Las organizaciones han comprendido desde hace tiempo el reto de traducir el riesgo cibernético en riesgo empresarial. La falta de comunicación entre el CISO y la junta directiva es real y está bien documentada. Pero, ¿existen problemas más profundos? Por diversas razones, la gestión del riesgo cibernético ha crecido en tamaño y alcance a lo largo de los años. Hoy en día, puede abarcar desde las disciplinas de seguridad tradicionales hasta la privacidad, el riesgo en la cadena de suministro, los aspectos legales, la gobernanza de la IA y la resiliencia operativa. Esto inevitablemente crea silos de datos, lagunas en la cobertura y desafíos en materia de resiliencia.
Si el objetivo es una gobernanza integrada, ¿cómo debería ser el proceso?
Cuando la visibilidad y la propiedad se fragmentan
Existen diversas razones por las que la gestión del riesgo cibernético se ha vuelto tan compleja con el paso de los años. Hubo un tiempo en que la seguridad era mucho más sencilla. Los recursos informáticos se encontraban en las instalaciones de la empresa y las organizaciones protegían el perímetro para evitar amenazas. Este enfoque de seguridad aislada desapareció con la llegada de la computación en la nube, el teletrabajo y las aplicaciones SaaS. A medida que la superficie de ataque se expandió, abarcó la tecnología operativa (OT), los sistemas de Internet de las cosas (IoT), los dispositivos móviles, los servidores de computación perimetral y mucho más. Más activos de TI, mayor complejidad, supervisión más fragmentada.
La infraestructura y los servicios de IA representan la expansión más reciente. Los grandes modelos de lenguaje (LLM), los agentes, las bases de datos vectoriales, las canalizaciones de aprendizaje automático, las API, los complementos y los servidores en la nube representan un nuevo objetivo de alto riesgo para los ataques. A medida que la IA se integra en servicios más críticos para el negocio, aumenta el potencial de vulneración, robo y manipulación de datos. La IA en la sombra es una preocupación particular. Dos tercios (65%) de las organizaciones Ha sufrido En el último año se han registrado incidentes de seguridad relacionados con agentes de IA, e incluso un porcentaje mayor (82%) sospecha tener agentes no gestionados ejecutándose en sus entornos.
Las cadenas de suministro también tienen parte de culpa. Se estima que la empresa promedio utiliza 61 herramientas de seguridad. Y eso solo en el ámbito cibernético. En casi todos los sectores, las organizaciones han acumulado un complejo ecosistema de socios que gestionan desde la logística hasta los servicios profesionales. Además, existen proveedores digitales. Los componentes de código abierto representan una fuente creciente de riesgo.
El último factor es el entorno regulatorio. Con la aparición de nuevas leyes para fomentar la resiliencia operativa y proteger los datos personales, la tecnología de IA, los dispositivos inteligentes y otras tecnologías, la carga de trabajo de los equipos de cumplimiento ha aumentado. En algunos casos (como NIS2), la alta dirección ahora es personalmente responsable del incumplimiento. Esto ha desplazado el foco de la responsabilidad, alejándolo de los equipos de seguridad y dirigiéndolo directamente hacia la dirección empresarial.
Lo que esto significa
De acuerdo con Firma de investigación y consultoría Info-Tech Research GroupExisten tres barreras clave para la gestión integrada de riesgos:
- Falta de procesos maduros, lenguaje común, cultura de riesgo y herramientas modernas para respaldar la gestión integrada de riesgos.
- Regulaciones en rápida evolución, tecnologías emergentes y realidades geopolíticas cambiantes dificultan el mantenimiento de prácticas proactivas de gestión de riesgos.
- La gestión de riesgos se trata como un ejercicio de cumplimiento en lugar de una capacidad estratégica, lo que genera puntos ciegos y oportunidades perdidas para fortalecer la resiliencia.
En algunos casos, se espera que los CISO se hagan cargo de la creciente carga de trabajo. Universidad de Cambridge Las investigaciones demuestran que esto puede conducir a una gestión de riesgos reactiva, un cumplimiento meramente formal y, a menudo, al agotamiento. (Separado de IANS) la investigación revela El 52 % de los CISO consideran que su ámbito de responsabilidad ya no es totalmente manejable. La presión es especialmente aguda en las organizaciones más pequeñas y puede retrasar importantes iniciativas estratégicas, advierte el informe.
