Gestión de Riesgos en TI: Frameworks, estrategias y mejores prácticas

Definición de gestión de riesgos

NIST define la Gestión de Riesgos (o IT Risk Management) como el proceso de identificar riesgos, evaluarlos y tomar medidas para reducirlos a un nivel aceptable. Dentro de esta gestión, un primer paso es la evaluación de riesgos para identificar y determinar el alcance de la amenaza potencial, para luego analizar las vulnerabilidades y el riesgo asociado con un sistema de TI. Con base en este análisis se emprenden acciones como definir y priorizar los controles necesarios y el plan de respuesta estructurado (qué, quién y cómo responder y/o escalar incidentes) para reducir los riesgos durante el proceso de mitigación de riesgos. Se requiere también la constante monitorización, análisis y valoración, incluyendo actualizaciones permanentes y los cambios en las políticas de seguridad. Se emprenden los controles permanentes para optimizar la seguridad.

Diagrama de un buen proceso de gestión de riesgos

Existen diferentes tipos de riesgos empresariales como:

• Financieros: Aquéllos que se relacionan con pérdidas monetarias, tales como fraudes, transferencias no autorizadas.
• Operacionales: Aquéllos relacionados con errores en los procesos internos, tales como los errores humanos o la interrupción de servicios por desastres naturales.
• Regulatorios: Se refieren a los que se vinculan con sanciones y penalizaciones por incumplimiento de normativas o requerimientos regulatorios.
• Estratégicos: Están vinculados a las decisiones de negocio y planificación a largo plazo, tales como nuevos mercados o competidores, incluso con cambios organizacionales.
• De TI: Aquellos relacionados con posibles amenazas y vulnerabilidades dentro de la infraestructura de la tecnología de información (TI) y los procesos del negocio que se ven soportados por la tecnología.

Metodologías para la Gestión de Riesgos en TI

Para identificar, evaluar y mitigar riesgos en entornos IT existen metodologías, tales comoSIEM (o gestión de eventos e información de seguridad), que es el proceso de identificación, monitorización, registro y análisis de eventos o incidentes de seguridad dentro de un entorno de TI en tiempo real, con una visión integral y centralizada del escenario de seguridad de una infraestructura de TI. También ITSM (o Gestión de Servicios de TI) contribuye con la supervisión de todos los asuntos relacionados con las operaciones y recursos de TI dentro de una organización para asegurar su funcionamiento y las acciones necesarias en caso de algún incidente. Aunque SIEM e ITSM son distintos, se complementan entre sí.

Diferencias entre SIEM e ITSM

Como puedes ver, SIEM se aplica a la monitorización en tiempo real y la correlación de eventos de seguridad, en tanto que ITSM es esencial para la gestión de incidentes, asegurando que los riesgos detectados se gestionen de manera eficaz y automatizada. Al combinar SIEM e ITSM se logra una gestión integral de la seguridad de la tecnología de información.

Frameworks y modelos para la gestión de riesgos

Actualmente, existen prácticas y metodologías que son más utilizadas en la industria de TI para la gestión de riesgos, que te describimos aquí brevemente:

• ISO 31000: Es un estándar global de gestión de riesgos, que proporciona principios y directrices para la gestión de riesgos y el proceso implementado a nivel estratégico y operativo. Es aplicable en empresas públicas o privadas, comunidades, asociaciones, grupos o individuos. Se le considera un marco de referencia para integrar, diseñar, implementar, valorar y mejorar la gestión del riesgo a lo largo de toda la organización.
• NIST Risk Management Framework: Proporciona un proceso que integra las actividades de gestión de riesgos de seguridad, privacidad y ciberseguridad en la cadena de suministro en el ciclo de vida del desarrollo del sistema. La selección y especificación de controles de seguridad considera la eficacia, la eficiencia y las limitaciones debidas a leyes, directivas, órdenes ejecutivas, políticas, normas o regulaciones aplicables.
• COBIT (Control Objectives for Information and Related Technologies): Es un marco para la gobernanza y la gestión de TI para desarrollar, implementar y monitorizar políticas y procedimientos de TI. Incluye procesos (actividades estructuradas para un objetivo específico), estructuras organizativas (con roles y responsabilidades en la organización), políticas y procedimientos que rigen el comportamiento y las acciones, flujos de información para el manejo y distribución de la información, la cultura (valores de la organización) y las habilidades e infraestructura donde llevar a cabo las actividades.
• FAIR Model: Es una metodología estándar para comprender, analizar y cuantificar el riesgo cibernético y el riesgo operativo en términos financieros. Es complementaria a los marcos de riesgo existentes y proporciona un lenguaje común y un modelo de riesgo escalable para las organizaciones.

