Gestión de Riesgos y Continuidad Operativa: Pilares de la Ciberseguridad Empresarial

Gestión Integral de Riesgos: Enfoque Sistemático y Proactivo

La gestión integral de riesgos es un enfoque sistemático y proactivo diseñado para:

• Identificar
• Evaluar
• Mitigar

los posibles eventos adversos que puedan afectar la seguridad y continuidad de una organización.

Definición de Riesgo en Seguridad de la Información

El riesgo en seguridad de la información se refiere a la posibilidad de que un evento adverso cause daño, pérdida o interrupción en la confidencialidad, integridad o disponibilidad de los datos o la información.

Tipos de Riesgos

Los riesgos pueden clasificarse en diversas categorías, incluyendo:

• Riesgos Tecnológicos
• Riesgos de Infraestructura
• Riesgos de Eventos Naturales
• Riesgos de Talento Humano

Identificación de Activos Críticos de Información

El primer paso fundamental en la gestión de riesgos es identificar los activos de información críticos de una organización. Estos pueden incluir:

• Bases de Datos
• Sistemas de Información
• Aplicaciones Empresariales
• Datos Confidenciales

Riesgos Internos y Externos

Los riesgos pueden originarse tanto dentro como fuera de la organización.

Riesgos Internos

Son aquellos que provienen del interior de la organización, tales como:

• Acceso no autorizado
• Errores Humanos
• Uso Indebido de Privilegios
• Falta de Conciencia de Seguridad

Riesgos Externos

Son amenazas que se originan fuera de la organización, por ejemplo:

• Ataques Cibernéticos (como malware)
• APT (Amenaza Avanzada Persistente o Advanced Persistent Threat): ataques sofisticados a largo plazo diseñados para robar información.
• Vulnerabilidades en software
• Desastres naturales

Exploits

Los exploits son piezas de software, secuencias de comandos o técnicas diseñadas para aprovechar vulnerabilidades en sistemas informáticos.

Conceptos Clave en la Gestión de Riesgos

• RTO (Recovery Time Objective): Tiempo de Recuperación Objetivo.
• Amenaza: Evento o acción que tiene el potencial de causar daño, pérdida o interrupción. Pueden ser intencionadas o no.
• Riesgo: Es la probabilidad de que una amenaza se materialice y cause daño.

Planificación de la Continuidad Operativa

Plan de Contingencia

Un Plan de Contingencia es un conjunto de procedimientos alternativos a la operatividad normal de una institución.

Definición y Finalidad

Su finalidad es permitir el funcionamiento de la organización cuando alguna de sus funciones deje de hacerlo debido a un incidente.

Objetivos del Plan de Contingencia

Los principales objetivos de un plan de contingencia son:

• Establecer procedimientos que indiquen las acciones a seguir frente a determinados riesgos.
• Optimizar el uso de recursos humanos y materiales.
• Garantizar un control adecuado para cumplir con las normas y procedimientos establecidos.

Pasos para Elaborar un Plan de Contingencia

La elaboración de un plan de contingencia implica los siguientes pasos:

• Identificar las partes del plan
• Identificar los procesos críticos
• Identificar los Recursos Críticos
• Identificar el TRO o TOR (Tiempo de Recuperación Objetivo o Target Operating Model, aunque en el contexto de recuperación es más RTO)
• Identificar las Amenazas
• Definir Acciones o rutas ante amenazas

Etapas del Plan de Contingencia

Las etapas clave en la implementación de un plan de contingencia son seis:

1. Evaluación
2. Planificación
3. Pruebas de viabilidad
4. Ejecución
5. Recuperación
6. Retroalimentación

Plan de Continuidad del Negocio (BCP)

Definición y Objetivo

El Plan de Continuidad del Negocio (BCP), conocido en inglés como Business Continuity Plan, tiene un enfoque más amplio y estratégico. Su objetivo es asegurar que una organización pueda continuar operando durante y después de un incidente grave, garantizando que las funciones críticas del negocio puedan seguir operando o ser restauradas rápidamente.

Comparativa: Plan de Contingencia vs. Plan de Continuidad del Negocio

Aunque ambos planes son cruciales para la resiliencia organizacional, difieren en su alcance, temporalidad y objetivo.

Según su Alcance

• Plan de Contingencia: Se enfoca en la respuesta inmediata a un evento específico.
• Plan de Continuidad del Negocio: Busca mantener y restaurar operaciones críticas a largo plazo.

Según su Temporalidad

• Plan de Contingencia: Diseñado para el corto plazo y la emergencia inmediata.
• Plan de Continuidad del Negocio: Orientado al mediano y largo plazo, asegurando la continuidad operativa del negocio.

Según su Objetivo

• Plan de Contingencia: Minimizar el impacto inmediato y responder a la emergencia.
• Plan de Continuidad del Negocio: Garantizar la continuidad de las operaciones críticas y la recuperación sostenida.