Qué es la gestión de riesgos y cómo se decide qué va primero

El proceso de gestión de riesgos, paso a paso

El proceso de gestión de riesgos es un ciclo, no un proyecto con fecha de término. La norma ISO 31000 lo describe en estas etapas, y sirve igual para una empresa mediana que para una grande:

Contexto y criterios

Qué se protege, qué es crítico para el negocio y cuánto riesgo está dispuesta a aceptar la empresa. Sin estos criterios, la evaluación posterior no tiene contra qué compararse.

Identificación

Qué podría pasar, por dónde y a qué. Es el momento de cruzar amenazas, vulnerabilidades y activos.

Análisis

Qué tan probable es cada escenario y cuánto costaría si ocurre.

Evaluación

Comparar cada riesgo con los criterios definidos al inicio para decidir cuáles se tratan y en qué orden.

Tratamiento

Mitigar, transferir, evitar o aceptar, con un dueño y un plazo para cada decisión.

Monitoreo y revisión

Verificar que los controles funcionan y volver a evaluar cuando cambia algo relevante.

A lo largo de todo el ciclo corren dos actividades más: comunicar y consultar, con la gerencia y con las áreas que conocen el impacto, y registrar y reportar, que es lo que convierte el proceso en evidencia.

La cadena: amenaza, vulnerabilidad, impacto

Un riesgo no es un hecho aislado, es el resultado de tres cosas que se combinan. Separarlas ayuda a discutirlo sin caer en generalidades.

Amenaza

Lo que podría ocurrir: un ransomware, un error humano, la filtración de una credencial, la caída de un proveedor. Existe independientemente de tu empresa.

Vulnerabilidad

La debilidad que permitiría que esa amenaza prospere: un sistema sin parchar, un acceso sin segundo factor, un respaldo que nadie ha probado restaurar.

Impacto

Lo que le costaría al negocio si ocurre. Se mide en dinero, en horas de operación detenida, en información comprometida y en daño reputacional o regulatorio.

Cómo se prioriza

La forma más usada de ordenar riesgos es cruzar dos variables: qué tan probable es que ocurra y cuánto dolería si ocurre. No es una ciencia exacta y no pretende serlo — su valor está en que obliga a una conversación explícita entre quien conoce la técnica y quien conoce el negocio.

Lo importante de este ejercicio no es la casilla en la que cae cada riesgo, sino que la gerencia pueda explicar por qué se está invirtiendo en una cosa antes que en otra. Una prioridad que no se puede justificar frente a un directorio no sobrevive al primer recorte de presupuesto.

Una vulnerabilidad no es lo mismo que un riesgo

Es la confusión más común. Un escáner puede entregar cientos de vulnerabilidades técnicas, pero una vulnerabilidad en un servidor de pruebas aislado y otra en el sistema que factura no son el mismo problema, aunque el escáner les asigne la misma severidad. El riesgo aparece recién cuando se le suma el contexto del negocio.

Conviene distinguir también dos cosas que suelen confundirse. La gestión de vulnerabilidades es un proceso continuo: descubrir activos, escanear, priorizar, remediar y verificar. Un pentest es una evaluación puntual que comprueba si ciertas vulnerabilidades son realmente explotables. Son complementarios: un pentest no reemplaza un programa de gestión de vulnerabilidades, y un programa sin pruebas ocasionales nunca se valida.

Tratar un riesgo no siempre significa eliminarlo

Hay cuatro decisiones posibles frente a un riesgo, y solo una implica gastar en un control. Se puede mitigar, es decir reducir su probabilidad o su impacto; transferir, por ejemplo mediante un seguro o una cláusula contractual; evitar, dejando de hacer la actividad que lo genera; o aceptar, cuando el costo de tratarlo supera al daño que causaría.

Aceptar un riesgo de forma consciente y documentada es una decisión legítima de gestión. Lo que no es aceptable es asumirlo sin saberlo, que es la situación en la que está la mayoría de las empresas que nunca hizo el ejercicio.

Marcos de referencia para la gestión de riesgos de información

No hace falta inventar el método. Tres marcos lo describen, y son los que citan auditores y clientes grandes:

ISO 31000

La norma general de gestión de riesgos para cualquier organización y cualquier tipo de riesgo. Es la base del ciclo descrito más arriba.

ISO/IEC 27005

Aplica ese mismo enfoque a la seguridad de la información. Es la guía que acompaña a ISO 27001 cuando una empresa tiene que evaluar y tratar sus riesgos para certificarse.

NIST CSF 2.0

Incluye la estrategia de gestión de riesgos dentro de su función Gobernar, como explica la guía de NIST CSF 2.0.

Cómo se conecta con la norma chilena

La gestión de riesgos dejó de ser solo buena práctica. La Ley 21.719 exige medidas técnicas y organizativas proporcionales al riesgo del tratamiento de datos personales, y esa palabra —proporcionales— obliga a haber evaluado el riesgo para poder justificar lo que se implementó y lo que no.

La Ley 21.663 va por el mismo camino desde la operación. Los Operadores de Importancia Vital deben implementar un sistema de gestión de seguridad de la información que determine los riesgos y evalúe su probabilidad e impacto (art. 8°, letra a), y todos los servicios esenciales deben reportar sus incidentes en plazos definidos (art. 9°). Un proveedor no tiene esas obligaciones por ley, pero se las trasladan por contrato. En todos los casos, la matriz de riesgos deja de ser un documento interno y pasa a ser evidencia frente a un tercero.

Preguntas frecuentes