Evaluación de los riesgos de seguridad

Requisitos

Una evaluacin de los riesgos de seguridad es un proceso continuo que permite a la organizacin supervisar y actualizar la instantnea actual de las amenazas y los riesgos a los que puede estar expuesta. Es un requisito para diferentes normas de cumplimiento, entre ellas las siguientes:

• Normas de seguridad de datos del sector de las tarjetas de pago (PCI-DSS): norma de seguridad de la informacin para las organizaciones que manejan tarjetas de crdito de marca de los principales sistemas de tarjetas.
• Organizacin Internacional de Normalizacin (ISO) 27001 – Conjunto de directrices reconocido internacionalmente que se centra en la seguridad de la informacin y proporciona un marco para el Sistema de Gestin de la Seguridad de la Informacin (SGSI).
• Ley de Portabilidad y Responsabilidad de los Seguros Mdicos (HIPAA ): ley estadounidense que exige un manejo cuidadoso de la Informacin Sanitaria Protegida (PHI) o informacin sanitaria individualmente identificable.

Por qu realizar una evaluacin de riesgos de seguridad?

La realizacin de evaluaciones de riesgos para la ciberseguridad ayuda a prevenir posibles amenazas que podran comprometer la seguridad de una organizacin. Los responsables de seguridad deben comprender las relaciones entre los componentes de seguridad, incluidas las amenazas, las vulnerabilidades y los riesgos, para proteger a la organizacin de las amenazas fsicas, socioeconmicas y medioambientales. Adems, ayuda a una organizacin a:

• prevenir cualquier peligro potencial que tenga la capacidad, la motivacin y la intencin de explotar las vulnerabilidades existentes;
• proteger los datos valiosos y sensibles de la empresa, incluida la informacin personal y financiera, contra el ransomware y la prdida de datos;
• cumplir con las normas reglamentarias para evitar demandas;
• medir la clasificacin de riesgo de cada activo y evaluar la criticidad en funcin de cmo afectara a las operaciones de la empresa; y
• asegurar la reputacin y la imagen de marca de la empresa.

Ejemplo de informe de evaluacin de riesgos de seguridad en PDF | Ver plantilla

Ejemplos

Realizar evaluaciones de riesgo es una tarea crucial para los vigilantes de seguridad. Se trata de una revisin de gran alcance de todo lo que pueda suponer un riesgo para la seguridad de una organizacin. Las siguientes 3 categoras de controles de seguridad con ejemplos pueden ayudar a comprender mejor el alcance de la seguridad en las operaciones empresariales.

1. Control de seguridad de la gestin

La seguridad de la gestin o el control administrativo es el diseo global de los controles que proporciona orientacin, normas y procedimientos para la aplicacin de un entorno de seguridad. Protege a la organizacin de la corrupcin de datos y del acceso no autorizado por parte de personas internas o externas y protege a la empresa de prdidas financieras, daos a la reputacin, desintegracin de la confianza del consumidor y erosin de la marca.

Ejemplo: La organizacin identifica un riesgo de acceso no autorizado a datos sensibles almacenados en un servidor de base de datos interno. El equipo de control de seguridad de la administracin es responsable de definir quin est autorizado a acceder a los datos.

2. Control de seguridad operativa

La seguridad operativa o el control tcnico definen la eficacia de los controles. Incluye autoridades de acceso, autenticacin y topologas de seguridad aplicadas a aplicaciones, redes y sistemas.

Ejemplo: La organizacin identifica un riesgo de acceso no autorizado a datos sensibles almacenados en un servidor de base de datos interno. Los equipos de TI utilizan el control de la seguridad operativa para prevenir y detectar el inicio de sesin no autorizado en el servidor.

Los responsables de TI pueden utilizar una lista de comprobacin de la evaluacin de la ciberseguridad o una lista de comprobacin de la evaluacin de los riesgos de TI para ayudar a identificar las actividades maliciosas y aplicar las medidas necesarias para gestionar las amenazas. Ayuda a validar la consecuencia, la probabilidad y la calificacin de riesgo de las vulnerabilidades identificadas.

3. Control de la seguridad fsica

El control de la seguridad fsica es la proteccin del personal y del hardware de las amenazas tangibles que podran daar fsicamente, perjudicar o interrumpir las operaciones de la empresa.

Ejemplo: La organizacin identifica un riesgo de acceso no autorizado a datos sensibles almacenados en un servidor de base de datos interno. La organizacin puede aplicar controles de seguridad fsica para restringir el acceso de visitantes y personal no autorizado a las zonas restringidas.

Los responsables de la seguridad de las instalaciones (FSO) pueden utilizar una lista de comprobacin de la evaluacin de la seguridad de las instalaciones para llevar a cabo un anlisis interno exhaustivo de la infraestructura, las vulnerabilidades y las amenazas potenciales de las instalaciones. Ayuda a evaluar el estado de seguridad del edificio para proteger a los ocupantes de la posibilidad de mayores riesgos.

Cmo llevar a cabo una evaluacin de riesgos de seguridad

El proceso de evaluacin de los riesgos de seguridad vara en funcin de las necesidades de la empresa. Depende del tipo de operacin empresarial, del alcance de la evaluacin y de los requisitos del usuario. En general, se puede llevar a cabo con los siguientes pasos.

5 pasos para implementar la evaluacin de riesgos de seguridad

Paso 1: Identificar

• Identificar las necesidades de la empresa y los activos crticos de la infraestructura tecnolgica que puedan afectar a la direccin general de TI y seguridad.

