La gestión de riesgos es un sistema destinado a recopilar, catalogar, analizar y actuar ante los riesgos en función de una tolerancia al riesgo definida, lo que incluye el desarrollo de estrategias concretas de mitigación y planes de contingencia para hacer frente a posibles problemas y reducir la gravedad y el impacto de las amenazas.
La gestión de riesgos implica supervisar continuamente las circunstancias y evaluar la eficacia de las medidas adoptadas para minimizar los daños y los errores, mediante la realización de evaluaciones exhaustivas de riesgos y la comprensión de la probabilidad y la gravedad de los mismos. Esto mejora la capacidad de una organización para tomar decisiones fundamentadas, como invertir en herramientas, personal y procesos con el fin de aplicar ajustes oportunos y medidas proactivas.
Sin embargo, la gestión de riesgos no tiene el mismo significado para todas las organizaciones, ya que cada una debe establecer sus prioridades de forma diferente en función de su sector, su escala operativa y sus prioridades estratégicas.
Por ejemplo, una entidad financiera podría dar prioridad a los riesgos de ciberseguridad debido al carácter sensible de sus datos, mientras que una empresa manufacturera podría centrarse más en los riesgos operativos relacionados con la maquinaria y los procesos de producción.
En esta entrada se simplificará la gestión de riesgos explicando su definición e importancia. Asimismo, describiremos los componentes clave del proceso, entre los que se incluyen la identificación, la evaluación y la priorización de riesgos, seguidas de las medidas de respuesta y el seguimiento.
Analizaremos la importancia de una gestión eficaz de los riesgos para alcanzar los objetivos de la organización, al tiempo que tendremos en cuenta algunos de los riesgos de alta prioridad a los que se enfrentarán muchas organizaciones, como las amenazas a la ciberseguridad, los problemas de cumplimiento normativo y los riesgos que plantean las nuevas tecnologías de inteligencia artificial.
Además, exploraremos prácticas y estrategias comunes de gestión de riesgos, entre las que se incluyen la aceptación, la mitigación, la reducción y la transferencia de riesgos, así como la implementación de marcos de gestión de riesgos, las evaluaciones de riesgos de terceros, la planificación de contingencias y el análisis de las causas raíz.
Por último, compararemos la gestión de riesgos tradicional con la gestión de riesgos empresariales (ERM) y examinaremos la evolución de la ERM para la gestión de riesgos de nueva generación y la gestión del cumplimiento normativo .
Al comprender la gestión de riesgos y cómo adaptar los procesos para satisfacer las necesidades específicas de cada empresa, las organizaciones pueden llevar a cabo evaluaciones más eficaces, desarrollar estrategias específicas y prepararse mejor para gestionar los riesgos que más importan.
Definición de gestión de riesgos
The International Standards Organization's, or ISO's, ISO 31000 guidelines for risk management defines risk as "the effect of uncertainty on objectives." La incertidumbre significa que algo no está exento de dudas. Si una organización tiene la absoluta certeza de que sus servidores nunca se colgarán, por ejemplo, no los tendrá en cuenta a la hora de realizar un análisis de riesgos, ya que no hay duda de que seguirán funcionando. En el mundo real, abundan las incertidumbres, que a menudo escapan a su control, como, por ejemplo, la posibilidad de que los servidores dejen de funcionar.
La verdadera labor de la gestión de riesgos se centra en las incertidumbres que realmente importan: aquellas que pueden afectar a los objetivos de una organización. A continuación se enumeran algunos de los principales objetivos que revisten importancia para casi todas las organizaciones, incluidas las empresas comerciales y los organismos públicos:
- Confidencialidad, integridad y disponibilidad de los datos: Garantizar la seguridad de los datos y su disponibilidad para los usuarios autorizados
- Continuidad del negocio: Mantener las operaciones para cumplir la misión de la organización
- Cumplimiento normativo: Cumplimiento de todas las leyes, normativas y estándares aplicables
Partiendo de esta comprensión de los riesgos, la incertidumbre y los objetivos, podemos ofrecer una definición más clara de la gestión de riesgos que tenga en cuenta su finalidad y sus métodos: La gestión de riesgos es un enfoque integral que ayuda a una organización a hacer frente a los riesgos potenciales y a alcanzar sus objetivos mediante la supervisión continua de las actividades y la infraestructura, garantizando así la estabilidad y el éxito a largo plazo.
Ahora que hemos definido la gestión de riesgos, analicemos su importancia. Comprender su importancia es fundamental para las organizaciones, ya que les ayuda a anticiparse a posibles retos, minimizar las pérdidas y garantizar el éxito a largo plazo. En la siguiente sección se analiza por qué es esencial una gestión eficaz de los riesgos y cómo contribuye esta a alcanzar los objetivos estratégicos y a mantener una ciberresiliencia e e.
La importancia de una gestión eficaz de los riesgos
La gestión de riesgos es importante porque los riesgos no gestionados y no mitigados pueden dar lugar a interrupciones que impidan a una organización alcanzar sus objetivos.
