Una estrategia de ciberresiliencia consiste en tomar decisiones sobre cómo invertir recursos limitados: qué se defenderá con mayor ahínco, qué escenarios se contemplan, cuántas interrupciones se están dispuestos a tolerar y cómo se distribuyen los esfuerzos entre detener los ataques y sobrevivir a ellos. Un marco de trabajo define los componentes. Una estrategia decide cuáles de ellos se priorizan y por qué, en un lenguaje que el consejo de administración puede aprobar.
- Una breve lista de lo que realmente no se puede perder, en lugar de afirmar que todo es fundamental.
- Escenarios específicos para los que se está preparando, elegidos deliberadamente.
- Un acuerdo que reconoce la tolerancia a las perturbaciones y que cuenta con el visto bueno de quienes asumen las consecuencias.
- Una separación explícita entre prevención y recuperación, en lugar de una que venga por defecto.
- Una secuencia, porque no todo puede ser primero.
- Medidas que demuestran progreso sin necesidad de que se produzca un incidente para probarlo.
¿Qué es una estrategia de ciberresiliencia?
Una estrategia es un conjunto de decisiones sujetas a restricciones. Si el presupuesto y la atención fueran ilimitados, no existiría ninguna estrategia, solo una lista de buenas prácticas para implementar. La razón de ser de la estrategia es que no se puede hacer todo a la vez, por lo que alguien debe decidir qué es prioritario y qué se acepta por ahora.
Esto es lo que lo distingue del marco de referencia. El marco de resiliencia cibernética establece las funciones que deben cubrirse y la evidencia que produce cada una. Es estructural y no prioriza. Una estrategia toma esa estructura y responde a las preguntas más complejas: dado lo que podemos permitirnos este año, ¿qué brechas estamos cerrando, con cuáles convivimos y qué tendría que cambiar para que la respuesta cambie?
Las estrategias fracasan de una manera evidente. Reformulan las buenas prácticas como ambición, se comprometen a mejorarlo todo y no ofrecen ninguna base para decir no a nada. Un documento que se leería correctamente si se pegara en el membrete de otra organización no es una estrategia.
Esta página parte del concepto subyacente. Para comprender qué es la ciberresiliencia , en qué se diferencia de la ciberseguridad y dónde se aplica la Ley de Ciberresiliencia de la UE, comience por ahí.
¿Qué decisiones implica una estrategia de ciberresiliencia?
Seis, y son más fáciles de hacer en este orden porque cada una condiciona a la siguiente.
- Activos¿Qué perjudicaría realmente a la organización si se perdiera, quedara expuesto o no estuviera disponible? Si la lista incluye más de unos pocos elementos, aún no se ha realizado la priorización.
- Amenazas¿Para qué escenarios se está preparando? El ransomware, el uso indebido por parte de empleados, el compromiso de proveedores y el robo de credenciales se comportan de manera diferente y no todos generan el mismo gasto.
- Apetito¿Cuánta interrupción es aceptable y dónde está el límite a partir del cual no lo es? Las declaraciones vagas sobre el nivel de tolerancia son el punto débil más común.
- BalanceCómo se distribuyen los esfuerzos entre prevenir incidentes y sobrevivir a ellos. Si no se decide, se prioriza en gran medida la prevención, ya que es más fácil de adquirir.
- Secuencia: el orden de trabajo, clasificado según el riesgo reducido por unidad de esfuerzo en lugar de según qué equipo lo solicitó con más insistencia.
- MEDIR¿Qué indica que está funcionando antes de que ocurra un incidente? Cobertura por función, tiempo de detección, tiempo de recuperación, ejercicios completados.
La decisión que más cambios produce es la cuarta. Las organizaciones que nunca la toman en serio descubren durante su primer incidente grave que compraron herramientas de detección y nunca ensayaron una respuesta, o que existían copias de seguridad y nadie había programado una restauración.
¿Cómo se decide el equilibrio entre prevención y recuperación?
No por principio, sino analizando la situación actual. La mayoría de las organizaciones abordan esta cuestión con un marcado sesgo preventivo, ya que la prevención se vende como un producto con características definidas, mientras que la capacidad de recuperación se basa principalmente en la práctica, la responsabilidad y la disciplina, aspectos que nadie comercializa.
| Pregunta | Así suena una respuesta débil. | Cómo debería sonar |
|---|---|---|
| ¿Qué estamos defendiendo? | Todo es fundamental para el negocio. | Estos cuatro servicios, en este orden, por estas razones. |
| ¿Cuánto tiempo podemos estar inactivos? | Lo menos posible. | Cuatro horas para los pagos, dos días para la presentación de informes. |
| ¿Lo detectaríamos? | Contamos con un sistema de monitoreo. | Detectamos la última simulación en 40 minutos. |
| ¿Podríamos recuperarnos? | Tenemos copias de seguridad. | Restauramos este sistema en una prueba el trimestre pasado y nos llevó nueve horas. |
| ¿Quién decide el día? | El equipo de intervención se reuniría. | Persona nombrada, adjunto nombrado, ambos ejercieron. |
Trabajar en la columna de la derecha es una vía más rápida para desarrollar una estrategia sólida que cualquier modelo de madurez . Cada respuesta específica es o bien cierta, en cuyo caso constituye evidencia, o bien aún no lo es, en cuyo caso es una prioridad. Esa distinción es la clave de la estrategia.
