La gestión de riesgos cibernéticos es un enfoque proactivo de seguridad que se centra en la predicción y mitigación de riesgos a través de toda la superficie de ataque.
La gestión de riesgos cibernéticos es una forma de mejorar la conciencia situacional de ciberseguridad de una empresa, identificando, priorizando y mitigando amenazas. Attack surface management (ASM) es un elemento esencial de la gestión de riesgos cibernéticos.
La gestión de riesgos cibernéticos puede componerse de cuatro partes:
- Identificación de riesgos: Conocer y entender la infraestructura de TI de su organización, saber dónde están las debilidades e identificar las amenazas.
- Evaluación de riesgos: Evaluar la posibilidad de que las vulnerabilidades de su organización se vean explotadas y evaluar el impacto que podría surgir de un posible compromiso.
- Mitigación de riesgos: Implementar medidas, como controles técnicos, administrativos y físicos para reducir el impacto de las amenazas. Además de esto, educar a su organización sobre mejores prácticas de ciberseguridad y establecer guías para las operaciones de seguridad y la respuesta a incidentes será clave para crear resiliencia.
- Monitoreo de riesgos: Observar y evaluar el panorama de riesgos por medio de evaluaciones regulares, el monitoreo de controles y la respuesta a incidentes para identificar nuevas amenazas y evaluar la efectividad de las medidas de mitigación.
La gestión de riesgos cibernéticos cubre las mismas tres fases que la gestión de la superficie de ataque: descubrimiento, evaluación y mitigación. La fase de evaluación incluye puntuaciones de riesgo de forma que la organización pueda obtener una línea base de su perfil de riesgo y monitorearlo con el tiempo.
¿Qué son los riesgos cibernéticos?
El National Institute of Standards and Technology (NIST) define los riesgos cibernéticos de dos formas distintas pero relacionadas:
- “El riesgo de depender de recursos cibernéticos (es decir, el riesgo de depender de un sistema o elementos de un sistema que existen en o que intermitentemente tienen una presencia en el ciberespacio).”
- “El riesgo de pérdidas financieras, disrupción operativa o daños resultantes de la falla de las tecnologías digitales empleadas para funciones informativas y/u operativas que han sido introducidas a un sistema de manufactura por medios electrónicos como resultado del acceso, uso, revelación, disrupción, modificación o destrucción no autorizados del sistema de manufactura.”
Ambas definiciones aplican a la necesidad de las organizaciones de adoptar e implementar un framework proactivo de gestión de riesgos cibernéticos.
¿Por qué es importante la gestión de riesgos cibernéticos?
La expansión de la superficie de ataque significa que la organizaciones enfrentan más riesgos cibernéticos que nunca. La escala y la complejidad del ambiente de amenazas ha mantenido a los equipos de seguridad en un enfoque reactivo por años, con la capacidad, visibilidad e insights reducidos para mantenerse un paso adelante de las amenazas y evitar que sucedan las brechas.
Como parte de un enfoque general para la gestión de la superficie de ataque, la gestión de riesgos cibernéticos le brinda al personal de seguridad una vista integral de los riesgos que enfrenta su organización. Un buen framework de gestión de riesgos cibernéticos también ayuda a determinar cuáles son los riesgos más relevantes, soportando una toma de decisiones informada por riesgos para reducir la exposición ante las amenazas.
Con los insights que obtienen, los equipos de seguridad pueden fortalecer sus defensas, minimizar las vulnerabilidades e informar la gestión del riesgo en general en la organización y sus procesos de planeación estratégica.
¿Cuáles son las implicaciones legales o regulatorias de los riesgos cibernéticos?
Las organizaciones que no puedan gestionar sus riesgos cibernéticos de forma efectiva podrían enfrentar multas o acción legal, incluyendo procesos criminales. Muchas leyes y regulaciones incluyen requerimientos para reportar brechas de datos de forma puntual, y para asegurar la privacidad y la seguridad del personal y la información sensible. La General Data Protection Regulation (GDPR) de la Unión Europea y la Health Insurance Portability and Accountability Act (HIPAA) de los Estados Unidos son algunos de los frameworks más prominentes.
