Explicación de la gestión de riesgos de seguridad de la información - ISO 27001

¿Qué es la gestión de riesgos de seguridad de la información?

Como era de esperar, significa cosas diferentes para diferentes personas. Antes de compartir mis pensamientos, vale la pena volver rápidamente a los conceptos básicos sobre la gestión de riesgos y desarrollar a partir de ahí.

La norma ISO 31000:2018 es una versión actualizada recientemente de la norma de la Organización Internacional de Normalización (ISO) para la gestión de riesgos, que define el riesgo como "el efecto de la incertidumbre sobre los objetivos".

Por lo tanto, la gestión de riesgos consiste en tomar decisiones y emprender acciones para abordar resultados inciertos, controlando cómo los riesgos podrían afectar el logro de los objetivos comerciales.

Por qué la gestión de riesgos es importante en la seguridad de la información

La gestión de riesgos de seguridad de la información (ISRM) es el proceso de identificar, evaluar y tratar los riesgos relacionados con la información valiosa de la organización. Aborda las incertidumbres en torno a esos activos para garantizar que se logren los resultados comerciales deseados.

Hay diferentes formas de gestionar el riesgo y cubriremos algunas de ellas más adelante en el artículo. No hay una talla única que sirva para todos y no todos los riesgos son malos... los riesgos también crean oportunidades, sin embargo, la mayoría de las veces se centran en las amenazas.

Por qué es importante una gestión de riesgos conjunta

Si te pidiera que apostaras (invirtieras) en que algo sucederá, por ejemplo, que el Liverpool venza al Manchester United en el fútbol, ​​probablemente considerarías varias cosas. Historia pasada, estado de forma actual, lesiones, lugar del juego, etc. También tendrías tus propios prejuicios (por ejemplo, ser fanático del Liverpool y eterno optimista) y apetito por correr riesgos (por ejemplo, cuánto de tu salario apostar a la victoria). Mi opinión sobre la inversión necesaria y el resultado esperado frente a la suya puede ser muy diferente, aunque ambos podríamos estar analizando la misma información.

El desafío no es muy diferente en las organizaciones; sin embargo, suele complicarse por la mayor cantidad de personas involucradas en las iniciativas laborales, cada una con su propia historia, sesgo, tolerancia al riesgo, etc. De hecho, muchas personas tienen experiencia en gestión de riesgos a su manera y han incorporado implícitamente su propia metodología, e incluso probablemente hayan creado sus propias herramientas. ¿Quién ha creado alguna vez un registro de riesgos como parte de un proyecto laboral? ¿Lo hizo en un documento o una hoja de cálculo e incluyó su propio proceso en la evaluación y las acciones? ¡Nosotros también hemos pasado por eso!

Se trata de un buen comienzo hacia una gestión calculada del riesgo. Cuando se trata de cumplir con regulaciones como GDPR y estándares como ISO 27001 para la gestión de seguridad de la información, hay cosas específicas que describir y demostrar. Éstas incluyen:

• Alineación de las acciones de gestión de riesgos con los objetivos de negocio.
• Una metodología coherente y repetible para "mostrar su trabajo" y garantizar que se puede aplicar de acuerdo con las normas y reglamentos (que cubriremos más en breve)

Esto te ayudará a gestionar mejor tu negocio. Te permitirá afrontar las incertidumbres, ya que estarás mejor informado sobre las medidas a tomar. Si se implementa correctamente, también funcionará como un mecanismo de protección en caso de que algo salga mal y sufras una filtración de datos personales. El Comisionado de Información (como autoridad supervisora ​​del Reino Unido en la aplicación de las multas del RGPD) tendrá en cuenta este proceso de gestión de riesgos de seguridad de la información al considerar cualquier sanción o medida coercitiva.

Por lo tanto, no solo es importante la gestión de riesgos, sino que es fundamental una gestión de riesgos integral que adopte un enfoque orientado a los objetivos empresariales para cualquier inversión o acción. Y esto aplica a cualquier tipo de riesgo, ya sea de calidad, ambiental, de salud o de ciberseguridad y seguridad de la información.

