Introducción:
No puedes proteger todo con la misma intensidad: el presupuesto, el tiempo y la atención son finitos. Entonces, ¿en qué inviertes primero —en el firewall, en el respaldo de datos o en capacitar al personal? Responder esa pregunta sin gastar de más ni dejar huecos críticos es, precisamente, el trabajo de la gestión de riesgos. En este artículo veremos cómo identificar tus activos, evaluar las amenazas que los acechan y elegir controles proporcionados, en organizaciones de cualquier tamaño.
Identificación de Activos y Requisitos de Seguridad
El primer paso es comprender nuestros activos clave y los requisitos de confidencialidad, integridad y disponibilidad asociados. Esto puede implicar agrupar algunos activos para simplificar el análisis, mientras se prioriza el estudio de los elementos fundamentales para la supervivencia de la empresa.
Para aterrizarlo, usemos un ejemplo que retomaremos a lo largo del artículo: Distribuidora del Valle, una PyME de 25 empleados que vende y reparte producto a tiendas. Su primer ejercicio de inventario podría verse así:
| Activo | C | I | D | ¿Por qué importa? |
|---|---|---|---|---|
| Base de datos de pedidos y clientes | Alta | Alta | Alta | Si se filtra, pierde la confianza; si se altera, despacha mal; si no está, se detiene la operación |
| Correo corporativo | Media | Media | Alta | Canal principal con proveedores y clientes |
| Sitio web / catálogo | Baja | Media | Media | Imagen pública; no contiene datos sensibles |
| Laptops y celulares de ventas | Alta | Media | Media | Salen de la oficina y concentran datos de clientes |
La clave de esta tabla no es llenarla a la perfección, sino forzar la conversación: ¿qué pasa si este activo se filtra (C), se altera (I) o desaparece (D)? Eso ya te dice dónde concentrar el esfuerzo.
Análisis de Amenazas y Vulnerabilidades
Luego, debemos identificar las amenazas que pueden afectar nuestros activos, ya sean adversarios externos, errores humanos o desastres naturales. Además, debemos evaluar las vulnerabilidades de nuestros sistemas, como configuraciones débiles o evolución tecnológica.
Valoración del Riesgo
Con esta información, podemos estimar el riesgo. La fórmula básica es sencilla:
Riesgo = Probabilidad × Impacto
No necesitas números exactos; basta con una escala de tres niveles (bajo / medio / alto) y una matriz que cruce ambos ejes:
IMPACTO →
Bajo Medio Alto
┌────────┬────────┬─────────┐
P Alta │ Medio │ Alto │ CRÍTICO │
R ├────────┼────────┼─────────┤
O Media │ Bajo │ Medio │ Alto │
B ├────────┼────────┼─────────┤
Baja │ Bajo │ Bajo │ Medio │
└────────┴────────┴─────────┘
Volvamos a Distribuidora del Valle. El ransomware sobre la base de pedidos tiene probabilidad media (reciben correos sospechosos a diario) e impacto alto (sin pedidos, la operación se detiene): cae en la casilla Alto, casi crítico. En cambio, un defacement del sitio web tiene impacto bajo: aunque sea molesto, no detiene el negocio. Esa diferencia es exactamente la que te dice qué atender primero.
Selección de Controles
Finalmente, podemos seleccionar los controles más apropiados para mitigar o resolver los riesgos identificados, teniendo en cuenta las prioridades de la organización. Algunos controles básicos, como políticas de acceso y planes de contingencia, pueden ser aplicables en la mayoría de los casos.
Conviene pensar los controles según el momento en que actúan respecto al incidente:
| Tipo de control | Cuándo actúa | Ejemplo para Distribuidora del Valle |
|---|---|---|
| Preventivo | Antes | Autenticación multifactor (MFA) en el correo; capacitación anti-phishing |
| Detectivo | Durante | Alertas de inicio de sesión inusual; antivirus que detecta cifrado masivo |
| Correctivo | Después | Respaldos diarios fuera de línea para restaurar tras un ransomware |
Y ante cada riesgo, “comprar un control” no es la única respuesta. Hay cuatro estrategias válidas:
- Mitigar — reducir la probabilidad o el impacto (la mayoría de los casos).
- Transferir — pasar el riesgo a un tercero (un seguro cibernético, un proveedor cloud).
- Aceptar — convivir con él cuando mitigarlo cuesta más que el daño esperado.
- Evitar — eliminar la actividad que lo genera (p. ej., dejar de almacenar datos que no necesitas).
Para una PyME, la combinación de respaldo fuera de línea + MFA + capacitación cubre la mayor parte del riesgo real con una inversión mínima. Ahí es donde rinde cada quetzal.
Empresas Medianas y Pequeñas
Para las empresas de menor tamaño, con presupuestos limitados, es clave optimizar el proceso de gestión de riesgos. Esto puede implicar agrupar activos y priorizar el análisis de los más críticos. Además, pueden aprovechar controles comunitarios que no requieren expertos y abordan problemas comunes.
Usuarios sin Entrenamiento Técnico
Incluso los usuarios individuales pueden aplicar un proceso simplificado de gestión de riesgos. Identificar los activos a proteger, como dispositivos y datos personales, y seleccionar buenas prácticas básicas, como políticas de respaldo y control de acceso, puede ayudar a mitigar los riesgos más comunes.
Un proceso mínimo viable (para empezar el lunes)
Si nunca has hecho gestión de riesgos formal, no necesitas un marco completo el primer día. Empieza con esto:
- Lista tus 10 activos más importantes.
- Para cada uno pregunta: ¿qué pasa si se filtra, se altera o desaparece?
- Anota las 3-5 amenazas más probables (phishing, ransomware, pérdida de equipo, error humano, caída de un proveedor).
- Ubícalas en la matriz de arriba.
- Ataca primero las casillas críticas y altas con controles preventivos baratos.
- Revisa la lista cada 6 meses: los activos y las amenazas cambian.
Un documento de una página que hagas y mantengas vale más que un marco perfecto que nunca termines.
Conclusión
La gestión de riesgos es fundamental para proteger nuestros activos de TI, independientemente del tamaño de la organización o el nivel de conocimiento técnico. Al seguir este proceso sistemático, podremos tomar decisiones informadas sobre la implementación de controles de seguridad, optimizando recursos y maximizando los beneficios.