Más allá de las penalizaciones, las organizaciones que no gestionan adecuadamente su riesgo cibernético y sufren una brecha o una pérdida también podrían perder la confianza de sus clientes, partners y empleados, y ver su reputación afectada.
Dada la severidad de las posibles consecuencias, muchas mesas directivas empresariales están interesándose cada vez más en la gestión del riesgo cibernético de sus empresas. De hecho, muchos directores están rindiendo cuentas por el desempeño de su ciberseguridad.
¿Cómo funciona la gestión de riesgos cibernéticos?
La gestión de riesgos cibernéticos se trata de adoptar un enfoque estratégico para la seguridad que se adapte a las necesidades de la organización y que promueva una fuerte postura de cumplimiento. Se compone de 6 elementos principales o áreas de actividad: Estos son:
- Identificación y clasificación basados en riesgos de activos : Obtener una visibilidad completa de la superficie entera de ataque de forma que todos los activos e información son conocidos y pueden protegerse contra un ciberataque.
- Análisis basado en riesgo de vulnerabilidades: Escanear los activos y probar las vulnerabilidades de forma regular, enfocándose en las vulnerabilidades que representan los mayores riesgos.
- Evaluación basada en riesgos de amenazas: Analizar los riesgos con el conocimiento del cambiante panorama de amenazas y determinar cuáles son las amenazas que son potencialmente más peligrosas para los activos críticos de la organización.
- Priorización de riesgos: Comprender qué riesgos son los más urgentes y potencialmente dañinos para informar las decisiones y las inversiones directas en ciberseguridad.
- Controles zero trust basados en riesgo: Adoptar frameworks y arquitecturas de zero-trust para reducir la superficie de ataque en general y limitar el riesgo.
- Monitoreo y mejora continua: Centralizar la visibilidad a lo largo de la superficie de ataque para habilitar la gestión continua de riesgos y su adaptación al cambiante panorama de amenazas.
¿Qué es un framework de gestión de riesgos cibernéticos?
Un framework de gestión de riesgos cibernéticos le brinda a las organizaciones una forma estructurada de proactivamente identificar, evaluar y mitigar los riesgos de ciberseguridad. Involucra las políticas y los procedimientos que requiere una plataforma empresarial de ciberseguridad.
NIST (National Institute of Standards and Technology) ha compartido públicamente su framework de ciberseguridad para que sirva de modelo para otras organizaciones. El framework de NIST está enfocado en resultados, ayudando a las organizaciones a determinar qué es lo que quieren lograr específicamente con la gestión del ciberriesgo, en lugar de dictar cómo se debería de gestionar el riesgo.
El framework de NIST permite que las organizaciones comprendan y evalúen su estatus actual de seguridad, prioricen los riesgos y las acciones que deben tomar, y establezcan canales de comunicación para las actividades de ciberseguridad, tanto de forma interna como externa.
¿Cómo se puede implementar la gestión de riesgos cibernéticos?
Los organismos públicos en muchos países han recomendado ciertos enfoques para la implementación de frameworks de gestión del riesgo cibernético. El Centro Nacional de Seguridad Cibernética del Reino Unido, por ejemplo, propone un método de ocho pasos:
- Establecer contexto organizacional
- Identificar a los tomadores de decisión, los procesos de gobernanza y las restricciones aplicables
- Definir los desafíos que representan los riesgos de ciberseguridad
- Seleccionar un enfoque
- Comprender los riesgos y cómo gestionarlos
- Comunicar y consultar
- Implementar y asegurar
- Monitorear y evaluar
El modelo del Reino Unido subraya la importancia de comprender no solamente la superficie de ataque y el panorama de amenazas, pero también el contexto único y las condiciones de la misma organización. Esto incluye el enfoque del negocio, los valores de la organización, las partes interesadas clave y los riesgos específicos. Por ejemplo, una empresa en el sector financiero tendrá requerimientos para la prevención de fraude y de lavado de dinero que no tendría una empresa de manufactura. Pero, en su lugar, una empresa de manufactura necesitaría gestionar los riesgos cibernéticos alrededor de su cadena de suministro.