Detrás de todo esto hay algo más importante.
Esta página abarca una parte de la resiliencia empresarial. Real Resilience, el marco de IO para conectar la seguridad, la privacidad y la gobernanza de la IA, es donde se obtiene la visión completa.
¿Cómo se justifica la inversión?
La ciberresiliencia compite por financiación con estrategias que ofrecen beneficios tangibles, y pierde terreno cuando se argumenta en términos técnicos. Lo que perdura es la consecuencia expresada en el lenguaje que utiliza el resto de la empresa.
- Prioriza el servicio, no la amenaza.: lo que los clientes no pueden hacer y durante cuánto tiempo, en lugar del nombre de la técnica de ataque.
- Cuantifique el intervalo, no el incidente.El coste de no poder operar durante un día es discutible, a diferencia de las estimaciones del coste total de una violación de seguridad.
- Demostrar capacidad probada frente a capacidad supuestaLa diferencia entre ambos es el argumento más claro disponible y no necesita pronóstico.
- Trae la contrapartida, no solo la petición.Lo que implicaría un presupuesto menor en términos de riesgo aceptado le da a la junta algo que decidir en lugar de aprobar.
- Utilice la presión de los contratos y las licitaciones.Cuando los clientes exigen certificación o pruebas, la resiliencia se convierte en una condición para generar ingresos, en lugar de un centro de costos.
- Informar siempre de las mismas medidas.Un conjunto breve y coherente es mejor que un panel de control exhaustivo que nadie lee dos veces.
La certificación resulta especialmente útil en este caso, ya que convierte una afirmación interna en una verificada externamente. Un consejo que no valora una autoevaluación generalmente aceptará un sistema de gestión auditado, y la evidencia necesaria para ello coincide en gran medida con la que debería generar una estrategia.
¿Qué debe evitar una estrategia de ciberresiliencia?
Los patrones de fallos son lo suficientemente consistentes como para poder compararlos directamente.
- Una lista de herramientas disfrazada de estrategia.Los planes de compra describen lo que se va a comprar, no lo que se ha decidido.
- No se ha manifestado apetitoSin una línea divisoria, todo riesgo es discutible y nada puede aceptarse a sabiendas.
- Todo lo crítico: una lista de activos críticos de cuarenta elementos no proporciona ninguna base para la secuenciación.
- Sólo prevención: una suposición implícita de que la recuperación funcionará, la cual se mantiene hasta que se comprueba.
- Amenaza liderada sin escenarios: inteligencia sobre amenazas que describe lo que hacen los atacantes, sin tomar ninguna decisión sobre qué parte de ello se debe planificar.
- Medidas que nadie puede producir: métricas elegidas porque suenan rigurosas, más que porque existan los datos.
- Escrito una vez: una estrategia de tres años que nunca se revisó, en un ámbito donde tanto el patrimonio como las amenazas cambian trimestralmente.
Comience fácilmente con una demostración personal del producto
Uno de nuestros especialistas en incorporación lo guiará a través de nuestra plataforma para ayudarlo a comenzar con confianza.
¿Cómo se relaciona la estrategia con el ciclo de resiliencia?
Una estrategia de ciberresiliencia que solo considere la ciberseguridad se reescribirá en un año, ya que los mismos activos que protege también están sujetos a obligaciones de privacidad y, cada vez más, a requisitos de gobernanza de la IA. Decidir las prioridades de seguridad de forma aislada suele generar tres hojas de ruta que compiten por los mismos usuarios.
El ciclo de resiliencia gestiona la seguridad de la información según la norma ISO 27001 , la privacidad de los datos según la norma ISO 27701 y la gobernanza de la IA según la norma ISO 42001 como un sistema conectado. La secuenciación simultánea de los tres aspectos transforma una estrategia cibernética en una estrategia de resiliencia y cambia la lógica: un control implementado una vez tiene un impacto triple, por lo que la siguiente acción más económica suele ser aquella que cumple con más de una obligación. La estructura general se describe en el marco de resiliencia empresarial.
¿Cómo sabes que la estrategia está funcionando?
