Diferencia entre revisiones de «Gestión de Riesgos»

← Edición anterior

Gestión de Riesgos (ver código)

Revisión del 21:15 20 ago 2026

6672 bytes añadidos , 20 agosto

sin resumen de edición

VisualWikitexto

Fernando.VH

2391

ediciones

@@ Línea 1: / Línea 1: @@
 [[Categoría:Conceptos de seguridad]]
-= Gestión de Riesgos =
 La '''Gestión de Riesgos''' (del inglés ''Risk Management'') es el proceso continuo de identificar, evaluar, priorizar y mitigar los riesgos que podrían afectar a los activos, operaciones u objetivos de una organización.
@@ Línea 21: / Línea 18: @@
 === Fórmula del riesgo ===
+RIESGO = PROBABILIDAD × IMPACTO
+Un riesgo alto significa que hay una alta probabilidad de que ocurra un evento con un impacto severo.
+== El ciclo de Gestión de Riesgos ==
+La gestión de riesgos es un proceso continuo que consta de varias fases:
+=== Fase 1: Identificación de riesgos ===
+El primer paso es identificar todos los riesgos potenciales que podrían afectar a la organización.
+==== Actividades ====
+* Inventariar activos (¿qué tenemos y qué valor tiene?).
+* Identificar amenazas (¿qué podría pasar?).
+* Identificar vulnerabilidades (¿qué debilidades tenemos?).
+* Consultar bases de datos de amenazas (ej: CVE, informes de ENISA, etc.).
+* Realizar entrevistas con personal clave.
+==== Ejemplo ====
+Identificar que el servidor de correo electrónico no tiene MFA, lo que lo hace vulnerable a ataques de phishing y robo de credenciales.
+---
+=== Fase 2: Evaluación y análisis de riesgos ===
+Una vez identificados, se evalúa la probabilidad y el impacto de cada riesgo.
+==== Métodos de evaluación ====
+* '''Cuantitativa''': Asignar valores numéricos (ej: pérdida monetaria esperada).
+    * Ejemplo: Un ataque de ransomware podría costar 500.000 € entre rescate, recuperación y pérdida de negocio.
+* '''Cualitativa''': Asignar niveles (ej: Alto, Medio, Bajo).
+    * Ejemplo: Probabilidad = Alta, Impacto = Crítico → Riesgo = Extremo.
+==== Matriz de riesgos ====
+La matriz de riesgos ayuda a visualizar y priorizar los riesgos según su probabilidad e impacto:
+{| class="wikitable" style="text-align: center;"
+|+ Matriz de Riesgos
+|-
+! Probabilidad \ Impacto !! Bajo !! Medio !! Alto
+|-
+| '''Alta''' || Moderado || '''Alto''' || '''Crítico'''
+|-
+| '''Media''' || Bajo || Moderado || '''Alto'''
+|-
+| '''Baja''' || Muy Bajo || Bajo || Moderado
+|}
+Los riesgos en la zona '''Crítica''' (esquina superior derecha) deben atenderse de inmediato.
+Los riesgos en zona '''Alta''' deben priorizarse rápidamente.
+Los riesgos en zona '''Moderada''' requieren atención planificada.
+Los riesgos en zona '''Baja''' pueden ser aceptados o monitoreados.
+Los riesgos en la zona **Crítica** deben atenderse de inmediato.
+==== Ejemplo ====
+Un sistema de pagos sin parchear:
+* Probabilidad: Alta (hay exploits públicos).
+* Impacto: Crítico (pérdida de datos financieros).
+* Resultado: Riesgo '''CRÍTICO''' → debe corregirse en < 24 horas.
+---
+=== Fase 3: Tratamiento de riesgos ===
+Decidir qué hacer con cada riesgo. Hay cuatro opciones principales:
+==== 1. Mitigar (Reducir) ====
+Implementar controles para reducir la probabilidad o el impacto.
+* Ejemplo: Aplicar parches, implementar MFA, instalar firewalls.
+* Relacionado con: [[Control de Seguridad]], [[Defensa en profundidad]].
+==== 2. Transferir (Compartir) ====
+Trasladar el riesgo a un tercero.
+* Ejemplo: Contratar un seguro de ciberseguridad, externalizar la seguridad a un proveedor.
+* Ejemplo: Usar servicios en la nube que asumen parte de la responsabilidad.
+==== 3. Aceptar (Retener) ====
