Cómo abordar los riesgos de TI

Las organizaciones modernas avanzan en sus proyectos de transformación digital, lo cual trae consigo beneficios previsibles pero también un aumento de preocupaciones en cuanto a la Gestión de Riesgos de TI.

La digitalización de los Sistemas de Gestión y la automatización de numerosas tareas, tanto administrativas como propias de dichos Sistemas, crea un escenario propenso a violaciones de seguridad, ya sea de forma accidental o intencionada, con consecuencias que pueden afectar la operación y la reputación de las organizaciones.

La alineación oportuna de la Gestión de Riesgos de TI con este nuevo escenario de amenazas es la respuesta que esperan las organizaciones para enfrentar este desafío. Por lo tanto, es esencial comprender qué es la Gestión de Riesgos de TI y qué perfil se requiere para llevar a cabo su gestión y supervisión.

¿Qué es la Gestión de Riesgos de TI?

La Gestión de Riesgos de TI se refiere a un conjunto de procesos, procedimientos y actividades que funcionan de manera coordinada para prevenir la filtración de información, los ataques a la infraestructura tecnológica y a las bases de datos digitales, así como el uso indebido de la información capturada, procesada y almacenada a través de medios digitales o informáticos.

La Gestión de Riesgos de TI va más allá de la protección de la información almacenada en un ordenador. También incluye periféricos, redes e incluso medios de comunicación en línea, los cuales son vigilados por estos profesionales especializados en Gestión de Riesgos.

Al igual que otras actividades de prevención de riesgos en diferentes áreas, la Gestión de Riesgos de TI implica identificar amenazas, evaluarlas y categorizarlas, establecer prioridades, diseñar acciones y estrategias para eliminarlas y, en caso de que no sea posible, mitigar o reducir el riesgo. En última instancia, también puede implicar compartir o aceptar dicho riesgo.

¿Por qué es tan importante la Gestión de Riesgos de TI?

La Gestión de Riesgos, en general, siempre es importante. Sin embargo, regulaciones como el RGPD (Reglamento General de Protección de Datos) sitúan la vigilancia de las amenazas de TI en un lugar prioritario en la agenda de las empresas.

Además, la Gestión de Riesgos de TI es importante por otras razones:

• Proporciona un entorno de confianza para el desarrollo de proyectos, ya que los profesionales encargados saben que se han evaluado los posibles incidentes disruptivos, se han calificado y se han implementado las medidas apropiadas para prevenir su ocurrencia o minimizar el daño en caso de que ocurran.
• Permite acumular la experiencia necesaria para enfrentar retos futuros, lo cual es especialmente importante en organizaciones que desean avanzar en sus proyectos de transformación digital.
• Ayuda a establecer presupuestos realistas, teniendo en cuenta todas las contingencias previstas, y permite una planificación que se ajusta a lo que ocurrirá en la realidad.
• Facilita la obtención de financiación para proyectos, especialmente aquellos relacionados con la expansión de la infraestructura tecnológica, la automatización o la digitalización de sistemas, ya que las entidades financieras e inversores perciben que la organización tiene todo bajo control.

¿Cómo gestionar los Riesgos de TI?

La gestión de los Riesgos de TI puede abarcar todas las áreas de una organización. Aunque no es una tarea fácil, los siguientes pasos pueden ayudar a establecer un camino para lograrlo:

Identificar los puntos críticos

Las amenazas a la tecnología de la información pueden estar presentes en bases de datos, software, redes, equipos, servidores e incluso en la nube. Las organizaciones deben identificar los puntos más expuestos e identificar los riesgos asociados.

También es importante tener en cuenta los canales de transmisión de datos, que no siempre están bajo el control absoluto de la organización. Mucha información se comparte a través de correos electrónicos corporativos, pero también existen otras vías como cuentas de WhatsApp o correos personales de los empleados. Es necesario dar este primer paso de identificar puntos concretos y riesgos específicos.

Priorizar los datos

La protección de los datos es una preocupación constante para los profesionales de la seguridad de la información, así como para los directores de TI y la alta dirección.

Dentro de los datos que maneja una organización, los datos de identificación personal (PII) adquieren una relevancia especial. Estos datos son el objetivo principal de personas maliciosas, traficantes de información o simplemente hackers que buscan causar daño.

Evaluar y priorizar los riesgos

Al igual que en otros ámbitos de la gestión de riesgos, las amenazas deben evaluarse y priorizarse en función de su impacto y probabilidad de ocurrencia.

En el caso de la Gestión de Riesgos de TI, es importante considerar también la calidad y el valor de los datos expuestos.

Definir el apetito de riesgo o nivel de tolerancia aceptado

Es evidente que no todos los riesgos se pueden eliminar. Algunos riesgos de alto impacto y alta probabilidad pueden eliminarse, pero esto podría implicar renunciar a oportunidades de negocio.

La contratación de seguros de responsabilidad, por ejemplo, es una forma de compartir o transferir el impacto financiero de la ocurrencia de un riesgo. Sin embargo, el impacto en la reputación corporativa puede ser inevitable. Estos aspectos deben ser considerados cuidadosamente, teniendo en cuenta el apetito de riesgo de la organización y la opinión de la alta dirección, ya que juegan un papel importante en la toma de decisiones finales.

Monitorear la gestión

Aquellas personas que intentan atacar la información de una organización trabajan constantemente para perfeccionar sus métodos. Los empleados que podrían contribuir a una infracción, de manera involuntaria, tienen acceso a plataformas y medios que evolucionan y presentan nuevos riesgos. La gestión de riesgos de TI debe ser un proceso cíclico y estar sujeta a una revisión constante.

¿Qué habilidades debe tener un profesional en Gestión de Riesgos de TI?

En primer lugar, debe ser un profesional que conozca, comprenda y domine las técnicas y modelos de evaluación de riesgos modernos. Además, este profesional debe reunir los siguientes requisitos:

• Conocimiento de estándares internacionales como ISO 31000.
• Capacidad de evaluación y análisis rápido.
• Pensamiento estratégico.
• Conocimiento de las tecnologías modernas y su funcionamiento.
• Habilidades de comunicación oral, verbal y escrita, así como empatía.
• Capacidad para resolver problemas y conflictos.
• Aptitud para trabajar en situaciones estresantes y exigentes.
• Conocimiento de la gestión de riesgos moderna.

Diplomado en ISO/IEC 27001

La información es un activo altamente volátil, lo que hace que su protección sea un desafío constante. No podemos simplemente poner una cerradura física para resguardarla, por lo que es crucial que seamos conscientes de los diversos riesgos de seguridad a los que nos enfrentamos y que tomemos medidas para mitigarlos.

En el Diplomado ISO/IEC 27001, aprenderás desde los fundamentos de esta norma hasta los aspectos más específicos, con el objetivo de proteger eficazmente la información.