Considere algunos de los riesgos de máxima prioridad a los que se enfrentan hoy en día casi todas las organizaciones:
- Riesgos de ciberseguridad: Los ciberataques son cada vez más sofisticados y frecuentes, y los costes que acarrean no dejan de aumentar. Algunos costes se deben a que los equipos de TI y de seguridad deben localizar y contener la filtración. Otras tareas incluyen la puesta en marcha de centros de atención telefónica y la comunicación con los clientes y las autoridades reguladoras. Entre los costes adicionales se encuentra el deterioro de la imagen de marca.
- Riesgos de cumplimiento normativo: El incumplimiento de la normativa puede acarrear cuantiosas multas administrativas, mala prensa, tensiones en las relaciones con los clientes, pérdida de negocio y otras consecuencias. A medida que se endurecen las normativas sobre protección de datos y otras regulaciones, cumplir con ellas resulta cada vez más complejo.
- Riesgos que plantean las nuevas tecnologías de IA: En los últimos años, la IA se ha convertido en una tecnología presente en aplicaciones de reconocimiento de voz y chatbots sin que se la considere una inversión estratégica. El lanzamiento y la rápida aceptación de ChatGPT cambiaron esa situación.
No obstante, esta implantación conlleva riesgos, ya que las aplicaciones de inteligencia artificial más útiles deben trabajar con los datos más valiosos de una organización, entre los que se incluyen las comunicaciones con los clientes, los registros financieros y otros. Los empleados pueden revelar fácilmente, sin darse cuenta, información confidencial a través de los chatbots públicos. Por lo tanto, las estrategias modernas de prevención de riesgos deben tener en cuenta la inteligencia artificial.
Ante estos riesgos, resulta más crucial que nunca que las organizaciones pongan en marcha procesos que contribuyan a reducir y mitigar los riesgos, incluso en un contexto en el que las organizaciones están adoptando rápidamente nuevas tecnologías que transforman el mercado.
Comprensión de un proceso estándar de gestión de riesgos
En última instancia, la gestión de riesgos consiste en comprender y reducir las incertidumbres relacionadas con los objetivos de una organización. El proceso consta de varios pasos para comparar los riesgos y no se lleva a cabo una sola vez para, a continuación, darlo por concluido.
La gestión de riesgos es un ciclo de actividades que comprende los cinco componentes clave siguientes:
1. Identificación de los riesgos asociados a los objetivos estratégicos
La gestión de riesgos comienza por identificar los riesgos jurídicos, medioambientales, de mercado, normativos y tecnológicos de la organización y, a continuación, armonizar la forma en que las personas, los procesos y la tecnología contribuyen a la consecución de los objetivos empresariales.
Considere este trabajo como un análisis de la cadena de suministro. Los equipos de cumplimiento normativo realizan un seguimiento del flujo de datos, personas y operaciones, desde un objetivo general hasta los sistemas y procesos informáticos específicos que ayudan a la organización a alcanzar dicho objetivo. Dichos sistemas y procesos funcionan como una cadena de suministro para los propios objetivos.
Para evaluar el riesgo, identifique las dependencias en la cadena de suministro y realice un seguimiento de las mismas en la medida en que resulte razonable para los objetivos y las capacidades de la organización. Para comparar los riesgos, es necesario asignar una puntuación de riesgo cibernético a todos los elementos de la cadena de suministro.
Una vez identificados dichos objetivos, el siguiente paso consiste en analizar el alcance y las relaciones entre los riesgos y otros factores de la organización, con el fin de comprender la gravedad y el impacto potencial que podría tener el riesgo.
2. Priorización de los riesgos mediante la elaboración de una escala ponderada
Los riesgos deben clasificarse y priorizarse en función de su gravedad y probabilidad. Este paso permite a la organización obtener una visión global de su exposición al riesgo y centrarse en los riesgos más críticos, asignándoles puntuaciones en una escala del uno al diez. Incluso los propios objetivos estratégicos deben compararse y ponderarse. Es poco habitual que una organización conceda la misma importancia a todos sus objetivos estratégicos.
Por ejemplo, basándose en las conversaciones mantenidas con el equipo directivo, los responsables podrían asignar una puntuación de diez al crecimiento continuado de los ingresos, con una tasa de crecimiento anual compuesta (CAGR) de al menos el 10 %, y una puntuación de siete al cumplimiento normativo.
A continuación, identifique las personas, los procesos y la tecnología que respaldan cada objetivo estratégico y clasifique por orden de importancia cada uno de los factores de apoyo.
Para aportar más matices, las partes interesadas del ámbito empresarial y de las tecnologías de la información deberían colaborar para estimar la probabilidad de que se produzca un tipo concreto de fallo. Por ejemplo, imagine una organización que cuente con un servidor web que dé soporte a una aplicación móvil de importancia crítica para el negocio. Es probable que la probabilidad de que ese servidor presente un rendimiento inaceptablemente lento durante las horas de mayor uso sea mayor que la probabilidad de que se vea afectado por un corte de suministro eléctrico que provoque la caída tanto del sistema de alimentación principal como del de reserva.
Al multiplicar una puntuación que refleje la importancia estratégica del servidor (por ejemplo, siete sobre diez) por la probabilidad de que se produzca un riesgo concreto (por ejemplo, el 50 % o el 0.5), los equipos pueden empezar a clasificar los riesgos e identificar aquellos que requieren una actuación más inmediata.