Así pues, centrémonos en esos últimos temas de ciberseguridad y seguridad de la información, y luego analicemos con mayor profundidad la metodología y el enfoque de gestión de riesgos para la norma ISO 27001 y el Reglamento General de Protección de Datos (RGPD) europeo.

¿Son diferentes la ciberseguridad y la seguridad de la información?

Sí. El término "ciberseguridad" es una incorporación reciente al vocabulario de la gestión empresarial. De hecho, hace poco más de 30 años que el gusano Morris se consideraba una de las primeras amenazas cibernéticas.

Sin embargo, el revuelo y las consecuencias de una ciberseguridad deficiente continúan creciendo exponencialmente ahora que el mundo es cada vez más digital y electrónico. Los grupos de crimen organizado (OCG, por sus siglas en inglés) serios están mirando más allá del crimen tradicional para explotar esas vulnerabilidades cibernéticas.

Con las cuantiosas multas derivadas de las filtraciones de datos personales , el RGPD también ha elevado el listón en cuanto a los motivos para reforzar toda la infraestructura.

La ciberseguridad y la seguridad de la información suelen considerarse sinónimos, pero no lo son. Sin entrar en un debate teórico o académico profundo, la ciberseguridad se centra principalmente en la protección de la información almacenada electrónicamente. Esto significa que es un subconjunto de una estrategia más amplia de seguridad de la información, que abarca la protección de la información desde todos los ángulos.

La seguridad de la información también implica seguridad física (por ejemplo, cerraduras en las puertas) y seguridad basada en las personas (por ejemplo, cuando una persona clave de la organización se va, o se enferma, con todo el conocimiento en su cabeza, ¿qué medidas se toman para mantener ese activo protegido para que no se utilice si se va, o para que esté disponible si está de baja por enfermedad?).

En la norma ISO 27000, la seguridad de la información se define como: « La preservación de la confidencialidad, la integridad y la disponibilidad de la información ». Esto incluye implícitamente la ciberseguridad. Normas internacionales como la ISO 27001 y el RGPD también exigen que se considere la seguridad de la información en su sentido más integral.

Cyber ​​Essentials se centra específicamente en algunas de las áreas de control de alto riesgo que ayudan a prevenir pérdidas cibernéticas. Cyber ​​Essentials complementa la norma ISO 27001 y el RGPD. Constituye una buena base para las pequeñas empresas que dependen de servicios digitales.

Si bien se suele pensar que la ciberseguridad se centra en las amenazas externas, los problemas cibernéticos también pueden surgir internamente. El control de acceso y la protección física son fundamentales para la gestión de amenazas, tanto internas como externas.

Algunas personas también ven la seguridad de TI como sinónimo de seguridad de la información, pero en mi opinión, eso es poco probable, sin tener claro el panorama general a continuación y un papel más estratégico y holístico para TI (o cualquier otro acrónimo de departamento de 2 o 3 letras).

Uno de los peligros de centrarse exclusivamente en la gestión de riesgos de ciberseguridad es que esta se deja en manos de quienes poseen conocimientos de informática. Lo mismo ocurre con la seguridad física, que se deja en manos del departamento de gestión de instalaciones, o con otros asuntos relacionados con el personal (como el ejemplo anterior sobre ausencias o enfermedades), que se dejan únicamente en manos del departamento de recursos humanos.

No me malinterpreten, son partes interesadas clave. Sin embargo, sin un enfoque integral y coordinado de la gestión de riesgos de seguridad de la información, liderado por la empresa, existe la posibilidad de implementar soluciones erróneas. Esto podría generar más riesgos y costos, especialmente si el personal y la cadena de suministro no adoptan las políticas y los controles, o si les resulta demasiado complicado seguirlos, con múltiples obstáculos, a veces contradictorios.

