Qué es la gestión de riesgos y cómo se decide qué va primero

La gestión de riesgos es el proceso de identificar, evaluar, tratar y monitorear aquello que puede afectar a la organización. En ciberseguridad tiene una particularidad: casi siempre hay más riesgos identificados que capacidad para tratarlos, así que el valor del proceso no está en la lista, está en el orden.

Por eso la pregunta que suele hacerse al principio —¿podemos eliminar todos los riesgos?— lleva a un callejón sin salida. No se puede, y perseguirlo consume presupuesto sin reducir la exposición donde de verdad importa. La pregunta útil es cuáles tratar primero.

La cadena: amenaza, vulnerabilidad, impacto

Un riesgo no es un hecho aislado, es el resultado de tres cosas que se combinan. Separarlas ayuda a discutirlo sin caer en generalidades.

Amenaza

Lo que podría ocurrir: un ransomware, un error humano, la filtración de una credencial, la caída de un proveedor. Existe independientemente de tu empresa.

Vulnerabilidad

La debilidad que permitiría que esa amenaza prospere: un sistema sin parchar, un acceso sin segundo factor, un respaldo que nadie ha probado restaurar.

Impacto

Lo que le costaría al negocio si ocurre. Se mide en dinero, en horas de operación detenida, en información comprometida y en daño reputacional o regulatorio.

Cómo se prioriza

La forma más usada de ordenar riesgos es cruzar dos variables: qué tan probable es que ocurra y cuánto dolería si ocurre. No es una ciencia exacta y no pretende serlo — su valor está en que obliga a una conversación explícita entre quien conoce la técnica y quien conoce el negocio.

Lo importante de este ejercicio no es la casilla en la que cae cada riesgo, sino que la gerencia pueda explicar por qué se está invirtiendo en una cosa antes que en otra. Una prioridad que no se puede justificar frente a un directorio no sobrevive al primer recorte de presupuesto.

Una vulnerabilidad no es lo mismo que un riesgo

Es la confusión más común. Un escáner puede entregar cientos de vulnerabilidades técnicas, pero una vulnerabilidad en un servidor de pruebas aislado y otra en el sistema que factura no son el mismo problema, aunque el escáner les asigne la misma severidad. El riesgo aparece recién cuando se le suma el contexto del negocio.

Conviene distinguir también dos cosas que suelen confundirse. La gestión de vulnerabilidades es un proceso continuo: descubrir activos, escanear, priorizar, remediar y verificar. Un pentest es una evaluación puntual que comprueba si ciertas vulnerabilidades son realmente explotables. Son complementarios: un pentest no reemplaza un programa de gestión de vulnerabilidades, y un programa sin pruebas ocasionales nunca se valida.

Tratar un riesgo no siempre significa eliminarlo

Hay cuatro decisiones posibles frente a un riesgo, y solo una implica gastar en un control. Se puede mitigar, es decir reducir su probabilidad o su impacto; transferir, por ejemplo mediante un seguro o una cláusula contractual; evitar, dejando de hacer la actividad que lo genera; o aceptar, cuando el costo de tratarlo supera al daño que causaría.

Aceptar un riesgo de forma consciente y documentada es una decisión legítima de gestión. Lo que no es aceptable es asumirlo sin saberlo, que es la situación en la que está la mayoría de las empresas que nunca hizo el ejercicio.

Cómo se conecta con la norma chilena

La gestión de riesgos dejó de ser solo buena práctica. La Ley 21.719 exige medidas técnicas y organizativas proporcionales al riesgo del tratamiento de datos personales, y esa palabra —proporcionales— obliga a haber evaluado el riesgo para poder justificar lo que se implementó y lo que no.

La Ley 21.663 va por el mismo camino desde la operación: quien califica como Operador de Importancia Vital, o provee a uno, debe demostrar que gestiona sus riesgos y que puede reportar incidentes en los plazos definidos. En ambos casos, la matriz de riesgos deja de ser un documento interno y pasa a ser evidencia frente a un tercero.

Preguntas frecuentes

¿Cada cuánto hay que revisar la matriz de riesgos?

Al menos una vez al año, y siempre que cambie algo relevante: un sistema nuevo, un proveedor crítico, una obligación regulatoria, una fusión o un incidente. Una matriz que no se revisa deja de describir a la empresa en pocos meses y se convierte en un documento de archivo.

¿Se puede hacer sin herramientas caras?

Sí. Las primeras iteraciones de una matriz de riesgos se hacen con entrevistas y una planilla. Las herramientas ayudan cuando el volumen crece y hay que sostener el seguimiento en el tiempo, pero comprar la herramienta antes de tener el proceso es una de las formas más comunes de gastar mal.

¿Quién debería participar?

No solo TI. Un riesgo se evalúa por su impacto en el negocio, y esa parte la conocen operaciones, finanzas y gerencia. El aporte técnico es indispensable para estimar probabilidad y vulnerabilidad, pero una matriz construida únicamente por el área técnica tiende a sobrevalorar lo técnico y subestimar lo operacional.