Gestión de riesgos de seguridad

El vocabulario

• Activo: algo de valor (datos, un sistema, un servicio, la reputación).
• Amenaza: algo que puede causar daño (un atacante, un error, una falla).
• Vulnerabilidad: una debilidad que una amenaza puede aprovechar.
• Riesgo: la probabilidad y el impacto de que una amenaza aproveche una vulnerabilidad contra un activo. Suele calificarse como probabilidad por impacto.
• Control: algo que reduce la probabilidad o el impacto.
• El riesgo inherente es el que existe antes de los controles; el riesgo residual es el que queda después.

El ciclo

• Establecer el contexto: qué busca lograr el negocio y qué puede tolerar (apetito de riesgo).
• Identificar riesgos: a partir del modelado de amenazas, evaluaciones, incidentes, auditorías, proveedores y cambios.
• Analizar y evaluar: calificar probabilidad e impacto en una escala consistente y priorizar.
• Tratar: reducir (agregar controles), aceptar (con un responsable y una fecha), transferir (seguro, contrato) o evitar (detener la actividad).
• Monitorear y revisar: los riesgos cambian; revisarlos de forma periódica y después de eventos importantes.

Una entrada del registro de riesgos

- id: R-014
  title: Datos de clientes expuestos por una falla de autorización en la API
  asset: customer-api
  threat: atacante externo con una cuenta gratuita
  likelihood: 4          # 1 raro .. 5 casi seguro
  impact: 5              # 1 menor .. 5 grave (regulatorio, financiero, confianza)
  inherent_score: 20
  controls: [authorization tests in CI, WAF anomaly rules]
  residual_score: 10
  treatment: reduce
  actions:
    - { what: "capa central de autorización", owner: platform-lead, due: 2027-01-31 }
  risk_owner: vp-engineering
  review_date: 2026-12-15

Hacerlo bien

• Use una sola escala en toda la empresa para poder comparar las puntuaciones; explique qué significa cada nivel en dinero, usuarios o tiempo de inactividad.
• Cuantifique donde pueda: los rangos de pérdida son más útiles que un color, aunque sean aproximados.
• Haga explícita la aceptación: un riesgo aceptado por un ejecutivo identificado durante un período definido es una decisión; uno que nadie menciona es negligencia.
• Mantenga el registro lo bastante corto para poder actuar y ligado al trabajo: cada riesgo enlaza a acciones con responsables.
• Conéctelo con la realidad: los incidentes, los hallazgos de auditoría y la threat intelligence deben modificar las puntuaciones.