¿Qué es la priorización de los ciberriesgos y por qué es tan importante?

Cuando hablamos de priorización de riesgos cibernéticos, nos referimos esencialmente al proceso de cuantificar y analizar los riesgos cibernéticos, decidir en qué orden debe abordarlos y cómo debe asignarse su presupuesto para alcanzar sus objetivos de la forma más eficaz.  

En 2023, se produjo un ciberataque aproximadamente cada 39 segundos (frente a los 44 segundos de 2022) en una amplia gama de tipos de ataque, desde ataques DDoS a phishing, malware a cadenas de suministro y todo lo demás. Junto a esto, el Informe de Estabilidad Financiera Global de abril del FMI indica que la tasa de pérdidas extremas por ciberriesgos también está aumentando (actualmente es de 2.500 millones de dólares, 4 veces lo que era en 2017).

Pero, ¿qué significa esto para las empresas y por qué está relacionado con la priorización de los riesgos cibernéticos? Significa que, siendo realistas, no se dispone del tiempo, el dinero o los recursos necesarios para hacer frente a todas las amenazas potenciales por igual. Tiene que ser capaz de comprender exhaustivamente las áreas de exposición de su empresa y decidir cuáles son las más críticas para su negocio y armar su seguro con el resto.

Al hacerlo, no sólo estará reforzando sus medidas de ciberseguridad donde más se necesitan, sino que estará creando una estrategia lógica y centrada que se vincula directamente con los objetivos empresariales, lo que le ayudará a garantizar el presupuesto y la aceptación por parte de la junta directiva y la dirección y a ofrecer un impacto tangible amplificado.

‍

Cómo determinar las prioridades

Hemos establecido que debe priorizar su hoja de ruta de ciberseguridad en función de las amenazas que presenten el mayor riesgo para su empresa, pero ¿cómo determinar cuáles son los mayores riesgos? Existen dos enfoques principales para el análisis de riesgos: cualitativo y cuantitativo.

‍

Análisis cualitativo de riesgos

El análisis de riesgos cualitativo es el más sencillo de los dos enfoques. En una evaluación cualitativa de riesgos, se identifican todos los riesgos potenciales y se clasifican numéricamente o por colores en función de cuáles son los más probables y de la importancia de su impacto.

El reto de este tipo de análisis de riesgos cibernéticos es que presenta el riesgo de forma aislada como una instantánea en el tiempo y se basa esencialmente en la probabilidad percibida, en lugar de en datos. Por ejemplo, si se clasifican varios riesgos como de nivel 4 (por ejemplo), ¿cómo se determina cuáles hay que abordar primero? Aunque el análisis cualitativo de riesgos puede ser eficaz para las empresas más pequeñas, para las grandes empresas no es suficientemente exhaustivo.

‍

Análisis cuantitativo de riesgos

El análisis cuantitativo del riesgo es mucho más útil cuando se trata de vincular las amenazas a la ciberseguridad con el riesgo financiero. Durante un análisis cuantitativo, se utilizan datos concretos para determinar el coste-beneficio de mitigar un riesgo específico.

Para la mayoría de las empresas, el análisis de riesgos cuantitativo es el preferido, porque les permite no sólo determinar el impacto del riesgo, sino también ofrecer una hoja de ruta procesable para mitigarlo.

‍

Cómo calcular el riesgo cuantitativo

El método más común de análisis cuantitativo de riesgos consiste en determinar la Expectativa Anualizada de Pérdidas (ALE, por sus siglas en inglés, es decir, cuánto le costaría anualmente este riesgo en caso de exposición). Para determinarla, hay que multiplicar la Expectativa de Pérdida Única (SLE, por sus siglas en inglés, el coste de un riesgo expuesto una vez) por la Tasa Anual de Ocurrencia (ARO, por sus siglas en inglés, cuántas veces al año se espera que el riesgo esté expuesto).

Para calcular su SLE, debe multiplicar el valor de sus activos (AV) por el factor de exposición (EF, por ejemplo, el impacto que tendría una amenaza en porcentaje).

EJEMPLO: Si la AV de un activo fuera de 250.000 $ y un EF del 5%, la ALE sería de 12.500 $. Si la ARO de este activo es 2, la ALE para esta amenaza sería de 25.000 $.

‍

El reto del análisis cuantitativo de riesgos

Uno de los principales retos del análisis cuantitativo de riesgos puede verse claramente en el ejemplo anterior: es complicado. Y no solo eso, sino que cambia constantemente a medida que aumentan los esfuerzos de ciberseguridad y fluctúa el valor de los activos.