Por ejemplo, el servidor cuyo rendimiento es lento podría tener una probabilidad del 40 %, y el servidor que se bloquee debido a un corte de suministro eléctrico catastrófico podría tener una probabilidad del 2 %. Si la importancia del servidor es de siete sobre diez, la puntuación de riesgo para el escenario de bajo rendimiento sería siete por 0,40 (lo que da como resultado 2.8).
La puntuación de riesgo para el escenario de corte de suministro eléctrico sería siete por 0.02 (lo que da como resultado 0.14). El escenario de bajo rendimiento, que presenta la puntuación de riesgo más elevada, es el riesgo al que hay que prestar atención en primer lugar.
3. Centralización de los datos de gestión de riesgos en un registro de riesgos
Una vez recopilada y sistematizada esta información sobre los riesgos identificados, debe almacenarse en un registro de riesgos, que es un repositorio centralizado de información sobre los riesgos y las estrategias de gestión de los mismos.
Un registro de riesgos ofrece una visión general completa de las posibles amenazas a las que se enfrenta la organización, lo que garantiza que no se pase por alto ningún riesgo y que cada uno de ellos se evalúe de forma sistemática. Esta centralización mejora la comunicación y la colaboración entre los departamentos y las partes interesadas, lo que facilita el seguimiento y la notificación de los riesgos. Facilita la toma de decisiones fundamentadas al proporcionar información precisa y actualizada, y ayuda a priorizar las medidas de gestión de riesgos en función de las amenazas más graves.
Dado que un registro de riesgos recoge información sobre los riesgos y su gestión —algo que suelen exigir los marcos normativos—, puede contribuir a garantizar el cumplimiento normativo. Un registro de riesgos también puede servir como registro histórico, lo que permite analizar tendencias y aprender de las experiencias pasadas para mejorar las prácticas futuras de gestión de riesgos.
Al tener una visión clara de todos los riesgos, las organizaciones pueden asignar los recursos de forma más eficaz, garantizando que los riesgos de alta prioridad reciban la atención y los recursos necesarios para su mitigación.
La centralización de los datos de gestión de riesgos en un registro de riesgos permite una mitigación más eficaz y una estrategia global de gestión de riesgos más sólida. Las partes interesadas autorizadas de toda la organización deberían poder acceder al registro de riesgos y utilizarlo como guía para sus actividades cotidianas.
4. Elaboración de un plan estratégico para cada riesgo
Esta etapa consiste en aplicar soluciones para mitigar o eliminar los riesgos, ofreciendo una hoja de ruta clara que reduzca la incertidumbre y mejore la calidad de las decisiones. Incluye el desarrollo de estrategias, medidas y un enfoque estructurado para gestionar cada riesgo de forma coherente y sistémica, mediante el fomento de una gestión proactiva que se anticipe a posibles problemas y ayude a priorizar los riesgos en función de su gravedad y probabilidad, lo que permite una asignación más eficiente de los recursos. Este enfoque preventivo puede reducir considerablemente el impacto de los riesgos y evitar que se conviertan en problemas graves.
La adopción de una estrategia de gestión de riesgos garantiza asimismo la rendición de cuentas, al asignar acciones concretas a personas o equipos. Esto favorece una asignación clara de responsabilidades en las tareas de gestión de riesgos y ayuda a realizar un seguimiento de los avances, al garantizar que los riesgos se gestionan adecuadamente. Esto reviste especial importancia en situaciones de gran riesgo que exigen respuestas rápidas y eficaces. Las organizaciones pueden anticiparse a posibles problemas y adoptar medidas preventivas si cuentan con una estrategia definida y fomentan un enfoque de gestión proactivo.
[Lea también: La «TI en la sombra» está «fuera de control»: así es como se gestiona el riesgo]
Además, fomenta la mejora continua al permitir que las organizaciones aprendan de sus experiencias, perfeccionen sus estrategias y mitiguen eficazmente las amenazas mediante la creación de un marco de gestión de riesgos más resiliente que respalde el éxito a largo plazo a la hora de abordar los riesgos considerados más relevantes y potencialmente perjudiciales para la organización.
5. Seguimiento de los riesgos y los resultados a lo largo del tiempo
El último paso consiste en supervisar y revisar los riesgos de forma continua, incluida la eficacia de las estrategias de gestión de riesgos, con el fin de garantizar que se comprenda bien el entorno de riesgo, que los riesgos identificados se gestionen de forma eficaz y que cualquier nuevo riesgo se identifique y se gestione con prontitud.
Las organizaciones que realizan un seguimiento periódico de los riesgos pueden elaborar un gráfico lineal que refleje cómo el riesgo y el cumplimiento normativo van disminuyendo o aumentando con el tiempo, lo que proporciona datos fundamentales a los equipos que llevan a cabo otras actividades de gestión de riesgos y a los altos directivos que desean realizar un seguimiento de los avances, comprender el impacto de los riesgos en distintos grados a medida que se producen cambios, así como otros factores que influyen en el coste de la gestión de riesgos.
