenga su sede el propietario del sitio web, muchas organizaciones de todo el mundo cumplen con las normas del RGPD.
- Ley de Privacidad del Consumidor de California. La ley de privacidad de los consumidores de California, conocida como « » ( ), es similar al RGPD en cuanto a su objetivo de proteger los datos personales y a sus requisitos en materia de tratamiento de datos. Al igual que la normativa de la UE, las disposiciones de la CCPA relativas a la recogida de datos en línea tienen repercusiones para las empresas situadas fuera de California. Una modificación de esta ley entrará en vigor en el año 2023.
- Norma de seguridad de datos del sector de las tarjetas de pago. Las organizaciones que deseen procesar pagos con tarjeta de crédito deben demostrar que cumplen con la norma PCI DSS ( ), una norma creada por el sector y diseñada para proteger la información de los consumidores y prevenir el fraude.
- Ley de Portabilidad y Responsabilidad en materia de Seguros Médicos. La HIPAA establece una norma estadounidense de protección de datos para las organizaciones que gestionan historiales médicos de pacientes.
- Certificación del Modelo de Madurez en Ciberseguridad. CMMC exige que cualquier organización que tenga un contrato con el Departamento de Defensa (DoD) cumpla determinados protocolos de ciberseguridad para proteger los datos del DoD a lo largo de toda la cadena de suministro.
Las empresas que gestionan información confidencial de los consumidores suelen tener que cumplir con marcos de gestión de riesgos de ciberseguridad específicos de sus sectores. El desarrollo de un conjunto de normas internas que cumplan con los marcos de referencia exigidos en materia de riesgos de ciberseguridad resulta fundamental para elaborar un plan de gestión de riesgos cibernéticos.
¿Qué fuentes de datos influyen en su puntuación de riesgo informático?
La respuesta breve es: todos ellos. Los activos desconocidos suponen un riesgo incontrolado, por lo que la identificación de activos de TI resulta fundamental para la evaluación del riesgo.
Estas son las principales fuentes de datos que influirán en su puntuación de riesgo cibernético:
- Datos en la nube. La nube es una herramienta fantástica para los equipos que necesitan compartir datos, pero puede aumentar el riesgo de que se produzca una filtración de datos debido a la falta de observabilidad.
- Servidores. La protección de los servidores de la organización frente a amenazas internas y externas constituye una prioridad fundamental en la gestión del riesgo cibernético.
- Archivos en los dispositivos de los empleados. Su inventario de activos de TI debe incluir los datos de trabajo almacenados en ordenadores portátiles, tabletas, teléfonos inteligentes y otros dispositivos terminales que utilizan los empleados para realizar sus tareas. Es necesario realizar un inventario y una evaluación de cada terminal para elaborar una puntuación completa y precisa del riesgo informático.
- Terceros. Los riesgos relacionados con terceros incluyen el software como servicio (SaaS), los datos compartidos con socios y los proveedores a los que permite acceder a su ecosistema informático.
¿Cuáles son las ventajas de evaluar el riesgo cibernético?
La evaluación del riesgo cibernético permite traducir un conjunto de datos complejo en un concepto fácil de comprender. Una puntuación de riesgo constituye una forma eficaz de transmitir el valor de las políticas y prácticas de control de riesgos cibernéticos de su organización a las partes interesadas, tanto externas como internas.
En nuestro mundo, cada vez más conectado a Internet, la evaluación del riesgo cibernético es una necesidad imprescindible, más que un simple complemento, para las organizaciones de tamaño medio y las grandes empresas. Por poner un ejemplo, las compañías de seguros tienen en cuenta las puntuaciones de riesgo cibernético para determinar si una organización es asegurable. Las organizaciones con niveles más bajos de riesgo en materia de ciberseguridad podrán negociar tarifas de seguro más bajas, ya que los ataques informáticos y las filtraciones de datos conllevan costes elevados.
«Las organizaciones con niveles más bajos de riesgo en materia de ciberseguridad podrán negociar tarifas de seguro más bajas, ya que las violaciones de seguridad conllevan costes elevados.»