Para introducir eficazmente el análisis cuantitativo de riesgos en su priorización de riesgos cibernéticos y en su hoja de ruta de ciberseguridad más amplia, debe ser capaz de seguir estas fluctuaciones y verlas en el contexto de su estrategia empresarial más amplia.

Evaluar manualmente los riesgos mediante marcos de análisis cuantitativos tradicionales supone una limitación significativa en su capacidad para hacer operativa su priorización de la ciberseguridad y, en consecuencia, su hoja de ruta de ciberseguridad. Además, trabajar con procesos manuales de priorización de riesgos impide que su empresa adopte una visión y un enfoque holísticos de su estrategia de ciberseguridad en general.

Soluciones como X-Analytics le permiten destilar esta complejidad en ideas simples, lo que le permite tomar mejores decisiones de priorización de riesgos cibernéticos, que luego se puede comunicar de manera efectiva a la junta directiva, y la alta dirección, en un contexto que entienden y se preocupan.

‍

Cómo priorizar los ciberriesgos

Una vez que haya completado su análisis e identificado los riesgos que necesita mitigar y el coste asociado a no tomar medidas, necesita priorizar estos riesgos en su hoja de ruta de ciberseguridad. Hay varias opciones para hacerlo:

• Por madurez: centrarse en el área en la que su resistencia y madurez son menores para lograr un programa de ciberseguridad más completo en todos los ámbitos.
• Por coste: empezando por las áreas con mayor exposición financiera. Esta suele ser la más obvia, pero hay que ser capaz de ver el panorama general para incorporarlo a una hoja de ruta de ciberseguridad exitosa.
• Por urgencia : identificar los riesgos que representan una amenaza inmediata frente a los que pueden gestionarse gradualmente a lo largo de un periodo más prolongado.
• Desde el punto de vista del cumplimiento: tanto del cumplimiento de la normativa como de la prevención de la responsabilidad de las aseguradoras.

‍

Las estrategias de priorización de riesgos cibernéticos más eficaces tienen en cuenta todos estos enfoques, con el fin de desarrollar una hoja de ruta que proteja el negocio, ayude a cumplir los objetivos empresariales y esté alineada con los objetivos clave de la alta dirección y la C-Suite. En realidad, para llegar a esta fase se necesitan las herramientas adecuadas. Para poder tomar las mejores decisiones, es necesario poder ver todo el panorama de la ciberseguridad, desde el análisis cualitativo hasta el cuantitativo, pasando por los resultados empresariales, en una única plataforma. Puede echar un vistazo a cómo X-Analytics ha ayudado a los CISO de empresas líderes a hacer exactamente eso en nuestros recientes estudios de casos.

‍

¿Qué papel desempeña la priorización del riesgo cibernético en la comunicación con la empresa en general?

Los consejos de administración y la alta dirección son reacios a invertir en cosas cuyo valor desconocen. Están cansados de que se les pida que financien iniciativas que parecen tener un coste infinitamente creciente y ningún impacto mensurable.

Mediante el proceso de priorización de riesgos cibernéticos, podrá vincular los aspectos técnicos de la mitigación de riesgos cibernéticos con los riesgos y resultados empresariales, que es lo que realmente preocupa a los consejos de administración, y presentar una hoja de ruta lógica que puedan comprender y aceptar.

La realidad es que el impacto clave de la ciberseguridad para la alta dirección se reduce a demostrar el retorno de la inversión. Hay que comunicar cuáles son los riesgos, el impacto que tendrán en el negocio (en términos que entiendan y relacionen con sus áreas de interés clave), cuánta inversión y tiempo se necesita para mitigarlos, y cómo se puede demostrar qué progresos se han hecho para lograrlo.

Para comunicarse eficazmente con el consejo de administración y la alta dirección, hay que ser capaz de relacionarlo todo de forma concisa y sencilla, sin entrar en tecnicismos.

‍

La priorización eficaz de los riesgos cibernéticos es clave para el éxito de un programa de ciberseguridad.

La priorización de los riesgos cibernéticos es cada vez más importante, pero analizar y priorizar los riesgos en una cámara de eco ya no es suficiente. Necesitas una visión de cómo tu priorización encaja en un ciclo de vida de gestión de la ciberseguridad más amplio.

Además de priorizar sus hojas de ruta de ciberseguridad para sí mismo, debe ser capaz de demostrar el impacto empresarial de la mitigación de riesgos y comunicarlo eficazmente al consejo y a la dirección en general desde el principio.

Para hacerlo correctamente, necesita una solución que pueda vincular directamente su estrategia de ciberseguridad con el éxito empresarial de una forma que la dirección no técnica pueda entender sin esfuerzo.

‍