Estas medidas de seguimiento también deben incluir el control de los controles y estrategias aplicados, el análisis de sus efectos en la organización y la comprensión del riesgo residual que queda. Mediante un seguimiento continuo de los riesgos y del impacto de las estrategias de gestión de riesgos, las organizaciones pueden detectar más fácilmente y de forma precoz las posibles amenazas. Esto permite adoptar medidas correctivas a tiempo, antes de que los problemas se agraven, utilizando datos en tiempo real para fundamentar la toma de decisiones, garantizar el cumplimiento normativo y evitar sanciones legales.
Analicemos un ejemplo práctico en el que se utilicen estos cinco componentes esenciales del proceso de gestión de riesgos para ver cómo una empresa genérica de comercio electrónico podría seguir estos pasos, abordar los riesgos habituales a los que podría enfrentarse y demostrar cómo se aplican estos principios en un contexto real.
Ejemplo de proceso de gestión de riesgos
Imagine una empresa de comercio electrónico con presencia en línea a nivel mundial y operaciones de envío y gestión de pedidos en todo el mundo. Siguiendo estos cinco pasos, veamos cómo podría ser el proceso de gestión de riesgos.
1. Identificar
A la hora de identificar los riesgos en la primera fase, una empresa de comercio electrónico puede considerar que su sitio web y la infraestructura informática que lo sustenta revisten una importancia fundamental y se encuentran entre los riesgos a los que puede enfrentarse.
Entre los ejemplos de riesgos para ese sitio web podrían figurar los ciberataques, los errores de software, las interrupciones en el centro de datos, los errores humanos en las configuraciones o en los controles operativos, etc.
2. Priorizar
A continuación, la empresa de comercio electrónico debería clasificar la probabilidad de que se produzca cada riesgo y lo que dichos riesgos podrían suponer para la empresa.
Por ejemplo, la empresa de comercio electrónico debería determinar la probabilidad de que un ciberataque provoque una interrupción del servicio, ya que el hecho de que el sitio web quedara inaccesible durante varios días resultaría catastrófico para la actividad de la organización. La empresa también debería plantearse si sigue las mejores prácticas en materia de ciberseguridad para proteger el sitio web. Si es así, el riesgo global de que se produzca ese resultado ha disminuido, por lo que se le puede asignar una prioridad menor en el siguiente paso.
3. Centralizar
Dado que la empresa de comercio electrónico conoce todos los riesgos, ahora puede identificar con mayor facilidad cuál es el más probable y el más devastador al consultar los datos consolidados sobre riesgos, lo que le permite establecer las prioridades en consecuencia.
Por ejemplo, ¿qué ocurre con el riesgo de que la página web deje de estar disponible debido a que un centro de datos haya sufrido una interrupción del servicio? Supongamos que la empresa cuenta con una arquitectura de conmutación por error que permite transferir las operaciones a otro centro de datos y proveedor de servicios. En ese caso, ese riesgo también podría reducirse. No obstante, si la empresa no ha establecido un sistema de conmutación automática, el riesgo de que se produzca ese tipo de interrupción sigue siendo elevado y debe considerarse prioritario en sus estrategias de gestión de riesgos.
4. Elaborar estrategias
La empresa de comercio electrónico cuenta con un conocimiento fundamentado de sus riesgos actuales y potenciales, así como con un sistema de priorización que se ajusta a sus objetivos. Las partes interesadas pertinentes pueden ahora trabajar en el desarrollo y la aplicación de estrategias específicas adaptadas a cada riesgo identificado.
Ante las interrupciones en el centro de datos, la empresa de comercio electrónico puede estudiar la posibilidad de implantar sistemas de redundancia, como generadores de reserva y sistemas de alimentación ininterrumpida (SAI), para garantizar la continuidad del servicio en caso de cortes de suministro eléctrico. Las soluciones avanzadas de resiliencia, como el software que redirige automáticamente el tráfico de red y las cargas de trabajo durante una interrupción del servicio, también constituyen posibles soluciones, al igual que las pruebas y simulacros periódicos para simular interrupciones en el centro de datos, con el fin de prepararse para incidentes reales y formar a los empleados para que sepan gestionar este tipo de situaciones. La implantación de sistemas de supervisión y alerta para detectar posibles problemas antes de que se agraven también puede evitar las interrupciones del servicio.
Mediante la adopción de estas estrategias, la empresa puede gestionar de forma eficaz el riesgo de interrupciones en el centro de datos y garantizar la continuidad del negocio.
5. Monitorear
Por último, la empresa de comercio electrónico debe supervisar continuamente los riesgos y los resultados para mantenerse alerta y poder responder ante riesgos nuevos y en constante evolución. Al revisar periódicamente la eficacia de las estrategias de gestión de riesgos, la empresa puede detectar lagunas o puntos débiles en su enfoque. Esto permite a la empresa realizar los ajustes y mejoras necesarios, garantizando que las medidas de mitigación de riesgos sigan siendo eficaces y pertinentes.
El seguimiento de los resultados ayuda a la empresa a aprender de las experiencias pasadas, tanto de los éxitos como de los fracasos, y a aplicar estas lecciones a las futuras iniciativas de gestión de riesgos, al tiempo que fomenta una cultura proactiva de gestión de riesgos dentro de la organización.
