2391
ediciones
Diferencia entre revisiones de «Gestión de Riesgos»
sin resumen de edición
(Página creada con «Categoría:Conceptos de seguridad = Gestión de Riesgos = La '''Gestión de Riesgos''' (del inglés ''Risk Management'') es el proceso continuo de identificar, evaluar, priorizar y mitigar los riesgos que podrían afectar a los activos, operaciones u objetivos de una organización. En ciberseguridad, la gestión de riesgos ayuda a responder preguntas clave: * ¿Qué podría salir mal? * ¿Qué probabilidad hay de que ocurra? * ¿Qué impacto tendría? * ¿Qué…») |
Sin resumen de edición |
||
| Línea 1: | Línea 1: | ||
[[Categoría:Conceptos de seguridad]] | [[Categoría:Conceptos de seguridad]] | ||
= Gestión de Riesgos = | = Gestión de Riesgos = | ||
| Línea 21: | Línea 20: | ||
=== Fórmula del riesgo === | === Fórmula del riesgo === | ||
RIESGO = PROBABILIDAD × IMPACTO | |||
Un riesgo alto significa que hay una alta probabilidad de que ocurra un evento con un impacto severo. | |||
== El ciclo de Gestión de Riesgos == | |||
La gestión de riesgos es un proceso continuo que consta de varias fases: | |||
=== Fase 1: Identificación de riesgos === | |||
El primer paso es identificar todos los riesgos potenciales que podrían afectar a la organización. | |||
==== Actividades ==== | |||
* Inventariar activos (¿qué tenemos y qué valor tiene?). | |||
* Identificar amenazas (¿qué podría pasar?). | |||
* Identificar vulnerabilidades (¿qué debilidades tenemos?). | |||
* Consultar bases de datos de amenazas (ej: CVE, informes de ENISA, etc.). | |||
* Realizar entrevistas con personal clave. | |||
==== Ejemplo ==== | |||
Identificar que el servidor de correo electrónico no tiene MFA, lo que lo hace vulnerable a ataques de phishing y robo de credenciales. | |||
--- | |||
=== Fase 2: Evaluación y análisis de riesgos === | |||
Una vez identificados, se evalúa la probabilidad y el impacto de cada riesgo. | |||
==== Métodos de evaluación ==== | |||
* '''Cuantitativa''': Asignar valores numéricos (ej: pérdida monetaria esperada). | |||
* Ejemplo: Un ataque de ransomware podría costar 500.000 € entre rescate, recuperación y pérdida de negocio. | |||
* '''Cualitativa''': Asignar niveles (ej: Alto, Medio, Bajo). | |||
* Ejemplo: Probabilidad = Alta, Impacto = Crítico → Riesgo = Extremo. | |||
==== Matriz de riesgos ==== | |||
| Probabilidad \ Impacto | Bajo | Medio | Alto | | |||
|------------------------|------|-------|------| | |||
| **Alta** | Moderado | **Alto** | **Crítico** | | |||
| **Media** | Bajo | Moderado | **Alto** | | |||
| **Baja** | Muy Bajo | Bajo | Moderado | | |||
Los riesgos en la zona **Crítica** deben atenderse de inmediato. | |||
==== Ejemplo ==== | |||
Un sistema de pagos sin parchear: | |||
* Probabilidad: Alta (hay exploits públicos). | |||
* Impacto: Crítico (pérdida de datos financieros). | |||
* Resultado: Riesgo '''CRÍTICO''' → debe corregirse en < 24 horas. | |||
--- | |||
=== Fase 3: Tratamiento de riesgos === | |||
Decidir qué hacer con cada riesgo. Hay cuatro opciones principales: | |||
==== 1. Mitigar (Reducir) ==== | |||
Implementar controles para reducir la probabilidad o el impacto. | |||
* Ejemplo: Aplicar parches, implementar MFA, instalar firewalls. | |||
* Relacionado con: [[Control de Seguridad]], [[Defensa en profundidad]]. | |||
==== 2. Transferir (Compartir) ==== | |||
Trasladar el riesgo a un tercero. | |||
* Ejemplo: Contratar un seguro de ciberseguridad, externalizar la seguridad a un proveedor. | |||
* Ejemplo: Usar servicios en la nube que asumen parte de la responsabilidad. | |||
==== 3. Aceptar (Retener) ==== | |||
Decidir conscientemente asumir el riesgo porque el costo de mitigarlo es mayor que el riesgo mismo. | |||
* Ejemplo: Aceptar el riesgo de que un sistema obsoleto sea comprometido porque reemplazarlo costaría 1M€ y el riesgo estimado es de 100.000€. | |||
