¿Qué es la Gestión de Riesgos Tecnológicos?
La Gestión de Riesgos Tecnológicos (TRM) es un proceso que utilizan las organizaciones para identificar, evaluar, mitigar y controlar los riesgos relacionados con las TI, como las amenazas a la ciberseguridad, los fallos del sistema, las violaciones de datos y las infracciones del cumplimiento normativo. La TRM pretende prevenir o reducir los efectos adversos de estos riesgos sobre las operaciones, el rendimiento financiero y la reputación empresarial.
Importancia de la gestión del riesgo tecnológico
Los ciberataques están aumentando a un ritmo alarmante, con miles de millones de afectados en todo el mundo. Según numerosos estudios, esto se traduce directamente en trastornos operativos y responsabilidades financieras. El daño que inflige puede alcanzar los 10,5 billones de dólares en 2025. Para salvaguardar las operaciones de la organización y proteger su cuenta de resultados, deben aplicarse medidas sólidas de gestión de riesgos que aborden este reto. Desarrollar un marco de gestión de riesgos tecnológicos es vital para las empresas de todos los sectores, desde las pequeñas empresas de nueva creación hasta las empresas globales. Abordar los riesgos informáticos de forma proactiva no sólo ahorra dinero a las empresas. También mejora su postura de seguridad, garantizando el cumplimiento de la normativa. También las hace más atractivas para los socios, los inversores potenciales y, lo que es más importante, el público en general.
Mejora tu gestión GRC
Tipos de riesgos tecnológicos
Aunque la digitalización mejora muchos aspectos de las Funciones Empresariales Críticas (FCE) de una organización, la tecnología también expone a las empresas a numerosas amenazas. Comprender estos riesgos ayuda a las empresas a anticiparse a las posibles consecuencias, especialmente a las indeseables. He aquí los riesgos tecnológicos que los responsables de TI y los equipos de seguridad nunca deben pasar por alto:
{%CAPTION%}
Complejidad de la nube
Las empresas modernas confían en la computación en nube por su escalabilidad y rentabilidad. Sin embargo, muchas empresas se encuentran con errores de configuración y pérdida de datos. Microsoft Azure causó interrupciones generalizadas a quienes utilizaban sus servicios en la nube debido a un ataque de Denegación de Servicio Distribuido (DDoS). Esto provocó una pérdida de productividad y dañó la reputación de Microsoft.
Gobernanza de datos en Big Data
Gestionar, almacenar y proteger los datos es extremadamente difícil cuando hay demasiados que manejar. La reacción pública contra la recopilación ilegal de datos de Facebook por parte de Cambridge Analytica condujo a multas millonarias para esta última y al cierre definitivo de la primera.
Fallos en la Contención de la Violación
Las organizaciones luchan por identificar y contener los incidentes de seguridad en tiempo real. La respuesta tardía a las violaciones de datos puede exponer información sensible, lo que provoca daños a la reputación a largo plazo, largas demandas judiciales y costosas reclamaciones de indemnización.
Riesgos de la dependencia del proveedor
La dependencia de terceros proveedores y prestadores de servicios puede exponer a las empresas a riesgos fuera de su control. En 2020, el proveedor de software SolarWinds fue blanco de los piratas informáticos, lo que afectó negativamente a sus clientes, incluidos organismos gubernamentales de todo el mundo. Este ataque sin precedentes perjudicó a las cadenas de suministro y dificultó a muchos recuperarse de la brecha.
Riesgos del trabajo a distancia
Muchos pasaron al trabajo remoto e híbrido para garantizar la continuidad operativa a pesar del cierre por pandemia. Durante este tiempo, las empresas vieron un aumento de los ataques de phishing, que explotaban las redes menos seguras de los trabajadores en casa.
Retos de la continuidad empresarial
Las catástrofes naturales, los cortes de electricidad y los fallos del sistema pueden interrumpir la continuidad de la empresa, lo que resulta más problemático en el mundo actual, siempre conectado. Los centros de datos quedaron fuera de servicio tras el fallo de la red durante la tormenta invernal de Texas, lo que paralizó a muchas empresas, como las plataformas de comercio electrónico de las que tanto dependen los clientes.
Amenazas emergentes
Los actores de las amenazas desarrollan continuamente métodos sofisticados para infiltrarse en los sistemas, robar datos críticos de los usuarios y obtener beneficios económicos. Según un estudio, 7 de cada 10 ciberataques eran ransomware. Por desgracia, este delito costoso y perjudicial está aumentando en número y puede empeorar en los próximos años.
