Gestión de Riesgos

La Gestión de Riesgos (del inglés Risk Management) es el proceso continuo de identificar, evaluar, priorizar y mitigar los riesgos que podrían afectar a los activos, operaciones u objetivos de una organización.

En ciberseguridad, la gestión de riesgos ayuda a responder preguntas clave:

• ¿Qué podría salir mal?
• ¿Qué probabilidad hay de que ocurra?
• ¿Qué impacto tendría?
• ¿Qué podemos hacer para prevenirlo o minimizarlo?

¿Qué es un riesgo?

Para entender la gestión de riesgos, primero debemos definir claramente los conceptos clave:

• Activo: Cualquier cosa que tenga valor para la organización (datos, sistemas, personas, reputación, etc.).
• Amenaza: Un evento o agente que puede causar daño (ej: un hacker, un malware, un desastre natural). Ver Categoría:Amenazas y Ataques.
• Vulnerabilidad: Una debilidad en un activo que puede ser explotada por una amenaza (ej: un sistema sin parchear, una contraseña débil). Ver Gestión de Vulnerabilidades.
• Riesgo: La combinación de la probabilidad de que una amenaza explote una vulnerabilidad y el impacto que tendría en la organización.

Fórmula del riesgo

RIESGO = PROBABILIDAD × IMPACTO

Un riesgo alto significa que hay una alta probabilidad de que ocurra un evento con un impacto severo.

El ciclo de Gestión de Riesgos

La gestión de riesgos es un proceso continuo que consta de varias fases:

Fase 1: Identificación de riesgos

El primer paso es identificar todos los riesgos potenciales que podrían afectar a la organización.

Actividades

• Inventariar activos (¿qué tenemos y qué valor tiene?).
• Identificar amenazas (¿qué podría pasar?).
• Identificar vulnerabilidades (¿qué debilidades tenemos?).
• Consultar bases de datos de amenazas (ej: CVE, informes de ENISA, etc.).
• Realizar entrevistas con personal clave.

Ejemplo

Identificar que el servidor de correo electrónico no tiene MFA, lo que lo hace vulnerable a ataques de phishing y robo de credenciales.

---

Fase 2: Evaluación y análisis de riesgos

Una vez identificados, se evalúa la probabilidad y el impacto de cada riesgo.

Métodos de evaluación

• Cuantitativa: Asignar valores numéricos (ej: pérdida monetaria esperada).

   * Ejemplo: Un ataque de ransomware podría costar 500.000 € entre rescate, recuperación y pérdida de negocio.

• Cualitativa: Asignar niveles (ej: Alto, Medio, Bajo).

   * Ejemplo: Probabilidad = Alta, Impacto = Crítico → Riesgo = Extremo.

Matriz de riesgos

La matriz de riesgos ayuda a visualizar y priorizar los riesgos según su probabilidad e impacto:

Matriz de Riesgos

Probabilidad \ Impacto	Bajo	Medio	Alto
Alta	Moderado	Alto	Crítico
Media	Bajo	Moderado	Alto
Baja	Muy Bajo	Bajo	Moderado

Los riesgos en la zona Crítica (esquina superior derecha) deben atenderse de inmediato. Los riesgos en zona Alta deben priorizarse rápidamente. Los riesgos en zona Moderada requieren atención planificada. Los riesgos en zona Baja pueden ser aceptados o monitoreados.

Los riesgos en la zona **Crítica** deben atenderse de inmediato.

Ejemplo

Un sistema de pagos sin parchear:

• Probabilidad: Alta (hay exploits públicos).
• Impacto: Crítico (pérdida de datos financieros).
• Resultado: Riesgo CRÍTICO → debe corregirse en < 24 horas.

---

Fase 3: Tratamiento de riesgos

Decidir qué hacer con cada riesgo. Hay cuatro opciones principales:

1. Mitigar (Reducir)

Implementar controles para reducir la probabilidad o el impacto.

• Ejemplo: Aplicar parches, implementar MFA, instalar firewalls.
• Relacionado con: Control de Seguridad, Defensa en profundidad.

