¿Por qué es importante?

Como he indicado antes, la gestión de riesgos es quien establece la dirección estratégica en la gestión de seguridad de la información y ciberseguridad ya que permite:

• Desde los procesos, identificar los activos de información y ciberactivos y proteger estos de amenazas que puedan impactar de forma negativa la integridad, confidencialidad y/o disponibilidad de estos. 
• Permite orientar las inversiones financieras en función del impacto y probabilidad de ocurrencia de un riesgo haciendo la gestión y tratamiento de riesgos eficiente en términos de inversión y retorno.
• Provee de visibilidad respecto de real y actual panorama de amenazas a través de la identificación de riesgos y alinear estos con los objetivos de negocios, las necesidades y requerimientos de las partes interesadas y el cumplimiento legal y normativo aplicable.
• Finalmente, y no menor, permite la toma de decisiones informadas, estratégicas y alineadas a los objetivos y necesidades de negocio.

¿Qué metodología uso?

Siempre en términos de seguridad de la información y ciberseguridad y alineado a estándares nacionales e internacionales; Nos encontramos con tres frameworks posibles: ISO 310000, ISO 27005 y NIST RFM. Respecto de ISO 31.000 es un marco general de gestión de riesgos agnóstico y para todo tipo de riesgos y todo tipo de organización; Es así que ISO 27005, desde la base metodológica de ISO 31.000, se enfoca en la gestión de riesgos de seguridad de la información. Entonces, nos quedamos con dos metodologías posibles:

• ISO 27005: Enfocada en la gestión de riesgos de seguridad de la información. 
• NIST RMF: Enfocada en la gestión de riesgos de ciberseguridad.

¿Cómo la aplico?

Aplicamos ambas combinadas. ISO 27005 como marco de gestión general para riesgos de seguridad de la información y NIST RMF como marco específico para riesgos de ciberseguridad. En otras palabras; Empleamos ISO 27005 como marco de gobierno y NIST RMF de manera específica para riesgos operacionales de ciberseguridad. Así empleamos ambos framework estándares a nivel mundial en un marco de gestión único empleando los beneficios de ambas metodologías. 

¿Y si no aplico Gestión de Riesgos?

Hay dos caminos: 

1. No aplicas gestión de riesgos e inviertes recursos sin tener una visión estratégica ni alineación a los objetivos lo que se traduce en GASTO directamente; Esto implica que, aun invirtiendo, no estas protegiendo tu negocio adecuadamente.
2. No haces nada. Es necesario que internalices la ciberseguridad como una amenaza con capacidad de EXTERMINAR tu negocio, que cada vez aumenta y que se trata de un negocio millonario para los ciber delincuentes por lo que no hay indicios de que esto se termine pronto.

Tu decides.

Necesito ayuda.

Háblame ;) 

Hasta acá, este acercamiento a la gestión de riesgos. Profundizaremos hasta llegar a un caso práctico en los siguientes artículos. Estoy seguro de que te resultará de utilidad.

Como siempre, gracias por tu tiempo.

César Millavil A

COMPUNETGROUP CEO

C|EH - ISO27001LA – ISO27032LM