Este enfoque proactivo refuerza la resiliencia de la empresa y fomenta la confianza de los clientes, las partes interesadas y los socios, quienes pueden estar seguros de que la empresa se compromete a mantener un funcionamiento seguro y fiable.
Tras analizar un ejemplo práctico del proceso de gestión de riesgos desde la perspectiva de una empresa genérica de comercio electrónico y los diversos retos a los que podría enfrentarse, podemos centrar nuestra atención en los tipos más habituales de prácticas de gestión de riesgos. Entre estas prácticas se incluyen la aceptación, la mitigación, la reducción y la transferencia de riesgos, cada una de las cuales ofrece estrategias distintas para gestionar los riesgos potenciales. Analicemos estos enfoques para comprender cómo pueden aplicarse de manera eficaz en distintos escenarios.
Tipos de medidas de gestión de riesgos
Las organizaciones disponen de diversas opciones para hacer frente a los riesgos identificados mediante prácticas de gestión de riesgos. Entre estas opciones se incluyen:
- La aceptación del riesgo se produce cuando una organización decide aceptar el riesgo sin invertir en estrategias de reducción o mitigación del mismo. En ocasiones, una organización puede decidir que un riesgo es aceptable porque su impacto es reducido, la probabilidad de que se produzca es mínima, o ambas cosas.
Consideremos una empresa minorista que identifica un riesgo potencial en el sistema de pagos de su tienda, pero determina que el coste de renovar por completo el sistema para eliminar esta vulnerabilidad es muy elevado y que la probabilidad de que se aproveche es baja.
En este escenario, la empresa podría decidir que el impacto potencial es manejable y que la probabilidad de que se aproveche es lo suficientemente baja como para justificar no invertir en costosas estrategias de mitigación. En su lugar, podría destinar sus recursos a mejorar otros aspectos de su infraestructura de seguridad. - La mitigación de riesgos implica planificar y desarrollar estrategias para reducir las amenazas a los objetivos de los proyectos a las que suele enfrentarse una organización.
Supongamos que una empresa decide que, en cierta medida, las filtraciones de datos son inevitables. En ese caso, podría decidirse a implementar una arquitectura de confianza cero para limitar la capacidad de los atacantes de desplazarse de un dispositivo comprometido a otro.
Aunque el riesgo general de una filtración de datos pudiera seguir siendo el mismo, el daño que pudiera derivarse se vería reducido, ya que los atacantes no podrían moverse libremente por la red aprovechando permisos de usuario poco estrictos y puertos de red abiertos. - La reducción de riesgos consiste en invertir en herramientas, personal o procesos para reducir la probabilidad o la gravedad de que se produzca un resultado de riesgo.
Por ejemplo, si una organización desea reducir el riesgo de fugas de datos, podría invertir en soluciones de gestión de terminales para garantizar que estos (como los ordenadores de sobremesa y los portátiles) tengan instaladas todas las últimas actualizaciones de seguridad. - La transferencia de riesgos consiste en traspasar la carga del riesgo a otra organización, como una compañía de seguros cibernéticos o algún otro tipo de socio comercial.
Por ejemplo, los directivos de una empresa podrían contratar una póliza de transferencia de riesgos para cubrir algunos de los riesgos derivados de un ataque de ransomware con una compañía de seguros que se comprometa a cubrir la mayor parte o la totalidad de los costes de recuperación tras dicho ataque.
Antes de emitir la póliza, la compañía de seguros, a su vez, podría exigir a la organización que implemente controles de seguridad estrictos y presente certificaciones de cumplimiento informático con marcos de ciberseguridad, como el SOC 2, relacionados con las prácticas de seguridad de los datos. En cualquier caso, la organización ha transferido parte de su riesgo a otra parte mediante el pago de una prima de seguro.
Una vez analizados los distintos tipos de prácticas de gestión de riesgos, podemos centrar nuestra atención en las estrategias de gestión de riesgos más habituales que emplean las organizaciones. Entre estas estrategias se incluyen la implantación de marcos de gestión de riesgos, la realización de evaluaciones de riesgos por parte de terceros , la elaboración de planes de contingencia y la realización de análisis de causas raíz. Analicemos cómo se utilizan estas estrategias para gestionar y mitigar eficazmente los riesgos dentro de una organización.
¿Cuáles son algunas de las estrategias de gestión de riesgos más habituales que se utilizan en las organizaciones?
Más allá del proceso de gestión de riesgos descrito anteriormente, ¿qué otras estrategias pueden adoptar las organizaciones para garantizar el cumplimiento normativo y reducir el riesgo de pérdidas? A continuación se presentan algunas estrategias de gestión de riesgos habituales que conviene tener en cuenta, además de seguir un proceso de gestión optimizado.
Marcos de gestión de riesgos
La adopción de marcos de gestión de riesgos ya existentes puede resultar de ayuda, ya que ofrecen una estructura y buenas prácticas para el análisis y la mitigación de riesgos, así como para otras etapas de los flujos de trabajo relacionados con la gestión de riesgos y la gestión del cumplimiento normativo.