Proceso de gestión de riesgos tecnológicos
Las organizaciones se enfrentan a retos cada vez mayores debido a la rápida evolución del panorama digital. Seguir un marco estructurado para gestionar los riesgos relacionados con la tecnología dota a las empresas de un enfoque proactivo para proteger sus activos, operaciones y reputación. Aquí tienes una guía detallada sobre las mejores prácticas de gestión de riesgos tecnológicos:
Paso 1: Identificar los riesgos.
Aborda proactivamente las amenazas potenciales antes de que se materialicen, reconociendo y comprendiendo los riesgos en los sistemas, aplicaciones y procesos tecnológicos de la empresa. Estas son algunas tareas a realizar:
- Actualiza el inventario de todos los activos tecnológicos.
- Inspecciona los sistemas informáticos, las redes y las aplicaciones utilizando listas de comprobación digitales.
- Habla con los responsables de TI y seguridad para conocer su opinión sobre las amenazas.
Paso 2: Evaluar y priorizar.
Evaluar la probabilidad y el impacto potencial de los riesgos identificados para una mejor priorización y asignación de recursos. Aprovecha las matrices de evaluación de riesgos y los análisis de datos para calificar y cuantificar los riesgos con más criterio.
Paso 3: Desarrollar estrategias de mitigación de riesgos.
Reduce las vulnerabilidades creando planes de acción para eliminar o minimizar los riesgos. Además de formular posibles soluciones y detallar los recursos necesarios para ellas, asegúrate de incorporar lo siguiente:
- Formación específica – Proporciona formación periódica y especializada en ciberseguridad a los empleados para ayudarles a reconocer actividades sospechosas y a seguir los protocolos de seguridad.
- Plan de respuesta a incidentes – Elabora una guía paso a paso para informar y abordar los incidentes. Especifica el personal responsable de determinadas tareas para que todos sepan con quién comunicarse y colaborar.
- Modernización informática – Actualiza las soluciones de software, parchea las vulnerabilidades y sustituye los sistemas heredados. Empieza por la actualización más crítica si el presupuesto no permite transformaciones digitales integrales.
Paso 4: Implantar controles de seguridad.
La siguiente fase consiste en desplegar medidas para proteger los sistemas, disuadir las amenazas y responder a ellas con eficacia. Debe adoptarse un enfoque de confianza cero, pasando a la verificación continua en lugar de suponer que los usuarios, los dispositivos o las conexiones de red son dignos de confianza. Estas son algunas prácticas a aplicar:
- Instala un software antivirus.
- Activa los cortafuegos.
- Monitoriza con sistemas de detección de intrusos.
- Utiliza la autenticación multifactor (MFA) y los permisos basados en roles (RBP).
- Cifra los datos sensibles.
Paso 5: Supervisar los progresos, revisar los esfuerzos y actualizar las políticas.
Los beneficios de la gestión del riesgo tecnológico no se alcanzarán plenamente sin una evaluación continua de los controles. Además de garantizar que el programa de gestión de riesgos sigue siendo eficaz, esta práctica permite a las empresas adaptarse a la evolución de los riesgos, que es inevitable.
Marcos de gestión de riesgos tecnológicos
La gestión eficaz de los riesgos tecnológicos no es opcional. Esta necesidad crítica requiere enfoques estructurados para gestionar los riesgos. He aquí los marcos más probados con los que alinearse:
- El Marco de Ciberseguridad del NIST (Instituto Nacional de Normas y Tecnología) proporciona la directriz Identificar – Proteger – Detectar – Responder – Recuperar para garantizar la alineación con las normas del sector.
- ISO/IEC 27001 es una norma reconocida internacionalmente que establece el Sistema de Gestión de la Seguridad de la Información (SGSI) para proteger los datos sensibles y garantizar la continuidad de la actividad empresarial.
- COBIT (Objetivos de Control para las Tecnologías de la Información y Relacionadas)creado por la Asociación de Auditoría y Control de Sistemas de Información (ISACA), proporciona herramientas para gestionar los riesgos informáticos y garantizar, al mismo tiempo, la rentabilidad de las inversiones en TI. Se centra en la gobernanza, los objetivos de control y el seguimiento del rendimiento.
- COSO ERM (Comité de Organizaciones Patrocinadoras – Gestión de Riesgos Empresariales) proporciona principios para gestionar los riesgos tecnológicos en toda la empresa, permitiendo a las organizaciones integrar la gestión de riesgos en la planificación estratégica.
- ITIL (Biblioteca de Infraestructuras de Tecnologías de la Información) establece las mejores prácticas para la gestión de los servicios informáticos, de modo que las empresas puedan prestar eficazmente servicios informáticos de calidad sin interrupciones.
Eunice Arcilla Caburao