Las políticas de protección de datos y de gestión de incidentes de de su organización también pueden tener un impacto significativo en las transacciones financieras. Esto se debe a que la puntuación de riesgo cibernético es uno de los indicadores que otras entidades tienen en cuenta a la hora de evaluar a sus socios y proveedores. Además, unas perspectivas desfavorables en materia de ciberseguridad pueden suponer un lastre durante las negociaciones de fusiones y adquisiciones.
Además, las puntuaciones de riesgo cibernético proporcionan a los CISO una herramienta eficaz para transmitir a otros directivos la importancia de los programas de mitigación, como (supervisión del rendimiento), y (gestión de la configuración) y . Aunque los recientes ataques de ransomware de gran repercusión mediática han llamado la atención de los altos directivos, sigue siendo un reto transmitir los matices de la ciberseguridad a unos ejecutivos tan ocupados. Una puntuación de riesgo cibernético le proporciona un dato que la dirección puede comprender rápidamente y un indicador para hacer un seguimiento de la mejora de los controles de ciberseguridad.
¿En qué consiste una evaluación de riesgos cibernéticos?
Una evaluación de riesgos cibernéticos consiste en un inventario de los posibles riesgos de ciberseguridad, de los controles para gestionar dichos riesgos y del riesgo residual no mitigado.
El mejor enfoque para recopilar los datos necesarios para calcular una puntuación de riesgo cibernético es uno que abarque múltiples aspectos. Tanto si se lleva a cabo mediante un socio de confianza como si se utilizan recursos informáticos internos, los CISO pueden empezar por recabar información de los jefes de departamento y los responsables sobre los requisitos y las prácticas en materia de protección de datos. Asimismo, pueden solicitar al personal que elabore un inventario de los dispositivos y herramientas que utilizan en el trabajo. Sin embargo, aunque estos datos son esenciales, pueden omitir información que resulta fundamental para calcular con precisión la puntuación de riesgo cibernético.
[Lea también: ¿Dispone de demasiadas herramientas de ciberseguridad y de muy poca visibilidad?]
Sin un inventario exhaustivo de activos de TI ,, , una gestión de inventario de software y un plan de análisis de amenazas, no podrá establecer planes adecuados de respuesta ante incidentes. La implementación de una herramienta para la detección automatizada de activos de TI le proporciona una mayor visibilidad de su red, lo que le permite elaborar una puntuación precisa del riesgo cibernético de su organización.
¿Cuál es la diferencia entre el riesgo cibernético externo y el interno?
El riesgo cibernético externo hace referencia a las amenazas que se originan fuera de su empresa. Entre los riesgos externos se incluyen los ataques de denegación de servicio distribuido (DDoS), las filtraciones de datos y el ransomware. Incluso la mejor estrategia de gestión de vulnerabilidades conlleva cierto riesgo residual, por lo que resulta fundamental contar con un plan sólido de respuesta ante incidentes. Para la mayoría de los CISO en la actualidad, la cuestión no es si los ciberdelincuentes atacarán a su empresa, sino cuándo lo harán y cómo responderá usted.
Los riesgos cibernéticos internos tienen su origen en su propia organización, en un proveedor o en un socio. Estas vulnerabilidades abarcan tanto los factores humanos como la seguridad informática. Entre las fuentes de riesgo interno en materia de ciberseguridad se incluyen:
- Falta de visibilidad de los puntos finales. Su inventario de activos informáticos incluye no solo el software instalado en los dispositivos que están bajo la gestión y el control de su departamento de TI, sino también las aplicaciones de todos los terminales que sus empleados utilizan con fines laborales, incluidos los dispositivos personales. Un proceso sólido y continuo de detección de activos informáticos constituye la mejor estrategia para garantizar que los datos confidenciales no se almacenen en dispositivos no autorizados que carezcan de los controles de seguridad adecuados.