Estrategias de mitigación de riesgos en TI

Para abordar y reducir los riesgos en IT, te recomendamos estas estrategias:

• Evitación de riesgos: Estrategias para prevenir amenazas antes de que ocurran; es decir, eliminar la exposición a riesgos. Si una actividad o inversión es un riesgo potencial, se debe optar por no llevarla a cabo. Aunque este acercamiento es conservador, puede ser la que impida poner en riesgo a la organización.
• Reducción de amenazas: Implementación de controles para minimizar el impacto de los riesgos. Hace referencia a un plan de gestión de riesgos y la ejecución de acciones encaminadas a disminuir la probabilidad de amenazas o su posible impacto.
• Transferencia de riesgos: Externalización de riesgos mediante seguros o acuerdos con terceros. Se considera un enfoque clave en la gestión de riesgos en que se delega la responsabilidad o el potencial impacto de un riesgo a un tercero o se celebra un contrato donde se definen las cláusulas que señalan qué parte asume responsabilidades específicas.
• Aceptación de riesgos residuales: Evaluación de riesgos aceptables y planificación para su control. Esto es importante, ya que no sólo se tiene en mente que existen riesgos en cualquier momento, sino que también se determinan las acciones para enfrentarlos. Es decir, se define un plan de contingencia consciente y debidamente estructurado en caso de que un riesgo se vuelva realidad.

Otra estrategia que se recomienda es la diversificación del riesgo, tales como diferentes inversiones, ubicaciones geográficas o actividades para reducir la exposición a los riesgos.

Automatización y el papel de Pandora ITSM en la gestión de riesgos

Pandora ITSM es una plataforma integral y centralizada para la gestión de Servicios y Soporte de TI de manera fácil, además de ayudarte a medir el nivel de servicio interna y externamente para cada organización y cliente. Aprovecha todas las ventajas que ofrece para la gestión de riesgos como:

• Automatización de la gestión de incidentes para optimizar la resolución de eventos y minimizar los tiempos de respuesta.
• Integración con SIEM y otras herramientas de gestión de seguridad, impulsando la correlación de eventos y un mejor análisis de riesgos.
• Cumplimiento normativo, con capacidad de auditorías programadas y la generación de informes personalizados que también pueden enviarse de manera automática y periódica.
• Gestión centralizada de activos y sus configuraciones, mapeando sus relaciones y dependencias, además de obtener un historial de incidencias sobre cada activo y poder automatizar procesos de actualización y optimización, evitando riesgos y vulnerabilidades mediante el control continuo y monitorización de la infraestructura.

Integración natural de la monitorización de TI, ITSM y SIEM de Pandora

Casos de uso en empresas

Algunos ejemplos de aplicación de la gestión de riesgos en entornos empresariales:

• Implementación de estrategias de gestión de riesgos en infraestructuras críticas: Una empresa evitó brechas mediante controles proactivos de seguridad. Desde un centro de operaciones de seguridad o SOC (Security Operations Center), una empresa puede emprender la monitorización de TI continua sobre la infraestructura en busca de amenazas y anomalías para, en base a su análisis, determinar acciones proactivas como la autenticación multifactor o el escaneo constante de vulnerabilidades, entre otras.
• Aplicación de SIEM para la prevención de ciberataques: En una empresa de telecomunicaciones se implementó un sistema SIEM para recopilar datos de los eventos de seguridad de distintas fuentes, como firewalls, sistemas de detección de intrusiones (por ejemplo, Endpoint Detection and Response, EDR), servidores, aplicaciones y dispositivos de red. El SIEM analiza y correlaciona esos datos recopilados para identificar patrones y comportamientos anómalos. Una vez detectada la anomalía, el SIEM genera alertas en tiempo real, siguiendo una estrategia preestablecida en ITSM, para que el equipo de seguridad de TI emprenda las acciones recomendadas como el bloqueo de direcciones de IP sospechosas.
• Uso de Pandora ITSM para optimizar la respuesta ante incidentes de seguridad: Reducción de tiempos de resolución y minimización del impacto de riesgos operacionales. Desde una misma plataforma, el equipo de seguridad de TI tiene toda la información centralizada, con procesos predefinidos y alineados a ITIL, para poder brindar el soporte y el escalamiento ante incidentes de seguridad de manera que la resolución sea más eficiente y, sobre todo, oportuna. También se aprovecha la automatización para emprender acciones rutinarias que puedan mitigar riesgos como el aislamiento de dispositivos comprometidos para su análisis y resolución.

Conclusión

No obstante, hay algo inevitable: los riesgos. La digitalización de los negocios ha hecho necesaria la gestión de riesgos de TI para identificar los riesgos, evaluarlos y tomar las medidas necesarias para prevenirlos o reducirlos a un nivel aceptable, no solo para evitar la interrupción de la operación del negocio, sino para no afectar la confianza digital que los clientes y proveedores depositan en tu organización. Lo que recomendamos es comprender el proceso de gestión de riesgos y las metodologías para llevarla a cabo, apoyándose en herramientas y plataformas de gestión de servicios de TI y soluciones SIEM que puedan trabajar de manera conjunta e independientemente de qué framework o modelo de gestión de riesgos se haya adoptado en la organización.
Recuerda que Pandora SIEM aprovecha los datos que recopila directamente de la monitorización de Pandora FMS, integrando, analizando y consolidando los datos de los logs en una sola plataforma, compatible con los dispositivos en la red y diversos sistemas operativos.
Puedes contactar con nuestro equipo de expertos para saber cómo implementar la gestión de riesgos desde una misma plataforma. Tan solo tienes que hacer click aquí para consultar cómo integrar tu solución ITSM con Pandora SIEM.