Cualquier organización que gestione riesgos de ciberseguridad se enfrenta a un reto abrumador. Cada día se identifican y publican en Internet problemas de seguridad; es posible que las medidas de mitigación tarden semanas en llegar, y las amenazas pueden tener su origen más allá de las fronteras internacionales. Las buenas prácticas con un enfoque demasiado específico pueden convertirse en un lastre de la noche a la mañana.
Las prácticas de seguridad rigurosas e inflexibles pueden mitigar el riesgo de robos o intrusiones, pero pueden ir en detrimento de la eficiencia y la capacidad de respuesta. Los riesgos pueden pasar desapercibidos hasta que se convierten en un problema, e incluso las cadenas de suministro en las que se confía y que parecen seguras pueden verse interrumpidas o comprometidas.
Los límites que definen la seguridad operativa cambian constantemente, ya que incluso las tecnologías existentes requieren nuevas evaluaciones de seguridad. No basta con realizar un análisis de riesgos puntual de las posibles amenazas a la hora de integrar nuevas prácticas o activos. Recomendamos a las organizaciones que determinen de forma rutinaria el alcance y las implicaciones empresariales de los ciberataques. Además, la capacidad de cuantificar y clasificar los riesgos puede convertir el desarrollo de una cultura de gestión de riesgos en un ejercicio concreto, con métricas y objetivos claramente definidos.
Determinar cómo cada proceso y práctica gestiona el riesgo y aumenta la resiliencia operativa resulta más sencillo con un enfoque integrado de gestión de riesgos en materia de seguridad. Los líderes en gestión integrada de riesgos han ido ampliando su capacidad para mitigar los riesgos gracias a nuevas herramientas que permiten coordinar los procesos de seguridad. Descubre cómo proteger tu organización con sólidas defensas contra los riesgos leyendo nuestro informe«El estado de la gestión integrada de riesgos».
Todos los riesgos están relacionados entre sí, y tu estrategia de seguridad también debería estarlo
En el mundo físico, una defensa perimetral sólida puede mitigar las pérdidas y, al mismo tiempo, permitir que las empresas sigan operando dentro de los perímetros protegidos de una instalación. Sin embargo, las defensas perimetrales de ciberseguridad han sido problemáticas desde hace tiempo debido a la propia naturaleza de los riesgos y las amenazas digitales. Cuando todo depende de la inexpugnabilidad de un cortafuegos o del secreto de una contraseña, todo corre peligro si se vulnera el cortafuegos o se filtra la contraseña.
Cuando la pandemia mundial de COVID-19 provocó el cierre de los centros de trabajo, las oportunidades para los ciberataques se dispararon. Las organizaciones que no contaban con un enfoque de seguridad integrado frente a las ciberamenazas resultaron más vulnerables a los ataques cuando su plantilla se distribuyó en un amplio abanico de configuraciones de seguridad de red. Cuando un gran número de trabajadores a distancia comenzó a acceder a activos sensibles a través de redes domésticas, muchas organizaciones recurrieron a las VPN para permitir que el personal se conectara a las redes protegidas de la organización.
Lamentablemente, esto supone tantos puntos vulnerables en materia de seguridad como empleados accedan de forma remota a la red de la organización. Por ejemplo, en el ataque de ransomware contra Colonial Pipeline se utilizaron credenciales de acceso a una red privada virtual para bloquear las operaciones de Colonial Pipeline Company.[1] Un único punto de fallo provocó interrupciones en operaciones de carácter crítico.
Defensas reforzadas contra las perturbaciones
El concepto de «defensa en profundidad» existe desde hace décadas y consiste en añadir capas de protección siempre que sea posible y viable. Un enfoque integrado de gestión de riesgos en materia de seguridad se basa en ese concepto, al conectar procesos y datos de otras funciones relacionadas con los riesgos, ya que cada parte de una operación puede suponer un problema de seguridad o una fuente de riesgo.
