Administración de Riesgos de Seguridad [Evaluación y Riesgo de Información]

La gestión de riesgos de seguridad puede prevenir que las áreas débiles de tu empresa sean pasadas por alto y aprovechadas por atacantes externos.

¿Qué es la gestión de riesgos de seguridad? La gestión de riesgos es un proceso que una empresa lleva a cabo para identificar áreas de riesgo. Este proceso debe ocurrir continuamente, y una vez que se encuentra un riesgo, debe ser manejado adecuadamente.

¿Qué es la Gestión de Seguridad y Amenazas?

En las operaciones modernas de TI y negocios, la ciberseguridad es una prioridad principal. La realidad del comercio impulsado por datos es que la mayoría de la información de consumidores y empresas se almacena en espacios digitales donde las amenazas y vulnerabilidades de seguridad pueden causar daños reales y duraderos a personas y empresas.

Siguiendo esto, muchas empresas y firmas de seguridad de terceros realizan lo que generalmente se conoce como evaluaciones de amenazas. Estas evaluaciones consideran la infraestructura y capacidades de una organización, los datos que almacenan, los tipos de comunicaciones e interacciones que tienen con el mundo exterior, y comparan estos factores con las amenazas existentes.

El Instituto InfoSec define la gestión de seguridad dentro del marco del Certified Information Systems Security Professional (CISSP) con los siguientes componentes:

Modelo de Seguridad

Esto incluye los controles básicos y la toma de decisiones respecto a la seguridad dentro de una organización basada en la infraestructura de TI, los objetivos empresariales y los requisitos de cumplimiento de regulaciones como HIPAA, GDPR o PCI DSS.

Confidencialidad, Integridad y Disponibilidad

En términos de gestión de datos, la confidencialidad se refiere a la privacidad de los datos, la integridad a la estabilidad continua de esos datos, y la disponibilidad a los usuarios según sea necesario.

Gobernanza de Seguridad

La mayoría de las organizaciones de cualquier tamaño deben tener un cuerpo gobernante para gestionar las políticas y procedimientos de seguridad, encabezado por un director de tecnología, un director de seguridad de la información o un oficial de cumplimiento.

Políticas y Procedimientos

Para gestionar con éxito los problemas, una organización puede y debe tener políticas integrales de gobernanza de datos y ciberseguridad para manejar planes de cambios de configuración, actualizaciones, capacitación de empleados, etc.

Continuidad del Negocio

La seguridad se trata de la capacidad de una empresa para continuar sus operaciones. Esto incluye la capacidad de reanudar operaciones después de brechas en el sistema, minimizar brechas a medida que ocurren y remediar áreas problemáticas a medida que surgen.

Gestión de Riesgos

La piedra angular de la gestión de riesgos, el riesgo es la medición de amenazas potenciales de seguridad en una infraestructura de TI contra los objetivos empresariales y técnicos. La cantidad de riesgo que una empresa asumirá puede diferir entre organizaciones, industrias o incluso épocas del año.

Modelado de Amenazas

Una forma más concreta de modelar los requisitos de seguridad y las vulnerabilidades potenciales para minimizar esas vulnerabilidades. Incluye medir, etiquetar y priorizar amenazas según sea necesario.

¿Qué es la Gestión de Riesgos de Ciberseguridad?

Profundizando un poco más, la gestión de riesgos de ciberseguridad es el proceso de identificar, evaluar y priorizar riesgos y desarrollar estrategias para gestionarlos. Este proceso generalmente implica evaluar las amenazas potenciales, identificar activos críticos, evaluar el impacto de los riesgos en esos activos, seleccionar e implementar estrategias para minimizar riesgos potenciales, y monitorear y reportar regularmente sobre la efectividad de esas estrategias. Es una parte esencial del programa de seguridad de cualquier organización.