Lo que es más importante es aclarar el papel y el alcance de su equipo (de TI) y tener claro qué tan integrados están (o no) en los objetivos comerciales junto con la influencia que tienen en la toma de decisiones.

Lo mismo ocurre con los demás departamentos, independientemente del letrero que haya sobre la puerta. Solemos decir que no se trata de seguridad de la información, sino de hacer negocios de forma segura; y eso la convierte en responsabilidad de todos. Sin embargo, se necesita un liderazgo claro y rendición de cuentas para tener posibilidades de obtener la certificación ISO 27001.

La norma ISO 27001 es excelente para ayudar a una organización a adoptar un enfoque estructurado, partiendo de su propósito, problemas, partes interesadas , alcance, información en riesgo, etc. En este proceso, se identificará quién debe participar. ¡Y ojo! No se limitará solo al equipo de TI, ¡y abarcará más que solo la ciberseguridad!

Metodología de gestión de riesgos

El artículo 32 del Reglamento General de Protección de Datos (RGPD) de la UE establece explícitamente que una organización debe evaluar los riesgos utilizando los principios de Confidencialidad, Integridad y Disponibilidad (CIA). Esto se alinea perfectamente con la norma ISO 27001, ya que también se espera que aplique el enfoque CIA. Por lo tanto, puede utilizar un único enfoque de gestión de riesgos de seguridad de la información para todos sus activos de información , no solo para los datos personales.

• Confidencialidad: la información no se pone a disposición ni se divulga a personas, entidades o procesos no autorizados.

• Integridad: salvaguardar la exactitud e integridad de los activos de información

• Disponibilidad: ser accesible y utilizable a pedido por una entidad autorizada

La CIA (Inteligencia, Competencia y Confiabilidad) de la seguridad de la información sustenta todo lo demás que se haga en la evaluación de riesgos y ayuda a orientar los pasos a seguir. Al comenzar a desarrollar la metodología para la gestión de riesgos de seguridad de la información , uno de los aspectos que a menudo se pasan por alto son los conflictos y las prioridades al abordar los riesgos basados ​​en la CIA.

Por ejemplo, ¿qué ocurre si se produce una filtración de datos (confidencialidad)? ¿Se desconectan los servicios o se mantienen activos (disponibilidad)? Si se busca obtener la certificación UKAS ISO 27001, el auditor externo esperará ver cómo se gestionan los conflictos y los riesgos prioritarios en la documentación. Es un detalle que requiere atención, pero primero resumamos las áreas clave que conviene documentar (de forma breve pero clara) en la metodología de gestión de riesgos.

¿Cuáles son los 5 pasos en un proceso de gestión de riesgos?

Supongamos que su objetivo es obtener la certificación ISO 27001, cumpliendo al mismo tiempo con el RGPD. Diseñaremos nuestra metodología de gestión de riesgos de seguridad de la información teniendo esto en cuenta.

1. Identificación de riesgos

El primer paso en el proceso de gestión de riesgos es identificar el riesgo. La fuente del riesgo puede provenir de un activo de información , estar relacionada con un problema interno o externo (por ejemplo, asociado a un proceso, al plan de negocios, etc.) o ser un riesgo relacionado con una parte interesada o un grupo de interés.

2. Análisis de riesgos

Una vez que conozca los riesgos, debe considerar la probabilidad y el impacto (LI) para poder distinguir entre (digamos) baja probabilidad y bajo impacto, versus los más altos.

3. Evaluación de riesgos

Tras analizar el riesgo, podrá priorizar las inversiones donde más se necesiten y realizar revisiones basadas en el posicionamiento de los indicadores de riesgo. Es fundamental documentar el significado de cada posición para que cualquier persona que siga el método pueda aplicarla. Utilizamos un sistema de cuadrícula de 5 x 5 en nuestra herramienta de gestión de riesgos de seguridad de la información, fácil de usar, dentro de ISMS.online . (Consejo: También incluye un banco de riesgos con los riesgos y tratamientos más comunes, lo que ahorra muchísimo tiempo).