- Error humano. Entre los errores humanos más comunes se encuentran enviar un correo electrónico al destinatario equivocado o revelar una contraseña a una estafa de phishing de . Se debe formar a los empleados para que detecten los correos electrónicos sospechosos y se les debe exigir que utilicen contraseñas seguras . La formación resulta más eficaz cuando se combina con un programa informático que permita filtrar y bloquear las comunicaciones maliciosas.
- Software no autorizado. Cuando un empleado descarga un programa que el equipo del CISO no ha revisado, este puede contener malware. E incluso si el software no contiene código malicioso, puede suponer un riesgo para la seguridad. Su programa de gestión de parches no puede solucionar lo que no ha inventariado. La gestión del inventario de software, especialmente en dispositivos remotos, resulta fundamental para reducir su riesgo cibernético.
- Sabotaje interno. Puede resultar difícil imaginar que un empleado descontento comparta datos confidenciales o lance un ciberataque desde dentro de la propia empresa, pero el riesgo es real. Puede mitigar los riesgos relacionados con los empleados mediante protocolos estrictos de seguridad y gestión de terminales, así como a través de un proceso de cese y separación del servicio ágil y exhaustivo.
- Ataque a la cadena de suministro. El ataque a la cadena de suministro de SolarWinds por parte de « » , descrito en December 2020 , puso de manifiesto la facilidad con la que los delincuentes pueden utilizar a un proveedor de confianza para obtener acceso no autorizado a empresas y organismos públicos. La evaluación de la puntuación de riesgo cibernético de los socios externos es ahora uno de los primeros pasos a la hora de establecer una relación comercial. Antes de establecer una colaboración que permita a una entidad externa acceder a los datos confidenciales de su organización, es fundamental asegurarse de que ambas partes cuenten con políticas sólidas de protección de datos para reducir las vulnerabilidades.
¿Qué es el riesgo residual en materia de ciberseguridad?
El riesgo residual es el riesgo que persiste tras aplicar los controles. Para cuantificar el riesgo residual, comience por realizar una evaluación precisa de su riesgo inherente, junto con la eficacia de sus medidas de mitigación de riesgos. Lo que queda es el riesgo residual. Un programa de identificación de activos de TI constituye un paso esencial para elaborar una evaluación fiable del riesgo residual.
¿Cómo puede la evaluación de riesgos ayudar a prevenir el ransomware?
El proceso de evaluación de riesgos cibernéticos le ayuda a adelantarse a los ataques de ransomware de , al hacer concreto el compromiso de su organización con la ciberseguridad. Las organizaciones que dan importancia a una puntuación adecuada en materia de riesgos cibernéticos se toman muy en serio la gestión de vulnerabilidades.
«. Para los CISO, la cuestión no es si los ciberdelincuentes atacarán a su organización, sino cuándo lo harán y cómo responderán ustedes.»
La evaluación de riesgos cibernéticos le permite conocer los puntos fuertes y débiles de su sistema, de modo que pueda destinar sus recursos de forma acertada. Los ciberataques a veces tienen éxito debido a errores que se podrían haber evitado, como no instalar las actualizaciones de software o una gestión deficiente de los parches. La evaluación de riesgos cibernéticos puede poner de relieve esos problemas antes de que den lugar a una filtración. La evaluación clasifica el valor de sus activos informáticos y las amenazas que plantean las vulnerabilidades conocidas. Esto le proporciona una base fundamentada en datos para desarrollar una estrategia específica de prevención del ransomware.
El mejor momento para hacer frente a las amenazas de ransomware es antes de que se produzca un ataque. La evaluación de riesgos le ofrece una hoja de ruta que debe seguir para prevenir el ransomware.
[Lea también: «Ransomware 101—what »: ¿qué es y cómo puedo prevenir un ataque?]
¿De qué manera la gestión de vulnerabilidades basada en el riesgo simplifica las tecnologías de la información?
Su departamento de TI tiene muchos objetivos que compiten entre sí, y la gestión de vulnerabilidades no suele ocupar un lugar prioritario. Un enfoque basado en el riesgo proporciona a los responsables de TI tareas concretas que deben llevar a cabo, como la gestión del inventario de software, la gestión de parches y la gestión de la configuración.