La clave para diseñar y mantener un enfoque integrado de gestión de riesgos en materia de seguridad consiste en garantizar que todo el proceso esté alineado con la resiliencia operativa. La capacidad de seguir operando a pesar de las interrupciones debería ser la principal fuerza motriz de su enfoque de seguridad. Uno de cada cinco encuestados en el estudio «RSA Digital Risk 2020» afirmó que, en los próximos dos años, dará prioridad a la alineación entre la resiliencia empresarial y los enfoques de gestión de riesgos corporativos.
Gracias a un enfoque integrado de gestión de riesgos en materia de seguridad, las distintas áreas de una organización pueden gestionar sus riesgos de forma que se refuerce la resiliencia operativa general. Los esfuerzos de los departamentos de TI y seguridad se combinan con el cumplimiento normativo y corporativo, la gestión de terceros y otras partes interesadas para crear un programa de gestión de riesgos reforzado.
Riesgo y respuesta detallados
Recomendamos a las organizaciones que elaboren un panorama completo de los riesgos relacionados con la tecnología y la seguridad digital y que comprendan sus repercusiones financieras. Sin saber cómo una filtración de datos afectará a las operaciones, puede resultar poco práctico evaluar el nivel adecuado de esfuerzo y capital que hay que invertir en precauciones y contramedidas. Un proceso y una taxonomía bien definidos que cuantifiquen el impacto de los riesgos pueden ayudar a alinear las prácticas de gestión de riesgos con los objetivos de la organización.
Sin un enfoque integrado de gestión de riesgos en materia de seguridad, un solo riesgo de seguridad puede propagarse por todos los activos de una organización. Dado que cada vez son más los elementos que se digitalizan, se automatizan y se controlan mediante tecnología conectada, una filtración de datos puede llegar incluso a provocar la interrupción de las operaciones físicas.
Cuando la resiliencia operativa se basa en la solidez de una única medida, esa única defensa adquiere tal importancia que resulta difícil cuantificar las consecuencias de que dicha defensa se vea comprometida. Una estrategia de seguridad basada en la gestión integrada de riesgos y en la defensa en profundidad permite realizar evaluaciones de riesgo detalladas de cualquier práctica o proceso concreto.
La creciente necesidad de aplicar prácticas de seguridad de defensa en profundidad impone una nueva responsabilidad en el ámbito de la gestión de riesgos. Si bien la integridad de un único sistema de defensa perimetral puede determinarse mediante las prácticas habituales del sector, la gran densidad de las medidas de seguridad exige nuevos procesos para supervisar y controlar las prácticas de gestión de riesgos de una organización.
La pandemia ha puesto de manifiesto debilidades que antes se ignoraban o no se habían abordado en muchas organizaciones. Nuestra encuesta sobre riesgos digitales de 2020 reveló que casi el 75 % de los encuestados espera que sus iniciativas digitales se aceleren debido a las perturbaciones y los cambios ocurridos durante el último año.
Aunque parte de esta aceleración implicará la ampliación de los enfoques y prácticas existentes, la implantación de nuevos procesos que respondan al perfil de riesgo cada vez más amplio puede ayudar a una organización a adaptarse a un entorno en constante cambio. Los programas de riesgo operativo deben centralizar la información sobre los riesgos para que puedas comprender mejor tu situación de riesgo, determinar con mayor facilidad cómo gestionarlos y ver la interrelación de estos riesgos con el conjunto del negocio.
La gestión integrada de riesgos: el camino a seguir
Los enfoques integrales de la resiliencia operativa requieren auditorías detalladas de los puntos débiles en cada aspecto de una estrategia de gestión de riesgos. La mayoría de nuestros clientes prevén que su perfil de riesgo aumente significativamente en los próximos dos años. Colaboramos con las organizaciones para gestionar su perfil de riesgo en expansión a través de nuestra potente plataforma de gestión integrada de riesgos. Para descubrir cómo las organizaciones que utilizan un enfoque de seguridad en malla están superando a la competencia incluso en tiempos de perturbaciones, lee nuestro informe técnico «El estado de la gestión integrada de riesgos».
[1] https://www.bloomberg.com/news/articles/2021-06-04/hackers-breached-colonial-pipeline-using-compromised-password