==== 4. Evitar ==== | |||
Eliminar la actividad o sistema que genera el riesgo. | |||
* Ejemplo: Desconectar de Internet un sistema que no necesita estar conectado. | |||
--- | |||
=== Fase 4: Monitoreo y revisión === | |||
Los riesgos no son estáticos. Cambian con el tiempo, por lo que hay que monitorearlos continuamente. | |||
==== Actividades ==== | |||
* Revisar periódicamente la matriz de riesgos. | |||
* Actualizar la evaluación cuando cambie el entorno. | |||
* Monitorear la efectividad de los controles implementados. | |||
* Reportar a la dirección el estado de los riesgos. | |||
==== Ejemplo ==== | |||
Una vez aplicados los parches y el MFA, el riesgo del servidor de correo baja de "Crítico" a "Moderado". Se revisa trimestralmente. | |||
--- | |||
== Marcos de referencia para la Gestión de Riesgos == | |||
Existen varios estándares y marcos que guían la gestión de riesgos: | |||
* '''ISO 31000''': Estándar internacional de gestión de riesgos (aplica a cualquier industria). | |||
* '''NIST SP 800-30''': Guía para la gestión de riesgos en sistemas de información. | |||
* '''ISO/IEC 27005''': Guía específica para la gestión de riesgos en seguridad de la información. | |||
* '''FAIR (Factor Analysis of Information Risk)''': Modelo cuantitativo para analizar riesgos. | |||
* **COSO (Committee of Sponsoring Organizations)**: Marco para gestión de riesgos empresariales. | |||
--- | |||
== Herramientas para la Gestión de Riesgos == | |||
* '''Hojas de cálculo''': Para organizaciones pequeñas (ej: Excel, Google Sheets). | |||
* '''Herramientas GRC''': Soluciones como RSA Archer, ServiceNow GRC, SAP GRC. | |||
* '''Plataformas de gestión de riesgos''': RiskWatch, Resolver, StandardFusion. | |||
* '''Escáneres de vulnerabilidades''': Nessus, Qualys (ayudan a identificar riesgos técnicos). | |||
--- | |||
== Ejemplo práctico == | |||
'''Escenario:''' Una PYME tiene un sitio web de comercio electrónico donde se almacenan datos de tarjetas de crédito. | |||
1. **Identificación**: El sistema está desactualizado y no tiene MFA. | |||
2. **Evaluación**: Probabilidad = Alta (hay exploits conocidos). Impacto = Crítico (multas por PCI-DSS, pérdida de clientes). | |||
3. **Tratamiento**: Se decide '''mitigar''' aplicando parches de seguridad, implementando MFA para el acceso administrativo y contratando un seguro de ciberseguridad ('''transferir''' parte del riesgo). | |||
4. **Monitoreo**: Se revisa mensualmente el estado de los parches y los logs de acceso. | |||
'''Resultado:''' El riesgo se reduce de "Crítico" a "Moderado", y la organización está mejor protegida. | |||
--- | |||
== Relación con otros conceptos == | |||
* '''[[Gestión de Vulnerabilidades]]''': Es una parte del proceso de gestión de riesgos (identificar y corregir vulnerabilidades). | |||
* '''[[Control de Seguridad]]''': Los controles son las herramientas para mitigar riesgos. | |||
* '''[[Defensa en profundidad]]''': Una estrategia para mitigar riesgos mediante múltiples capas. | |||
* '''[[Tríada CIA]]''': Los riesgos se evalúan en función de su impacto sobre la confidencialidad, integridad y disponibilidad. | |||
* '''[[Zero Trust]]''': Un modelo que reduce riesgos al eliminar la confianza implícita. | |||
* '''[[Superficie de Ataque]]''': Reducir la superficie de ataque es una forma de mitigar riesgos. | |||
--- | |||
## Véase también | |||
* [[Gestión de Vulnerabilidades]] | |||
* [[Control de Seguridad]] | |||
* [[Defensa en profundidad]] | |||
* [[Tríada CIA]] | |||
* [[Zero Trust]] | |||
* [[Superficie de Ataque]] | |||
* [[Factor Humano]] | |||
* [[ISO 27001]] | |||
* [[NIST CSF]] | |||
---- | |||
''Esta página forma parte de la [[:Categoría:Conceptos de seguridad]].'' | |||