Las organizaciones necesitan gestionar sus riesgos de ciberseguridad para proteger sus datos y sistemas sensibles de actores maliciosos. En la era digital, las amenazas cibernéticas están en constante evolución, lo que hace esencial que las empresas se mantengan al tanto de las amenazas emergentes y tomen medidas proactivas para protegerse contra ellas. La gestión de riesgos de ciberseguridad ayuda a las organizaciones a identificar y abordar cualquier debilidad en sus estrategias de ciberseguridad antes de que se conviertan en un problema. También ayuda a las organizaciones a priorizar sus inversiones en ciberseguridad y asegurar que su programa de seguridad cumpla con los requisitos de su industria. Además, tomar medidas proactivas para gestionar los riesgos cibernéticos puede ayudar a las organizaciones a reducir pérdidas financieras y mantenerse en cumplimiento con las regulaciones gubernamentales. Al invertir en programas de ciberseguridad robustos, las empresas pueden ayudar a proteger sus valiosos datos y sistemas de robos, fraudes y otros ataques maliciosos.

Las empresas se benefician de tener un plan de gestión de riesgos de ciberseguridad al reducir su exposición al riesgo, minimizar las vulnerabilidades de seguridad y mejorar su postura de seguridad general. Un plan de gestión de riesgos bien estructurado puede ayudar a las organizaciones a identificar y priorizar sus medidas de seguridad, anticipar amenazas potenciales y crear una estrategia de mitigación de riesgos. Además, puede ayudar a las organizaciones a identificar e invertir en las medidas de ciberseguridad más efectivas y asegurar que todas las áreas de su programa de seguridad estén adecuadamente protegidas. Con un plan de gestión de riesgos integral en su lugar, las organizaciones pueden reducir su riesgo, mejorar su postura de seguridad y minimizar los daños potenciales asociados con brechas de seguridad.

¿Cómo Funciona la Gestión de Riesgos de Seguridad?

Combinando estas prácticas y criterios de seguridad, las organizaciones pueden implementar políticas de gestión de riesgos que les permitan comprender completamente y de manera integral sus riesgos e informar la toma de decisiones sobre cómo abordarlos.

A través de la combinación de evaluar, catalogar y medir el riesgo, las organizaciones pueden avanzar con la gestión de seguridad abordando los siguientes cuatro aspectos de su perfil de seguridad:

1. Activos

¿Qué activos de datos tiene una organización? ¿Dónde se almacenan esos activos? ¿Cómo interactúan, cambian o contactan esos activos los usuarios internos y externos? En este caso, los activos pueden significar algo como datos en una base de datos o almacén de datos, aplicaciones de Software como Servicio en la nube (SaaS) o portales de usuario internos.

2. Controles

¿Qué tecnologías están en su lugar? ¿Dónde se encuentran estas tecnologías? ¿Están actualizadas y configuradas correctamente? Los controles de seguridad pueden incluir algoritmos de cifrado, firewalls, tecnología anti-malware o software de gestión de identidades y accesos.

3. Vulnerabilidades

¿Dónde están los puntos débiles en el sistema de TI? ¿Dónde están los activos sin asegurar? ¿Existen lugares potencialmente inseguros por los que pasan los datos? Las vulnerabilidades son difíciles de encontrar, y descubrirlas puede requerir escaneos de vulnerabilidades regulares, pruebas de penetración anuales o ejercicios de equipo rojo.

4. Amenazas

¿Cuál es el panorama de amenazas de ciberseguridad moderno? ¿Están surgiendo nuevas amenazas? Este aspecto es a menudo dinámico, y las amenazas pueden surgir repentinamente sin previo aviso. Incluso las amenazas conocidas desde hace mucho tiempo pueden seguir planteando desafíos y requerir medidas de seguridad específicas.

Al crear planes de seguridad concretos y tener en cuenta los cuatro aspectos anteriores, cualquier organización puede obtener una buena visión de sus riesgos y amenazas potenciales.