+Decidir conscientemente asumir el riesgo porque el costo de mitigarlo es mayor que el riesgo mismo.
+* Ejemplo: Aceptar el riesgo de que un sistema obsoleto sea comprometido porque reemplazarlo costaría 1M€ y el riesgo estimado es de 100.000€.
+==== 4. Evitar ====
+Eliminar la actividad o sistema que genera el riesgo.
+* Ejemplo: Desconectar de Internet un sistema que no necesita estar conectado.
+---
+=== Fase 4: Monitoreo y revisión ===
+Los riesgos no son estáticos. Cambian con el tiempo, por lo que hay que monitorearlos continuamente.
+==== Actividades ====
+* Revisar periódicamente la matriz de riesgos.
+* Actualizar la evaluación cuando cambie el entorno.
+* Monitorear la efectividad de los controles implementados.
+* Reportar a la dirección el estado de los riesgos.
+==== Ejemplo ====
+Una vez aplicados los parches y el MFA, el riesgo del servidor de correo baja de "Crítico" a "Moderado". Se revisa trimestralmente.
+---
+== Marcos de referencia para la Gestión de Riesgos ==
+Existen varios estándares y marcos que guían la gestión de riesgos:
+* '''ISO 31000''': Estándar internacional de gestión de riesgos (aplica a cualquier industria).
+* '''NIST SP 800-30''': Guía para la gestión de riesgos en sistemas de información.
+* '''ISO/IEC 27005''': Guía específica para la gestión de riesgos en seguridad de la información.
+* '''FAIR (Factor Analysis of Information Risk)''': Modelo cuantitativo para analizar riesgos.
+* **COSO (Committee of Sponsoring Organizations)**: Marco para gestión de riesgos empresariales.
+---
+== Herramientas para la Gestión de Riesgos ==
+* '''Hojas de cálculo''': Para organizaciones pequeñas (ej: Excel, Google Sheets).
+* '''Herramientas GRC''': Soluciones como RSA Archer, ServiceNow GRC, SAP GRC.
+* '''Plataformas de gestión de riesgos''': RiskWatch, Resolver, StandardFusion.
+* '''Escáneres de vulnerabilidades''': Nessus, Qualys (ayudan a identificar riesgos técnicos).
+---
+== Ejemplo práctico ==
+'''Escenario:''' Una PYME tiene un sitio web de comercio electrónico donde se almacenan datos de tarjetas de crédito.
+. **Identificación**: El sistema está desactualizado y no tiene MFA.
+. **Evaluación**: Probabilidad = Alta (hay exploits conocidos). Impacto = Crítico (multas por PCI-DSS, pérdida de clientes).
+. **Tratamiento**: Se decide '''mitigar''' aplicando parches de seguridad, implementando MFA para el acceso administrativo y contratando un seguro de ciberseguridad ('''transferir''' parte del riesgo).
+. **Monitoreo**: Se revisa mensualmente el estado de los parches y los logs de acceso.
+'''Resultado:''' El riesgo se reduce de "Crítico" a "Moderado", y la organización está mejor protegida.
+---
+== Relación con otros conceptos ==
+* '''[[Gestión de Vulnerabilidades]]''': Es una parte del proceso de gestión de riesgos (identificar y corregir vulnerabilidades).
+* '''[[Control de Seguridad]]''': Los controles son las herramientas para mitigar riesgos.
+* '''[[Defensa en profundidad]]''': Una estrategia para mitigar riesgos mediante múltiples capas.
+* '''[[Tríada CIA]]''': Los riesgos se evalúan en función de su impacto sobre la confidencialidad, integridad y disponibilidad.
+* '''[[Zero Trust]]''': Un modelo que reduce riesgos al eliminar la confianza implícita.
+* '''[[Superficie de Ataque]]''': Reducir la superficie de ataque es una forma de mitigar riesgos.
+---
+## Véase también
+* [[Gestión de Vulnerabilidades]]
+* [[Control de Seguridad]]
+* [[Defensa en profundidad]]
+* [[Tríada CIA]]
+* [[Zero Trust]]
+* [[Superficie de Ataque]]
+* [[Factor humano]]
+* [[ISO 27001]]
+* [[NIST CSF]]
+----
+''Esta página forma parte de la [[:Categoría:Conceptos de seguridad]].''