Paso 2: Revisin

• Revisar las polticas, normas, directrices y procedimientos de seguridad existentes y diagnosticar los datos sensibles que se crean, almacenan o transmiten mediante activos de infraestructura tecnolgica.

Paso 3: Evaluar

• Evaluar y analizar los activos, las amenazas y las vulnerabilidades, incluyendo su impacto, probabilidad y calificacin de riesgo.
• Compruebe la proteccin fsica aplicada a los equipos informticos, al servidor y a otros componentes de la red.
• Llevar a cabo una revisin e investigacin tcnica y de procedimiento de la arquitectura de la red, los protocolos y otros componentes para garantizar que se aplica de acuerdo con las polticas de seguridad.
• Revisar y evaluar la configuracin, la implementacin y el uso de sistemas de acceso remoto, servidores, cortafuegos y otras conexiones de red externas.
• Compruebe los sistemas de control de acceso para los usuarios autorizados y otras polticas de autenticacin.
• Comprobar los activos fsicos, incluidas las tarjetas de acceso del personal y los visitantes.
• Compruebe la proteccin del permetro e inspeccione el estado de funcionamiento de las cmaras de CCTV y los sistemas de alarma.
• Garantizar el cumplimiento de las normas de limpieza.

Paso 4: Mitigar

• Revisar y analizar los informes de evaluacin y determinar cmo asignar eficazmente el tiempo y los recursos para mitigar los riesgos.
• Implementar acciones tcnicas para abordar las vulnerabilidades identificadas y reducir el nivel de riesgo de seguridad.
• Asignar acciones correctivas y recomendaciones al personal adecuado para aplicar los controles de seguridad para cada riesgo.

Paso 5: Prevenir

• Realizar evaluaciones de seguridad peridicas, controlar las actualizaciones y comunicar los informes de evaluacin de riesgos a una persona autorizada.
• Agilizar los procesos de informacin para minimizar las amenazas y las vulnerabilidades que se produzcan.

Formacin

La formacin en evaluacin de riesgos de seguridad es un conjunto de lecciones informativas para ayudar a los empleados a desarrollar habilidades para identificar, analizar y evaluar los riesgos de seguridad. La formacin en materia de ciberseguridad puede servir como punto de partida para que los trabajadores comprendan mejor los riesgos de seguridad. Por ejemplo, este curso de formacin en lnea gratuito contiene los fundamentos de los ciberataques ms comunes y la forma de protegerse.

Herramienta

El crecimiento tecnolgico viene acompaado de la transformacin de las amenazas a la seguridad. Los infractores de la ley descubren nuevos mecanismos para burlar los sistemas de seguridad ms estrictos. Una evaluacin de riesgos de seguridad ayuda a proteger a la organizacin y a los ocupantes del edificio de una posible exposicin a amenazas que pueden sabotear sus activos y exponerlos a riesgos mucho mayores.

Tradicionalmente, las evaluaciones de riesgo se realizan con el uso de lpiz y papel que es susceptible de deteriorarse y perderse. Lleva mucho tiempo entregar los informes de evaluacin, lo que aumenta las posibilidades de exponer a la organizacin a riesgos de seguridad. SafetyCulture (antes iAuditor) es una aplicacin de inspeccin mvil que puede ayudar a los responsables de seguridad a identificar proactivamente los riesgos de seguridad y responder a tiempo para mitigarlos.

Software de evaluacin de riesgos de seguridad

Para garantizar la eficacia de las evaluaciones de los riesgos de seguridad, las siguientes funciones de SafetyCulture (iAuditor) pueden ayudar a los responsables de seguridad a ahorrar tiempo en la realizacin de la evaluacin y la entrega de los informes de riesgos de seguridad.

Realice evaluaciones de riesgo en cualquier momento y lugar en un dispositivo mvil

SafetyCulture (iAuditor) facilita a cualquier miembro del equipo la realizacin de inspecciones y auditoras sobre la marcha. Ya sea en lnea o sin conexin, SafetyCulture (iAuditor) puede registrar los resultados de la evaluacin en tiempo real, que se guardan automticamente de forma segura en la nube.

Convierta los problemas de seguridad en acciones

Crear acciones correctivas en el momento para las amenazas de seguridad identificadas. Establezca la fecha de vencimiento y el nivel de prioridad, y luego asgnelos al personal autorizado para abordar y mitigar el riesgo de seguridad inmediatamente.

Revisar los resultados y las tendencias

La sincronizacin automtica entre los dispositivos mviles y la plataforma de escritorio proporciona paneles de anlisis en tiempo real en las cuentas Premium. Obtenga visibilidad instantnea de los problemas de seguridad identificados y de la productividad del equipo.

Realizar evaluaciones de seguridad peridicas es vital para mantener un sistema de seguridad protegido y actualizado. Estas son otras caractersticas de SafetyCulture (iAuditor) que podran ayudar a mejorar el rendimiento y la supervisin de la evaluacin de riesgos:

• capturar pruebas fotogrficas ilimitadas, anotar y aadir notas para explicar mejor el asunto;
• Entrega de informes en todo momento, incluso despus de realizar la evaluacin;
• facilidad para establecer calendarios y notificaciones para no perderse nunca una evaluacin prevista; y
• uso gratuito para pequeos equipos de seguridad y se puede ampliar con informes y almacenamiento ilimitados para las cuentas Premium.