Entre los marcos de gestión de riesgos más utilizados se encuentran:
- sobre la gestión de riesgos empresariales del Comité de Organizaciones Patrocinadoras (COSO): Las directrices del COSO sobre la gestión de riesgos empresariales se han actualizado recientemente para destacar la importancia de tener en cuenta el riesgo en el proceso de definición de la estrategia y de impulsar el rendimiento
- Análisis factorial del riesgo de la información (FAIR™): un modelo cuantitativo estándar internacional para la seguridad de la información y el riesgo operativo
- ISO 31000 «»: La guía de la ISO sobre la gestión de riesgos incluye principios, un marco y un proceso para gestionar los riesgos que puede utilizar cualquier organización, independientemente de su tamaño, actividad o sector.
Marco de Gestión de Riesgos (RMF) del Instituto Nacional de Estándares y Tecnología (NIST)
: Un proceso de siete pasos, exhaustivo, flexible, repetible y cuantificable, que cualquier organización puede utilizar para gestionar los riesgos relacionados con la seguridad de la información y la privacidad de las organizaciones y los sistemas, y que incluye enlaces a un conjunto de normas y directrices del NIST destinadas a facilitar la implementación de programas de gestión de riesgos que cumplan los requisitos de la
Ley Federal de Modernización de la Seguridad de la Información (FISMA)
[Lea también: ¿Qué son los marcos de ciberseguridad? [Resumen]
Evaluaciones de riesgos de terceros
Los riesgos pueden provenir tanto de los recursos y operaciones internos como de los recursos y operaciones de los socios de una organización, incluidos los proveedores, las consultoras y otros tipos de colaboraciones. El riesgo asociado a terceros reviste especial importancia en el ámbito de la ciberseguridad.
La implantación de herramientas y procesos para evaluar y gestionar a los terceros contribuye a mitigar este tipo de riesgo.
[Lea también: ¿En qué consiste la gestión de riesgos de terceros?]
Planificación de contingencias
A veces suceden cosas malas. Cuando eso ocurra, es mejor estar preparado. Si los equipos saben cómo actuar ante una emergencia, podrán evitar la confusión y las conjeturas, y actuar con mayor rapidez y eficacia.
La planificación de contingencias consiste en prepararse para situaciones de emergencia, entre las que se incluyen los ciberataques, las interrupciones graves de los sistemas informáticos, los desastres naturales —como terremotos o tormentas de gran magnitud— y otros ataques potencialmente devastadores. Mediante la elaboración de planes y la simulación de respuestas ante estas situaciones de emergencia, las organizaciones pueden reducir los daños que podrían producirse cuando estas se produzcan.
Análisis de las causas fundamentales
Cuando se produce un riesgo grave o leve, resulta útil reunir a un equipo interdepartamental formado por las partes interesadas para comprender qué ha ocurrido y por qué, y rastrear el suceso hasta su origen.
Por lo general, deben plantearse y responder a las siguientes preguntas a la hora de determinar la causa raíz:
- ¿Cuál es el problema derivado de una formación deficiente de los empleados? En tal caso, podría ser conveniente invertir en nuevos módulos de formación.
- ¿Estaba el problema relacionado con una filtración de datos? En tal caso, ¿en qué punto de la red se produjo? ¿Durante cuánto tiempo pudo el agresor permanecer en el lugar sin ser detectado?
- ¿Estaban los sistemas actualizados y correctamente configurados?
- ¿Disponen todas las partes interesadas —como los equipos de DevOps, de TI y de seguridad— de la visibilidad centralizada y de los datos en tiempo real de los terminales necesarios para colaborar de forma eficaz a la hora de identificar el origen y la naturaleza del ataque?
- ¿Tiene la organización acceso a todos sus dispositivos finales?
Mediante el análisis de la causa raíz del problema y la identificación de las deficiencias en la infraestructura informática, la formación de los empleados y otras áreas, las organizaciones pueden reducir el riesgo de que vuelva a producirse un incidente similar que ponga en peligro sus objetivos estratégicos.
Ahora que hemos abordado algunas estrategias esenciales de gestión de riesgos, comparemos los enfoques tradicionales y los de gestión de riesgos empresariales para determinar cómo cada uno de ellos puede favorecer o dificultar estos esfuerzos.
Gestión tradicional de riesgos frente a gestión de riesgos empresariales
En los marcos convencionales de gestión de riesgos, la responsabilidad de gestionar dichos riesgos suele recaer en los directivos que supervisan las unidades respectivas en las que se presentan dichos riesgos. En algunas organizaciones, la gestión de riesgos puede ser competencia del director de cumplimiento normativo (CCO), del director de operaciones (COO), del director de auditoría (CAO), del director financiero (CFO) o de otros directivos de alto nivel. Por ejemplo, el director de sistemas de información (CIO) o el director de tecnología (CTO) se encarga de los riesgos relacionados con las tecnologías de la información, el director financiero (CFO) se encarga de los riesgos financieros y el director de operaciones (COO) gestiona los riesgos operativos.
Los gestores de riesgos también desempeñan un papel fundamental en la gestión tradicional de riesgos. Protegen los objetivos y las operaciones de la organización frente a posibles daños y repercusiones mediante la evaluación de la probabilidad de que se produzcan determinados sucesos —como accidentes y catástrofes naturales— y el desarrollo de estrategias para mitigar los riesgos relacionados con departamentos específicos, sobre todo en los ámbitos de las tecnologías de la información, las finanzas o las operaciones.
