Gestión del riesgo cibernético: ¿Por qué es clave para las empresas en la era digital?

Por Marco Fontanelle, General Manager de Quest Software, Latin America.
En el mundo digital actual, las organizaciones de todos los tamaños e industrias
confían cada vez más en la tecnología y los sistemas conectados para operar. Esto
brinda mayor eficiencia en general pero también provoca mayores vulnerabilidades a
los ciberataques y otras amenazas de seguridad. Aquí es en donde entra en juego la
necesidad de una robusta gestión del riesgo cibernético.
¿Qué es la gestión del riesgo cibernético?
Se trata del proceso de identificar, evaluar y mitigar los riesgos potenciales para los
sistemas de información y los datos de una organización. Como tal, un proceso (o
programa) de gestión de riesgos cibernéticos bien definido es fundamental para
proteger la información y mantener la confidencialidad, la integridad y la disponibilidad
de los datos.
¿Por qué es importante la gestión del riesgo cibernético?
La gestión del riesgo cibernético es importante por una variedad de razones, que
incluyen:
 Protección de información confidencial: las organizaciones tienen
información confidencial almacenada en sus sistemas y redes, incluidos datos
financieros, información de clientes, de los empleados, etc. A través de un
programa de administración de riesgos cibernéticos, los equipos de seguridad
protegen mejor esta información contra robos, accesos no autorizados y otras
amenazas.
 Cumplimiento: Las industrias o sectores están sujetos a regulaciones y
normativas particulares, algunas locales, otras internacionales, y estándares.
Sin un enfoque adecuado o una visión medible de su postura de seguridad, las
organizaciones podrían enfrentar graves consecuencias, no solo financieras,
como sanciones por incumplimiento.
 Reputación: una violación de datos o un ataque cibernético puede afectar
significativamente la reputación y la marca de una compañía. La gestión de
riesgos cibernéticos ayuda a las organizaciones a mantener la confianza de
sus clientes, y socios al reducir la probabilidad y el impacto de un incidente de
seguridad.
 Continuidad del negocio: la gestión eficaz del riesgo cibernético ayuda a las
organizaciones a garantizar que sus sistemas y datos permanezcan
disponibles y operativos en caso de un incidente de seguridad, minimizando el
impacto en las operaciones diarias y preservando la continuidad del negocio.

¿Cómo empezar a implementar la gestión del riesgo cibernético?
Al establecer un programa o proceso de este tipo, las empresas tendrán que
comprender primero su entorno y los riesgos a los que están expuestos mediante la
aplicación de los siguientes pasos:
 Evaluar la postura o nivel de madurez en cuanto a la seguridad actual:
comienza por analizar el estado actual de la seguridad de la información de la
organización, incluidos los sistemas, las redes, los datos y los empleados. Esto
ayudará a identificar posibles vulnerabilidades y áreas de mejora.
 Identificar los riesgos potenciales: a continuación, identifica los riesgos
potenciales para los sistemas de la organización, incluidas las amenazas
externas, como el malware y el phishing, así como las amenazas internas,
como las filtraciones accidentales de datos o los errores humanos.
 Priorizar los riesgos: según el impacto potencial y la probabilidad de un
incidente de seguridad, prioriza los riesgos y determina cuáles requieren más
atención.
Según la evaluación y la priorización, es hora de implementar los controles de
seguridad adecuados para reducir o mitigar el riesgo de un incidente de seguridad. No
todos los controles tienen que ser técnicos.
 Controles administrativos: son políticas, procedimientos y directrices que
proporcionan un marco para gestionar la seguridad dentro de una organización.
Los ejemplos de controles administrativos incluyen programas de capacitación
de empleados y planes de respuesta a incidentes.
 Controles técnicos o lógicos: éstas son soluciones técnicas que las
organizaciones utilizan para proteger sus sistemas y datos de las amenazas.
Los ejemplos de controles técnicos incluyen firewalls, sistemas de detección de
intrusos y encriptación.
 Controles físicos: Son medidas de seguridad física que implementan las
organizaciones para proteger sus activos, como edificios, equipos y centros de
datos. Éstos incluyen sistemas de control de acceso y cámaras de seguridad.
 Controles operativos: Son procesos que las organizaciones utilizan para
administrar sus operaciones y garantizar que las medidas de seguridad
funcionen según lo previsto, como la tecnología de inteligencia artificial,
aprendizaje automático y de monitoreo de seguridad y respuesta a incidentes.
 Controles de gestión: Incluyen evaluaciones de riesgos, auditorías de
seguridad y presupuestos.
Un proceso de gestión de riesgos cibernéticos nunca termina, es dinámico como la
propia operación de cada organización. Por lo tanto, debes monitorear y actualizar
regularmente las medidas de seguridad en base a las más recientes amenazas, los
requisitos cambiantes de negocio, los nuevos sistemas, etc.

Acerca de Quest
Quest es un fabricante global de soluciones de software para simplificar las demandas de TI
para empresas que tienen
mil empresas, distribuidas en unos 100 países, con presencia en el 95% de las empresas que
figuran en el ranking Fortune 500 y en el 90% de las empresas que figuran en el Global 1000.
Desde 1987, la empresa ha desarrollado un portafolio de soluciones que incluyen

administración de bases de datos, protección de datos, administración de identidades y
accesos, administración de plataformas Microsoft y gestión unificada de terminales. Con Quest,
las organizaciones dedican menos tiempo a la administración de TI y más tiempo a la
innovación empresarial.
Para obtener más información, visite www.quest.com