Antes de un incidente, solo dos cosas nos indican la situación: la cobertura y la capacidad probada. La cobertura se refiere a si cada función tiene un responsable y una visión actualizada. La capacidad probada es la diferencia entre lo que se supone que funciona y lo que se ha demostrado que funciona, y es la única medida que no se puede manipular.
Un conjunto breve y repetido de medidas es más efectivo que uno exhaustivo. Tiempo de detección en el último ejercicio. Tiempo para restablecer el servicio más crítico, medido en lugar de dirigido. Proporción de servicios críticos con una respuesta ensayada. Ejercicios completados frente a los ejercicios planificados. Cada uno se puede obtener a partir del trabajo que debería estar realizando de todos modos, lo cual es la prueba de una medida razonable. El enfoque se describe en cómo demostrar la resiliencia , y la Puntuación de Resiliencia le proporciona una base a partir de la cual avanzar.
¿Por qué elegir ISMS.online para su estrategia de ciberresiliencia?
Una estrategia solo es buena si existen pruebas de que se está ejecutando. ISMS.online vincula las decisiones con el trabajo.
- Prioridades vinculadas a controles y riesgos: lo que decidiste defender está relacionado con los controles que lo protegen y los riesgos que lo acechan.
- Un conjunto de controles, cada marco: secuenciar el trabajo según la cantidad de obligaciones que cumple cada control en las normas ISO 27001, ISO 27701, ISO 42001 e ISO 22301.
- Probado contra supuestos y visiblesLos registros y resultados de los ejercicios se encuentran junto con los controles, por lo que la diferencia es un número y no una sensación.
- Informes de la junta directiva basados en datos en tiempo real: informar las mismas medidas en cada ciclo sin ensamblarlas a mano.
- Apetito de riesgo registrado y aplicado: la línea que usted acordó se mantiene contra los riesgos que está aceptando, no se archiva y se olvida.
- Te ayuda a obtener la certificación.: transforma las afirmaciones internas en una postura auditada de forma independiente que los consejos de administración y los clientes aceptan.
- Diseñado para el Reino Unido y los mercados regulados.Diseñado para organizaciones que deben demostrar resiliencia para ganar y conservar contratos.
Vea cómo se integra en la plataforma de resiliencia empresarial o solicite una demostración.
Preguntas Frecuentes
¿Cuál es la diferencia entre una estrategia de ciberresiliencia y un marco de trabajo?
Un marco de trabajo es estructural. Define las funciones que deben cubrirse y la evidencia que produce cada una, y se aplica a cualquier organización. Una estrategia es un conjunto de decisiones específicas para su organización: qué deficiencias abordará este año con un presupuesto limitado, cuáles acepta conscientemente y cuáles defenderá con mayor firmeza. El marco de trabajo le indica cómo debería ser un buen resultado. La estrategia decide qué acciones tomará al respecto y en qué orden.
¿Cuánto tiempo debe durar una estrategia de ciberresiliencia?
Lo suficientemente breve como para que el equipo directivo lo haya leído. Las decisiones importantes —qué activos, qué escenarios, qué nivel de tolerancia, qué equilibrio, qué secuencia y qué medidas— caben cómodamente en unas pocas páginas. La extensión suele indicar que se han reiterado buenas prácticas en lugar de tomar decisiones concretas, y que una estrategia cuyas prioridades nadie recuerda no está funcionando.
¿Qué porcentaje del presupuesto debería destinarse a la recuperación en lugar de a la prevención?
No existe una proporción correcta, y cualquier cifra que se presente como universal debe considerarse con recelo. Lo más útil es analizar su propia situación: si puede describir sus controles preventivos en detalle, pero no puede precisar cuánto tiempo tarda la restauración de su sistema más crítico, se diagnostica un desequilibrio y el siguiente incremento corresponde a la recuperación. Establezca la distinción explícitamente, ya que, si no se define, se priorizará la prevención.
¿Quién es el responsable de la estrategia de ciberresiliencia?
Lo redacta quien lidera el área de seguridad y es responsabilidad del consejo de administración, ya que las decisiones que contiene se refieren a riesgos aceptados que no pueden delegarse a un departamento técnico. Esta distinción es importante en la práctica: una estrategia que solo es responsabilidad del equipo de seguridad puede ser anulada por cualquier ronda de presupuesto, mientras que una en la que el consejo ha aceptado las compensaciones de riesgo tiende a mantenerse vigente.
¿Con qué frecuencia se debe revisar la estrategia?
Anualmente se realiza una revisión completa, y la secuencia se revisa cada vez que se produce un cambio sustancial: un incidente significativo en cualquier parte del sector, un cambio importante en el sistema o el proveedor, una nueva obligación o un ejercicio que invalida una suposición. Las decisiones en sí son razonablemente estables. Lo que cambia es la secuencia, ya que el riesgo reducido por cada tarea restante varía a medida que cambia el entorno.