Sin embargo, estas funciones no pueden funcionar de forma aislada. Su éxito depende del intercambio de información y de la colaboración con otras partes interesadas de la organización, entre las que se incluyen los responsables de las áreas de negocio, los responsables de DevOps y los responsables de los equipos de ciberseguridad.
Aunque los departamentos y las unidades de negocio puedan disponer de sistemas avanzados para hacer frente a sus riesgos específicos, las organizaciones pueden encontrarse con dificultades si no reconocen las interrelaciones entre los distintos riesgos o su efecto combinado sobre el conjunto de las operaciones.
Para subsanar las deficiencias de la gestión de riesgos tradicional a la hora de gestionar los riesgos dentro de cada departamento, surgió la gestión de riesgos empresariales en el 1990s como un enfoque integral. Varios fracasos de gran repercusión, pérdidas importantes que se podrían haber evitado y el papel cada vez más destacado de los modelos de valor para los accionistas en la planificación estratégica impulsaron este enfoque. Profundicemos en el ERM y en los retos que plantea a la hora de hacer frente a los riesgos actuales.
¿En qué consiste la gestión de riesgos empresariales? ¿Es mejor que la gestión de riesgos tradicional?
A diferencia del enfoque más reactivo que adoptan los programas tradicionales de gestión de riesgos —que consisten en abordar los riesgos a medida que surgen—, la gestión integral de riesgos (ERM) integra la gestión de riesgos en todos los aspectos de los procesos de toma de decisiones de una organización, con el objetivo de identificar, evaluar y gestionar los riesgos en toda la organización antes de que se produzcan. Este enfoque proactivo ayuda a las organizaciones a anticiparse a los riesgos y a mitigarlos antes de que se conviertan en amenazas graves.
[Lea también: ¿Qué es la búsqueda de amenazas? [Resumen con ejemplos prácticos]
Sin embargo, el MTC sigue enfrentándose hoy en día a varios problemas. Una comunicación deficiente, una formación insuficiente y la falta de mejora continua pueden obstaculizar significativamente la eficacia de los programas de gestión de riesgos empresariales (ERM).
Muchas organizaciones también tienen dificultades para establecer la cultura de concienciación sobre los riesgos necesaria para respaldar la ERM, lo que puede deberse a que no se asignan recursos suficientes o a que la ERM no se integra plenamente en la estrategia de la organización.
La complejidad de los marcos de gestión de riesgos empresariales (ERM) también puede resultar abrumadora, lo que a menudo da lugar a iniciativas fragmentadas, ya que las organizaciones optan, en su lugar, por seguir adoptando un enfoque reactivo en la gestión de riesgos.
¿Se ha preguntado alguna vez qué ocurre cuando los programas de gestión de riesgos no dan la talla? Tenga en cuenta estas cuantiosas multas regulatorias y acuerdos extrajudiciales recientes impuestos a algunas de las organizaciones más exitosas y con mayor dominio de la tecnología del mundo:
- En 2024, , la Comisión de Protección de Datos de Irlanda (DPC) impuso una multa de 91 millones de euros (95.7 millones de dólares) a Meta Platform Ireland Limited («Meta Ireland») por infringir el Reglamento General de Protección de Datos (RGPD) al almacenar las contraseñas de los usuarios sin cifrar.
La DPC señaló: «Esta decisión pone de relieve la obligación de los responsables del tratamiento de datos de aplicar medidas de seguridad adecuadas al tratar datos personales, teniendo en cuenta factores como los riesgos para los usuarios del servicio y la naturaleza del tratamiento de datos». - En 2024, la Autoridad de Supervisión neerlandesa (SA) impuso a Uber una multa de 290 millones de euros (305 millones de dólares) por transferir indebidamente los datos personales de 170 conductores franceses a Estados Unidos, infringiendo así el RGPD, que establece normas estrictas para la conservación y la transferencia de datos personales.
- En 2023, la DPC impuso a Meta una multa por un importe total de 390 millones de euros (410 millones de dólares) por infringir el RGPD «en relación con la prestación de sus servicios de Facebook e Instagram». Se impuso a Meta Ireland una multa de 210 millones de euros (225 millones de dólares) por infracciones relacionadas con Facebook y de 180 millones de euros (193 millones de dólares) por infracciones relacionadas con Instagram.
- En 2022, el gigante de las comunicaciones móviles T-Mobile acordó pagar una indemnización de 500 millones de dólares tras una filtración de datos que se produjo en a principios de 2021 y que afectó a casi 77 millones de clientes. El incidente consistió en un acceso no autorizado a los sistemas de T-Mobile después de que se descubriera que una parte de los datos de los clientes se ofrecía a la venta en un foro conocido por albergar a ciberdelincuentes.
La empresa llegó a un acuerdo en una demanda colectiva consolidada, en la que se comprometió a pagar un total de 350 millones de dólares para sufragar las reclamaciones de los miembros de la demanda colectiva, los honorarios de los abogados de los demandantes y los gastos de gestión del acuerdo. La empresa también se comprometió a destinar 150 millones de dólares a la seguridad de los datos y a la tecnología relacionada con ella en los años 2022 y 2023.