Los criterios incluyen un rango de probabilidad que va desde muy baja hasta muy alta. Tiene una explicación de lo que eso significa, por ejemplo, muy bajo no tiene antecedentes de ocurrencia y se necesitarían habilidades especializadas y una gran inversión para que ocurra. Los criterios de impacto van desde muy bajos con consecuencias y costos insignificantes, hasta muy altos, lo que supone la muerte casi segura de la empresa. Te dan la imagen. No es difícil, sólo necesita claridad y documentación; de lo contrario, mi 3×4 podría ser diferente al tuyo y terminaríamos donde empezamos, en la parte superior de la página.

4. Tratamiento de riesgos

El tratamiento del riesgo, que también se conoce como "planificación de la respuesta al riesgo", debe incluir la evidencia detrás del tratamiento del riesgo.

En términos sencillos, el " tratamiento de riesgos " puede referirse al trabajo que se realiza internamente para controlar y tolerar el riesgo, o a las medidas que se toman para transferir el riesgo (por ejemplo, a un proveedor), o incluso a la eliminación total del riesgo.

La norma ISO 27001 también resulta muy útil en este caso, ya que incluye un Anexo A con objetivos de control que deben considerarse en el tratamiento, los cuales constituirán la base de la Declaración de Aplicabilidad. Los controles del Anexo A también permiten un análisis exhaustivo y permiten identificar posibles riesgos que no se habían tenido en cuenta previamente.

5. Monitorear y revisar el riesgo

La primera parte de la etapa de seguimiento y revisión del proceso de gestión de riesgos es describir sus procesos de seguimiento y revisión. Esto se puede dividir en las siguientes áreas:

-Compromiso y sensibilización del personal.

Involucre al personal adecuado en el proceso con regularidad y tenga un foro para dar y recibir comentarios.

Debe tener un propietario para cada riesgo, por lo que podría intentar delegarlo en la primera línea según el modelo ampliamente reconocido de "tres líneas de defensa".

– Revisiones de gestión

Las revisiones de riesgos son una parte estándar de la agenda 9.3 y usted podría decidir tener propietarios de riesgos en este nivel, delegando el trabajo operativo a la línea 1 pero conservando la propiedad.

Las revisiones de gestión deben ser al menos anuales (recomendamos que sean mucho más frecuentes), pero es posible que no sean lo suficientemente extensas para analizar cada riesgo en detalle y cubrir también todos los demás puntos de la agenda. Por ello, también recomendamos un proceso en el que el responsable del riesgo se encargue de revisar la evaluación en función de su posición en la matriz; por ejemplo, una revisión mensual para un riesgo de muy alta probabilidad y muy alto impacto, mientras que una revisión anual es suficiente para un riesgo de muy baja probabilidad y muy bajo impacto. De esta forma, se demuestra al auditor que dichas revisiones de riesgos son pragmáticas, basadas en el impacto y la probabilidad, lo cual resulta atractivo para ellos.

– Mejoramiento

Las auditorías internas y el uso de los demás mecanismos contemplados en la cláusula 10 en relación con la mejora pueden asociarse perfectamente con el proceso de revisión de riesgos, que es más estratégico.

Requisitos de gestión de riesgos de ISO 27001:2013/17

Hay dos requisitos principales donde se expresa la gestión de riesgos: la Cláusula 6 Planificación y la Cláusula 8 Operación.

La cláusula 8 trata simplemente de implementar y operar lo que describió para 6.1, así que concentrémonos en 6.1 aquí sabiendo que debe vivirlo y respirarlo en la práctica (8) para tener la posibilidad de administrar bien el negocio y obtener la certificación.

