El riesgo cibernético en el registro empresarial

El riesgo cibernético es un riesgo de la empresa, no un riesgo de seguridad. Cuando se lleva aparte tiene tres problemas: se mide en una escala que nadie del negocio entiende, no se puede comparar con el riesgo de la cadena de frío o del fraude, y su dueño termina siendo quien lo administra, no quien paga si ocurre. El NIST lo plantea en su serie de informes NIST IR 8286, «Integrating Cybersecurity and Enterprise Risk Management»: los riesgos de ciberseguridad se identifican y estiman, y se integran a un registro de riesgos de toda la empresa para que se puedan priorizar con el resto. El marco CSF 2.0 de NIST lo recoge en su función Gobernar, dentro de la estrategia de gestión de riesgos.

Integrar no es copiar filas. Es traducir a la misma escala, quitar lo que ya existe bajo otro nombre y poner un dueño de negocio.

El registro cibernético de Sol y Luna estima el impacto de cada riesgo en millones de pesos, pero no lo expresa en los niveles de la escala empresarial. Para integrarlo hay que ubicar cada cifra en el rango de la escala que la empresa aprobó, sin redondear a gusto. La escala vive en una tabla propia y los rangos están escritos con sus topes.

Toma el riesgo de cifrado malicioso de los servidores de bodega, ubica su impacto estimado en los rangos de la escala empresarial y escribe el nivel que le corresponde.

Al unir registros aparecen duplicados: el mismo evento descrito por dos áreas con palabras distintas. Dejar los dos distorsiona el total, porque la empresa parece tener dos riesgos donde tiene uno, y produce dos dueños, dos planes y dos estimaciones que no coinciden. Se detecta comparando el evento y el proceso afectado, no el título.

Compara el registro cibernético con el empresarial buscando un riesgo cuyo evento y proceso ya existen allí.

Todos los riesgos del registro cibernético están asignados al área de seguridad. Pero un dueño de riesgo es quien responde ante la empresa por el resultado y decide cómo tratarlo, y eso lo hace el responsable del proceso que sufriría el daño; seguridad asesora y propone controles. Asignar todo a seguridad convierte al equipo técnico en el responsable de decisiones de negocio que no puede tomar.

El riesgo C-3 afecta a un proceso concreto. Encuentra a quién pertenece ese proceso en el mapa de procesos.