Para obtener pautas más concretas sobre evaluación de riesgos y seguridad unificada, muchas organizaciones recurren a grupos profesionales como la Organización Internacional de Normalización o el Instituto Nacional de Estándares y Tecnología. ISO 31000 y las Publicaciones Especiales del NIST 800-39 y 800-53 proporcionan marcos de gestión de riesgos robustos.

¿Qué Industrias Requieren una Evaluación de Riesgos de Seguridad para Cumplimiento?

Hay muchas industrias que requieren evaluaciones de riesgos de seguridad para cumplimiento. Algunas de las más comunes incluyen:

Salud

Los hospitales, clínicas y otras instalaciones de salud deben cumplir con la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) y realizar evaluaciones de riesgos regulares para proteger la información de salud sensible de los pacientes.

Financiero

Los bancos, cooperativas de crédito y otras instituciones financieras deben cumplir con la Ley Gramm-Leach-Bliley (GLBA) y evaluar sus riesgos de seguridad para proteger la información financiera de los consumidores.

Gobierno

Las agencias gubernamentales federales, estatales y locales deben cumplir con una variedad de regulaciones y directrices, como FISMA (Ley de Gestión de Seguridad de la Información Federal), el Marco de Ciberseguridad del NIST (Instituto Nacional de Estándares y Tecnología), entre otros, para proteger datos gubernamentales sensibles.

Educación

Las escuelas, colegios y universidades deben cumplir con FERPA (Ley de Derechos Educativos y Privacidad de la Familia) y evaluar sus riesgos de seguridad para proteger los registros académicos de los estudiantes.

Retail

Las empresas que procesan transacciones con tarjetas de crédito deben cumplir con el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) y evaluar sus riesgos de seguridad para proteger la información de las tarjetas de crédito de los consumidores.

Legal

Los bufetes de abogados y servicios legales deben cumplir con las Reglas Modelo de Conducta Profesional de la Asociación Americana de Abogados (ABA) y evaluar sus riesgos de seguridad para proteger la información confidencial de los clientes.

Energía y Servicios Públicos

Las empresas de energía deben cumplir con los estándares de Protección de Infraestructura Crítica (CIP) de la Corporación de Confiabilidad Eléctrica de América del Norte (NERC) y evaluar sus riesgos de seguridad para proteger la infraestructura crítica.

Transporte

Las aerolíneas, aeropuertos y otras empresas de transporte deben cumplir con las regulaciones de la Administración de Seguridad en el Transporte (TSA) y evaluar sus riesgos de seguridad para proteger a los viajeros y la carga.

Tecnología

Las empresas de tecnología que desarrollan y venden software y hardware deben cumplir con varias regulaciones y estándares, como ISO 27001, y evaluar sus riesgos de seguridad para proteger los datos de los clientes y la propiedad intelectual.

Cualquier industria que maneje datos sensibles, infraestructura crítica o preocupaciones de seguridad pública probablemente requerirá una evaluación de riesgos de seguridad para cumplir con varias regulaciones y estándares. Es importante que estas industrias evalúen y gestionen regularmente sus riesgos de seguridad para asegurar la protección de individuos y organizaciones.

Marcos de Gestión de Riesgos Cibernéticos

Los marcos de gestión de riesgos cibernéticos son enfoques estructurados que se utilizan para identificar, medir, evaluar y priorizar riesgos cibernéticos, así como para gestionarlos y minimizarlos de manera efectiva. Estos marcos proporcionan una forma sistemática e integrada de gestionar los riesgos cibernéticos al desglosar el proceso en varias etapas y actividades, generalmente en un proceso paso a paso. Algunos de los marcos comúnmente utilizados son:

1. Marco de Ciberseguridad del NIST

Este marco fue desarrollado por el Instituto Nacional de Estándares y Tecnología (NIST) en EE. UU., y proporciona un conjunto de directrices, estándares y mejores prácticas para gestionar y minimizar los riesgos cibernéticos.

2. ISO/IEC 27001

Este es un estándar internacional que proporciona un marco para sistemas de gestión de seguridad de la información (ISMS). Se centra en la confidencialidad, integridad y disponibilidad de la información, y proporciona un enfoque sistemático para gestionar los riesgos de seguridad de la información.