Crear un framework común de gestión de riesgos cibernéticos y visualizar en un solo lugar el ambiente entero de riesgos (la superficie de ataque) es crucial para implementar un framework de gestión de riesgos cibernéticos. Ambos dependen de un par de capacidades clave. Una, como se mencionó arriba, es adoptar un enfoque zero trust para la ciberseguridad. El otro es desplegar tecnología de detección y respuesta extendidas (XDR) para recopilar y analizar la información de la superficie de ataque.
Adoptar una plataforma de ciberseguridad puede apoyar el cambio hacia zero trust. Una plataforma completa también incluirá operaciones de seguridad como XDR, brindando así los requisitos esenciales para la gestión de riesgos cibernéticos.
¿Cómo se ajusta la gestión de la superficie de ataque con la gestión de los riesgos cibernéticos?
Attack Surface Management (ASM) es un aspecto clave de la gestión en general de los riesgos cibernéticos. Como su nombre lo sugiere, la gestión de la superficie de ataque se enfoca específicamente en la superficie de ataque: el conjunto total de vulnerabilidades, puntos de acceso y vectores de ataque que podrían explotarse para obtener acceso no autorizado a los sistemas a información de una organización.
ASM se enfoca en descubrir, evaluar y mitigar los riesgos relacionados con la superficie de ataque, idealmente de forma continua.
La fase de descubrimiento se trata de definir la superficie de ataque y todos los activos que la componen. Esto requiere de una solución de gestión de la superficie de ataque que sea capaz de escanear el ambiente de TI para identificar todos los dispositivos, software, sistemas y puntos de acceso conocidos y desconocidos. El descubrimiento también busca identificar aplicacione de shadow IT, tecnologías de terceros conectadas y tecnologías que no formaban parte de inventarios anteriores.
La evaluación es el proceso de determinar la urgencia y la severidad potencial de los riesgos asociados con todos los activos que fueron descubiertos. Esto involucra cuantificar los riesgos y asignar puntuaciones a los riesgos , las cuales son formas de priorizar las vulnerabilidades y los riesgos de forma objetiva.
La mitigación se trata de actuar para lidiar con las vulnerabilidades que han sido descubiertas. Esto podría significar actualizar software o instalar parches, configurar controles y hardware específicos de seguridad, o implementar frameworks de protección como el zero trust. También podría significar deshacerse de software y sistemas viejos.
¿Dónde puedo conseguir ayuda con la gestión de riesgos cibernéticos?
Trend Micro Research creó el Cyber Risk Index (CRI) junto con el Ponemon Institute para investigar los riesgos cibernéticos e identificar áreas clave para mejorar la ciberseguridad. Actualizado constantemente, el CRI mide la brecha entre la postura de seguridad actual de la organización y la probabilidad de que se vea atacada. Use la calculadora de CRI ubicada aquí para determinar la puntuación de riesgo de su organización.
Trend Vision One™ ofrece una solución de Cyber Risk Exposure Management (CREM) que asegura que las organizaciones puedan ir más allá de solamente ASM para reducir su riesgo. CREM tiene un enfoque revolucionario que combina capacidades clave como External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), gestión de vulnerabilidades y gestión de la postura de seguridad a través de nubes, datos, identidades, APIs, IA, cumplimiento y aplicaciones SaaS en una solución poderosa, pero fácil de usar. No se trata solamente de la gestión de amenazas, se trata de crear una verdadera resiliencia cibernética.
Conozca cómo Cyber Risk Exposure Management puede ayudarle a identificar, priorizar y mitigar las amenazas.