Tal y como demuestran estas multas y acuerdos extrajudiciales, las organizaciones aún deben esforzarse más por dar prioridad a la gestión del cumplimiento normativo y garantizar que todas las personas, herramientas y procesos respalden los objetivos de ciberseguridad y cumplimiento normativo de los responsables empresariales.
Afortunadamente, las soluciones de gestión de riesgos están evolucionando para ofrecer una mayor integralidad y autonomía, aprovechando las capacidades de la inteligencia artificial, así como la escalabilidad y la flexibilidad de la arquitectura en la nube, con el fin de satisfacer los exigentes requisitos que plantea la protección y la gestión de las empresas modernas.
Una vez que hayamos adquirido una comprensión clara de la gestión integral de riesgos (ERM) y de en qué se diferencia de la gestión tradicional de riesgos, podremos analizar su evolución. En la siguiente sección se describirá cómo se ha adaptado la gestión de riesgos empresariales (ERM) para hacer frente a las complejidades de la gestión de riesgos y cumplimiento normativo de nueva generación, destacando los avances y las innovaciones que han dado forma a sus prácticas actuales.
La evolución de la gestión integral de riesgos (ERM) para la gestión de riesgos y el cumplimiento normativo de próxima generación
En última instancia, el riesgo tiene que ver con la actividad. Se trata de que todo siga su curso habitual hasta que deja de ser así.
En el ámbito de las soluciones de riesgo y cumplimiento normativo, la integración de la inteligencia artificial y el aprendizaje automático permite a las organizaciones determinar rápidamente qué es normal, qué es inusual y qué es claramente peligroso, a gran escala y en tiempo real. Estas tecnologías pueden utilizarse para llevar a cabo análisis de riesgos, detección de anomalías, detección de amenazas, elaboración de informes y corrección de riesgos con una rapidez y precisión extraordinarias, lo que proporciona a los responsables empresariales y de TI una visión detallada sin precedentes de las operaciones, los riesgos y las posibles soluciones.
En conjunto, el aprendizaje automático y la inteligencia artificial pueden:
- Analizar datos: Desde la actividad de inicio de sesión hasta los importes de facturación de los proveedores, la inteligencia artificial y el aprendizaje automático ofrecen un enfoque rápido y escalable para analizar las operaciones con gran detalle. Esto proporciona a los responsables empresariales y de TI datos que les permiten ajustar con precisión sus estrategias de gestión de riesgos y de cumplimiento normativo.
- Detección de patrones: Reconocer patrones en los datos puede ayudar a las organizaciones a establecer patrones de referencia de comportamiento —ya sea de personas o de máquinas— para detectar anomalías que puedan representar una amenaza, como una filtración de datos.
Por ejemplo, si el equipo de contabilidad de su empresa suele trabajar en horario laboral durante la semana y rara vez inicia sesión los fines de semana, detectar que un ordenador portátil u otro dispositivo asignado a un contable está accediendo a la red en 3:00 AM desde una ubicación remota puede servir para activar una alerta y poner en marcha medidas correctivas. - Power Automation: Smart security automation está impulsando el futuro de la gestión de terminales, desde la generación de informes y resúmenes a partir de datos recopilados y ubicados en fuentes dispares hasta la automatización de la gestión de parches, la detección y respuesta a amenazas en tiempo real, y mucho más.
La inteligencia artificial y el aprendizaje automático están llamados a dotar a las organizaciones de los medios necesarios para hacer frente con confianza y agilidad a los retos cada vez mayores que plantean las amenazas a la ciberseguridad y las exigencias normativas, revolucionando su forma de abordar el riesgo y el cumplimiento normativo mediante procesos más eficaces y ágiles.
Tanium Risk & Compliance ofrece a las organizaciones visibilidad en tiempo real de los terminales, supervisión continua de los ataques y un conjunto completo de herramientas para abordar las vulnerabilidades y restablecer el buen estado de los activos, todo ello dentro de la plataforma automatizada de Tanium.
Con Tanium, las organizaciones se benefician de una plataforma unificada que se adapta para gestionar el riesgo y el cumplimiento normativo, al proporcionar una visibilidad completa de los riesgos de los terminales y de los incidentes de incumplimiento, así como el contexto necesario para que los equipos puedan subsanar estas exposiciones. Tanium también permite a los equipos de seguridad y operaciones consolidar soluciones puntuales dispares en un único agente y una única solución.
Tanium Autonomous Endpoint Management (AEM) es una nueva evolución de la plataforma Tanium que incorpora capacidades avanzadas de inteligencia artificial y aprendizaje automático. Entre ellas se incluyen la inteligencia en la nube en tiempo real, que permite analizar y medir incluso los cambios más pequeños en los terminales para evaluar con fiabilidad su impacto; la automatización y la orquestación, que capturan y diseñan procesos de automatización dinámicos y reutilizables que abarcan diversos casos de uso de operaciones de TI y seguridad; y las plantillas y anillos de implementación, que minimizan las interrupciones al garantizar que los cambios en los terminales se implementen en consonancia con el ritmo de la organización.
Concierte una demostración personalizada en para descubrir cómo Tanium puede mejorar su gestión de riesgos y cumplimiento normativo, así como otras iniciativas de seguridad fundamentales.