Un enfoque basado en el riesgo también proporciona al departamento de TI una visión clara de su papel en la gestión de vulnerabilidades, además de un indicador para medir los avances. Esto permite que su departamento de TI participe de forma activa en la mitigación del riesgo cibernético mediante tareas bien definidas.
¿Cómo puede mejorar su puntuación de riesgo cibernético y mitigar dicho riesgo?
Una vez que conozca su puntuación de riesgo cibernético, el siguiente objetivo es mejorar sus controles y reducir su nivel de riesgo residual. Estas son algunas de las medidas que pueden ayudarle a mejorar su puntuación:
- Implemente un seguimiento continuo del rendimiento. El panorama de las amenazas cibernéticas y sus vulnerabilidades pueden cambiar rápidamente. Por lo tanto, su puntuación de riesgo cibernético no puede ser simplemente una instantánea de un momento concreto. Con una herramienta de supervisión del rendimiento , podrá obtener un informe preciso y actualizado al minuto sobre los problemas de seguridad en cualquiera de los miles de terminales de su sistema.
- Dé prioridad a la gestión de la configuración. Una configuración incorrecta de los ajustes predeterminados del sistema puede provocar diversos tipos de problemas, entre ellos, aumentar la vulnerabilidad de su sistema ante los piratas informáticos. Incluya revisiones periódicas de y de la gestión de la configuración de seguridad como parte de su plan de mitigación de riesgos cibernéticos.
- Utilice software y herramientas de automatización para mitigar los riesgos. La automatización le permite supervisar su nivel de riesgo de forma continua. Le ofrece una alerta temprana sobre posibles vulnerabilidades, de modo que esté mejor preparado para mitigar las amenazas cibernéticas emergentes.
- Haga que la ciberseguridad forme parte de la cultura empresarial. En las organizaciones que mantienen un firme compromiso con la mitigación del riesgo cibernético, los empleados se incorporan a una cultura laboral en la que se entiende que la protección de datos forma parte de las funciones de cada uno. La formación en ciberseguridad debería comenzar durante el proceso de incorporación, con cursos de actualización y recordatorios frecuentes.
- Aplique medidas de control de los terminales. Identifique y proteja todos los dispositivos que utilizan los empleados en el desempeño de su trabajo.
- Elabore planes de respuesta ante incidentes. Cuando se produce una brecha de seguridad, una respuesta rápida ante el incidente puede mitigar la pérdida de datos empresariales y el daño a la reputación.
¿Cómo puede utilizarse el riesgo cibernético para justificar la estrategia del CISO?
La evaluación del riesgo cibernético ofrece a los CISO una herramienta excelente para cuantificar el nivel de vulnerabilidad del sistema informático de una organización. La puntuación le ofrece una forma eficaz de comunicar el nivel de riesgo cibernético a un público interno que quizá no disponga de los conocimientos técnicos necesarios para comprender los matices de determinados factores de riesgo relacionados con la ciberseguridad. El hecho de que los socios externos confíen en su evaluación de riesgos cibernéticos contribuye a justificar la inversión del tiempo y el dinero necesarios para mantener la seguridad de ese sistema.
Los indicadores de riesgo cibernético también resultan útiles para transmitir la urgencia de la ciberseguridad en toda su organización. Una puntuación de riesgo cibernético puede ayudarle a conseguir que los jefes de departamento y el personal se sumen al objetivo de reducir el riesgo residual mediante el cumplimiento de los protocolos de ciberseguridad.
La calidad de los datos que utilice para calcular su puntuación de riesgo cibernético determina, en última instancia, el valor que obtenga de ella. La evaluación continua de riesgos requiere un esfuerzo, pero los recursos que destinará a mitigar el riesgo cibernético son mínimos en comparación con el coste que supone la respuesta ante un incidente en caso de una filtración grave.
Más recursos:
Tool Sprawl Threatens Post-Pandemic Security Cyber Hygiene 101 Ultimate Guide to AI Cybersecurity: Benefits, Risks, and Rewards