En definitiva, la gestión de riesgos fragmentada perjudica a la organización al aumentar la opacidad y el riesgo de filtraciones, argumenta Dom Glavach, CISO de Black Duck.
“Cuando los silos generan una supervisión desconectada, especialmente a medida que la IA acelera el ritmo, surgen riesgos en las cadenas de suministro de software, los flujos de trabajo y las operaciones comerciales. La propiedad distribuida es necesaria para mantenerse al día, ya que el riesgo cibernético abarca la seguridad, el producto, la privacidad, el cumplimiento normativo y los proveedores”, explica a IO (anteriormente ISMS.online). “Cuando los silos dificultan la supervisión, las organizaciones terminan con puntos ciegos, trabajo duplicado, respuestas más lentas y dificultades para demostrar que los controles funcionaban en toda la organización”.
Es hora de integrar
¿Qué camino deben seguir las organizaciones a partir de ahora? Info-Tech tiene un plan de cuatro puntos para la gestión integrada del riesgo cibernético:
- Establecer objetivos y gobernanza
- Desarrollar mecanismos para identificar y evaluar riesgos.
- Desarrollar opciones de respuesta ante riesgos
- Crear un plan de herramientas, monitoreo e informes.
Para Muhammad Yahya Patel, vCISO EMEA de Huntress, hay dos áreas clave en las que centrarse en primer lugar.
“En primer lugar, un marco de control común al que se alineen todas las funciones, de modo que cuando el CISO informe sobre los controles de seguridad, el responsable de protección de datos (DPO) informe sobre los controles de privacidad y el responsable de gobernanza de la IA informe sobre el riesgo del modelo, todos se refieran a la misma taxonomía de riesgos subyacente, y la junta directiva pueda ver el panorama general”, explica a IO.
A continuación, es necesario prestar atención a la dimensión de los proveedores, ya que es donde la deficiencia en la gobernanza es más acuciante actualmente. La mayoría de las organizaciones cuentan con procesos de gestión de riesgos de terceros puntuales: una evaluación al incorporar nuevos proveedores y un cuestionario al renovar el contrato. Sin embargo, carecen de visibilidad continua sobre si los controles en los que se basaron durante la evaluación siguen vigentes. El monitoreo continuo de la postura de seguridad de los proveedores, integrado con la visión interna de riesgos, es fundamental.
Donde los marcos de trabajo ayudan
Ronald Lewis, jefe de gobernanza de ciberseguridad en Pato negro, compara el proceso con la puesta a punto de un reloj antiguo, donde cada función es un engranaje.
“Cada engranaje tiene una función específica, pero ninguno opera de forma independiente. Si un engranaje está desalineado, girando demasiado rápido, demasiado lento o en la dirección equivocada, todo el sistema se desvía. Así es precisamente como se comporta el riesgo cibernético en entornos aislados. Los controles no fallan por estar mal diseñados; fallan porque no están sincronizados con las decisiones que se toman en otros lugares”, afirma.
“Ese nivel de sincronización no surge de forma espontánea. Requiere un marco de referencia. Ya sea la norma ISO 27001, el NIST o un modelo interno bien estructurado, el objetivo es establecer un lenguaje común, una taxonomía coherente y líneas claras de trazabilidad entre riesgos, controles y responsabilidades.”
Lewis explica que un marco sólido fomenta la integración entre diferentes ámbitos.
“Crea el nexo de unión entre la privacidad, la seguridad, el riesgo de terceros, la gobernanza de la IA y la resiliencia operativa. Permite visualizar no solo los riesgos individuales, sino también cómo interactúan y se multiplican”, concluye. “Sin esa estructura, no se puede lograr una supervisión integral. Con ella, se pueden alinear los engranajes, que giran de forma independiente, pero en la misma dirección, hacia un objetivo único y medible: una comprensión y gestión coherentes del riesgo cibernético en toda la empresa”.
Amplíe su conocimiento
Podcast: Phishing para causar problemas T2 E2: Cumples con las normas. ¿Eres resiliente?
