Puntuación de riesgo cibernético: mida la ciberresiliencia de su organización

 

Imagine que está solicitando un préstamo. Uno de los principales criterios para obtener la aprobación es la calificación crediticia. Cuanto más alta sea la calificación crediticia, mayores serán sus posibilidades de obtener un préstamo.

Del mismo modo, imagine que vende un producto en un sitio web. Los compradores potenciales juzgan la calidad de su producto basándose en las reseñas o valoraciones que ha recibido de otros clientes. Cuanto más altas sean las valoraciones, más posibilidades habrá de que la gente compre sus productos o servicios.

¿Qué pasaría si estos sistemas de valoración no existieran? La sola idea de no tenerlos es inquietante. Este tipo de proceso de calificación también se aplica a las operaciones de TI de una empresa. No tener calificaciones adecuadas para evaluar el riesgo de la pila de TI de una organización puede ser desastroso.

Dado que las organizaciones ahora se centran más en la escalabilidad de las operaciones mediante la adopción de la computación en nube, a menudo no cuantifican el riesgo que conlleva el proceso, ni la capacidad de su arquitectura de TI para afrontar estas amenazas.

La puntuación de riesgo cibernético ayuda a evaluar la tolerancia al riesgo de las organizaciones, en base a la cual se pueden tomar decisiones informadas. Las organizaciones deben evaluar con frecuencia su postura de seguridad y calificar los activos críticos en función del riesgo que entrañan. Los activos con puntuaciones de riesgo más altas se deben monitorear de cerca para evitar posibles amenazas.

Una vez que todos los activos han sido calificados individualmente, basándose en la postura de seguridad de la organización, se puede determinar la puntuación de riesgo cibernético.

La necesidad de evaluar la postura de seguridad

Toda organización tendrá que compartir datos y colaborar con diferentes organizaciones en algún momento, por razones comerciales. Al evaluar las diferentes oportunidades, el riesgo cibernético es uno de los últimos parámetros que se tienen en cuenta. Sin embargo, no debería ser el caso teniendo en cuenta el aumento en el número de ataques de terceros que se producen en estos días.

Las puntuaciones de riesgo también ayudan a una organización a tomar decisiones críticas cuando participa en un acuerdo operativo con otra organización. Por ejemplo, para cumplir con los requisitos de la cadena de suministro, la organización A, una gran empresa, entra en una asociación estratégica con la organización B, una empresa de logística.

Mientras que A tiene una fuerte postura de ciberseguridad, B es una empresa más pequeña que no tiene una estrategia de seguridad adecuada. Ahora, con esta alianza, A se ha puesto en una posición en la que un atacante puede capitalizar las vulnerabilidades que existen en la red de B para obtener acceso a su red más grande.

Aquí es donde la puntuación de riesgo cibernético se vuelve importante. Si B tuviera una puntuación de riesgo cibernético, A podría haber evaluado hasta qué punto puede defenderse de un ataque sin precedentes que resultara de la colaboración. Una puntuación de riesgo cibernético es un criterio crucial para determinar si se sigue adelante con un acuerdo operativo o no.

Los recientes incidentes de seguridad, como la brecha de seguridad de Saudi Aramco ocurrida el año pasado, y la de Toyota ocurrida este año, ponen de manifiesto la importancia de establecer una puntuación de riesgo cibernético para evaluar la posición de seguridad de las organizaciones.

Fuentes que pueden contribuir a una puntuación de riesgo cibernético

Descubrir los activos de TI que contribuyen a la puntuación de riesgo es vital para la puntuación de riesgo. Aunque cada activo dentro del perímetro de la red de la organización contribuye a una cierta cantidad de riesgo, las siguientes son algunas de las fuentes de datos más importantes que pueden tener un gran impacto en la puntuación de riesgo.

1. Nube: Sin duda la computación en nube ha revolucionado la forma de trabajar de las organizaciones. La escalabilidad y la capacidad de compartir recursos de la nube han impresionado a las organizaciones. Sin embargo, la nube trae consigo una enorme cantidad de riesgos cibernéticos teniendo en cuenta la complejidad de la configuración y utilización de las capacidades de la nube.

2. Dispositivos dentro de la red: Aunque la mayoría de las organizaciones proporcionan los activos de TI necesarios, algunas organizaciones animan a los usuarios a traer sus propios dispositivos. Esto ciertamente aumenta la cantidad de riesgo involucrado. Además, la mayoría de los empleados suelen ignorar las actualizaciones de seguridad que aparecen incluso en los sistemas proporcionados por las organizaciones.

3. Terceros: La subcontratación se ha convertido en la opción a la que recurren las organizaciones que gestionan actividades empresariales periféricas como la logística y el almacenamiento de datos. Aunque las organizaciones suelen reforzar la seguridad de su red, no evalúan la postura de seguridad de las organizaciones con las que se asocian. Los riesgos de los terceros han aumentado drásticamente en los últimos tiempos.

4. Servidores: A menudo los servidores son víctimas de ciberataques tanto internos como externos. Las organizaciones deben dar prioridad al monitoreo de servidores a la hora de evaluar las puntuaciones de riesgo.

Hacia el futuro

El sector de TI ha demostrado una y otra vez la necesidad de establecer una puntuación de riesgo cibernético. Dado que los ciberataques evolucionan día a día, y los atacantes están adoptando nuevas técnicas de ataque para explotar las redes, las organizaciones deben asegurarse de evaluar su postura de seguridad con regularidad y calificar las vulnerabilidades que existen en su red. A largo plazo, esto ayudará a las organizaciones que pretenden establecer relaciones a garantizar que el riesgo que se corre está dentro de su tolerancia al riesgo.