2. Transferir (Compartir)

Trasladar el riesgo a un tercero.

• Ejemplo: Contratar un seguro de ciberseguridad, externalizar la seguridad a un proveedor.
• Ejemplo: Usar servicios en la nube que asumen parte de la responsabilidad.

3. Aceptar (Retener)

Decidir conscientemente asumir el riesgo porque el costo de mitigarlo es mayor que el riesgo mismo.

• Ejemplo: Aceptar el riesgo de que un sistema obsoleto sea comprometido porque reemplazarlo costaría 1M€ y el riesgo estimado es de 100.000€.

4. Evitar

Eliminar la actividad o sistema que genera el riesgo.

• Ejemplo: Desconectar de Internet un sistema que no necesita estar conectado.

---

Fase 4: Monitoreo y revisión

Los riesgos no son estáticos. Cambian con el tiempo, por lo que hay que monitorearlos continuamente.

Actividades

• Revisar periódicamente la matriz de riesgos.
• Actualizar la evaluación cuando cambie el entorno.
• Monitorear la efectividad de los controles implementados.
• Reportar a la dirección el estado de los riesgos.

Ejemplo

Una vez aplicados los parches y el MFA, el riesgo del servidor de correo baja de "Crítico" a "Moderado". Se revisa trimestralmente.

---

Marcos de referencia para la Gestión de Riesgos

Existen varios estándares y marcos que guían la gestión de riesgos:

• ISO 31000: Estándar internacional de gestión de riesgos (aplica a cualquier industria).
• NIST SP 800-30: Guía para la gestión de riesgos en sistemas de información.
• ISO/IEC 27005: Guía específica para la gestión de riesgos en seguridad de la información.
• FAIR (Factor Analysis of Information Risk): Modelo cuantitativo para analizar riesgos.
• **COSO (Committee of Sponsoring Organizations)**: Marco para gestión de riesgos empresariales.

---

Herramientas para la Gestión de Riesgos

• Hojas de cálculo: Para organizaciones pequeñas (ej: Excel, Google Sheets).
• Herramientas GRC: Soluciones como RSA Archer, ServiceNow GRC, SAP GRC.
• Plataformas de gestión de riesgos: RiskWatch, Resolver, StandardFusion.
• Escáneres de vulnerabilidades: Nessus, Qualys (ayudan a identificar riesgos técnicos).

---

Ejemplo práctico

Escenario: Una PYME tiene un sitio web de comercio electrónico donde se almacenan datos de tarjetas de crédito.

1. **Identificación**: El sistema está desactualizado y no tiene MFA. 2. **Evaluación**: Probabilidad = Alta (hay exploits conocidos). Impacto = Crítico (multas por PCI-DSS, pérdida de clientes). 3. **Tratamiento**: Se decide mitigar aplicando parches de seguridad, implementando MFA para el acceso administrativo y contratando un seguro de ciberseguridad (transferir parte del riesgo). 4. **Monitoreo**: Se revisa mensualmente el estado de los parches y los logs de acceso.

Resultado: El riesgo se reduce de "Crítico" a "Moderado", y la organización está mejor protegida.

---

Relación con otros conceptos

• Gestión de Vulnerabilidades: Es una parte del proceso de gestión de riesgos (identificar y corregir vulnerabilidades).
• Control de Seguridad: Los controles son las herramientas para mitigar riesgos.
• Defensa en profundidad: Una estrategia para mitigar riesgos mediante múltiples capas.
• Tríada CIA: Los riesgos se evalúan en función de su impacto sobre la confidencialidad, integridad y disponibilidad.
• Zero Trust: Un modelo que reduce riesgos al eliminar la confianza implícita.
• Superficie de Ataque: Reducir la superficie de ataque es una forma de mitigar riesgos.

---

1. 1. Véase también

• Gestión de Vulnerabilidades
• Control de Seguridad
• Defensa en profundidad
• Tríada CIA
• Zero Trust
• Superficie de Ataque
• Factor humano
• ISO 27001
• NIST CSF

---

Esta página forma parte de la Categoría:Conceptos de seguridad.