3. COBIT

Este marco fue desarrollado por la Asociación de Auditoría y Control de Sistemas de Información (ISACA) y proporciona un marco de gobernanza para la gestión de TI. Combina un conjunto de procesos, objetivos de control y métricas para gestionar y minimizar los riesgos relacionados con TI, incluidos los riesgos cibernéticos.

4. FAIR

El marco de Análisis de Factores de Riesgo de Información (FAIR) es un enfoque cuantitativo para la gestión de riesgos que se centra en identificar, analizar y priorizar riesgos cibernéticos en función de su impacto en los objetivos de una organización. Utiliza un conjunto de modelos matemáticos y algoritmos para estimar la probabilidad e impacto de los riesgos cibernéticos.

5. Controles CIS

Los Controles del Centro para la Seguridad de Internet (CIS) son un conjunto de mejores prácticas que las organizaciones pueden utilizar para mejorar sus defensas cibernéticas. Es una lista priorizada de medidas de seguridad que se pueden implementar para protegerse contra las amenazas cibernéticas más comunes.

Independientemente del marco que se utilice, es importante que las organizaciones adopten un enfoque sistemático e integrado para gestionar los riesgos cibernéticos. Esto incluye identificar y evaluar los riesgos cibernéticos, desarrollar e implementar estrategias de mitigación de riesgos, y monitorear y mejorar continuamente su postura de ciberseguridad.

¿Cómo Tratan las Organizaciones los Riesgos?

Cómo una organización aborda el riesgo dependerá de su modelo de negocio. Diferentes industrias a menudo requerirán o priorizarán diferentes enfoques para abordar finalmente los problemas de seguridad. En términos generales, hay cinco formas principales de tratar cualquier riesgo a medida que surge:

1. Remediación de Riesgos

El acto de implementar medidas para eliminar, corregir o eliminar parcialmente el riesgo.

2. Mitigación de Riesgos

Reducir el impacto de la vulnerabilidad potencial a través de medios organizacionales, generalmente implementando medidas de seguridad circundantes en lugar de corregir el riesgo inmediato.

3. Aceptación de Riesgos

Determinar que el riesgo es aceptable desde un punto de vista empresarial o de TI y no hacer nada.

4. Transferencia de Riesgos

Mover la responsabilidad o el impacto potencial de la vulnerabilidad. Por ejemplo, mover datos o comprar un seguro contra brechas para contrarrestar las consecuencias financieras.

5. Evitación de Riesgos

Aislar el riesgo para evitar problemas por completo. Por ejemplo, migrar datos a nuevos servidores y usar dispositivos más riesgosos para manejar datos no sensibles.

¿Con qué Frecuencia Debe una Empresa Realizar Evaluaciones de Riesgos?

Hay varias formas de realizar evaluaciones de seguridad. En términos generales, las siguientes pautas son un buen punto de partida para medir el riesgo y la seguridad:

Pruebas de Evaluación de Riesgos	Horario
Evaluación de Riesgos (Evaluaciones de TI a Gran Escala)	Anualmente
Pruebas de Penetración	Al Menos Una Vez al Año
Escaneo de Vulnerabilidades	Mensualmente

Cómo Gestionar el Riesgo de Ciberseguridad Desde una Plataforma

La piedra angular de la gestión de seguridad en nuestra economía moderna es trabajar con proveedores y vendedores seguros. No solo estos proveedores pueden suministrar tecnología segura, sino que también pueden quitar la gestión obligatoria de riesgos del plato de una organización ya ocupada.

La Red de Contenido Privado de Kiteworks apoya la gestión segura de datos y las políticas de gobernanza, así como la gestión de riesgos y análisis.

Para ver cómo Kiteworks minimiza los riesgos de comunicaciones de contenido sensible, regístrate para una demostración personalizada hoy.

 

Volver al Glosario de Riesgo y Cumplimiento