Cláusula 6.1: Acciones para abordar riesgos y oportunidades

Recordemos también que este proceso debe estar dirigido por objetivos comerciales (es decir, establecer el contexto arriba), por lo que debe demostrar que el sistema de gestión de seguridad de la información puede:

• lograr los resultados previstos
• prevenir o reducir los efectos no deseados
• a lograr mejora continua

Si adopta un enfoque descendente, en los requisitos ISO anteriores habrá considerado el contexto y el propósito de su organización, así como los problemas a los que se enfrenta (4.1), las partes interesadas (4.2), el alcance (4.3), los activos de información, etc., tal como se ilustra en la imagen a continuación (este es un extracto de nuestro programa de formación virtual ISO 27001 en ISMS.online . Este es el enfoque más lógico).

La organización tiene que planificar cómo abordar los riesgos, amenazas y oportunidades. ISO 27001 también está muy interesado en:

1. Cómo se integran los riesgos en el contexto más amplio sistema de gestión de seguridad de la información
2. Cómo se toman las acciones y evaluación de la efectividad de las acciones tomadas en el camino

Al igual que en el ejemplo anterior sobre la priorización de riesgos y los conflictos, también hay un poco más de detalles. 6.1 también incluye la necesidad de documentar los criterios de aceptación de riesgos para realizar evaluaciones de riesgos y cómo todos ellos producen resultados consistentes, válidos y comparables en torno a la CIA de los activos de información dentro del alcance.

Un auditor externo esperará ver una metodología que explique bien todas estas cosas y tendrá mayor confianza al ver con qué facilidad opera el SGSI de manera conjunta. ¡Es algo hermoso cuando sus activos de información se vinculan bien con los riesgos y ellos, a su vez, se conectan con las políticas y controles que se utilizan para abordarlos!

Si le gusta investigar esta área (y tiene mucho tiempo y dinero), también puede comprar estándares para ISO 27005 e ISO 31000 para profundizar realmente en estos temas... por otra parte...

Hagas lo que hagas, asegúrate de que sea práctico y viable de acuerdo con tus objetivos comerciales.

No abrumes los recursos que lo administrarán (especialmente si tienen otro trabajo diario), ya que no se realizará y estarás en problemas.

No sirve de nada idear un método de simulación Monte Carlo muy sofisticado y algoritmos complejos para calcular el riesgo y desempeñar un papel de tiempo completo si no lo necesita. Del mismo modo, es poco probable que simplemente incluir algunos riesgos en un documento sin un método de análisis, acción y monitoreo satisfaga su necesidad de toma de decisiones comerciales y no será compatible con un auditor externo durante la certificación.

Para darle vida a todo esto, probablemente explicarás la metodología con texto e imágenes simples. Luego, para gestionar realmente el riesgo de seguridad de la información de forma operativa, también necesitará una herramienta para realizar el trabajo.

¿Debería crear su propia herramienta de gestión de riesgos de seguridad de la información?

Cualquier persona competente con hojas de cálculo tiene la capacidad de crear su propio registro de riesgos y es una opción popular, especialmente para organizaciones que son nuevas en ISO 27001 o que no pueden permitirse (o realmente no necesitan) algunas de las herramientas de riesgo independientes de peso pesado del mercado. mercado.

Desafíos con ambos enfoques

Las hojas de cálculo y los documentos incluyen:

• Se percibe como gratuito y, si bien el tiempo que lleva construir inicialmente una herramienta es relativamente rápido, administrarla con el tiempo es cada vez más doloroso a medida que el SGSI madura.
• La vinculación con los activos de información y los controles/políticas en uso es torpe y, en el mejor de los casos, apunta a otros sistemas y, en el peor, no evidencia nada.
• No es fácil documentar el trabajo realizado en torno al riesgo con su movimiento a lo largo del tiempo para ver que las inversiones están funcionando (especialmente en un campo de Excel).
• No es posible configurar tareas y revisiones/recordatorios, por lo que significa programar otro trabajo en otro lugar.
• El control de versiones es un trabajo duro y no es fácil ver rápidamente el historial anterior. Es una pesadilla si diferentes partes interesadas también mantienen múltiples versiones localmente.
• Se complica con muchos riesgos y la visualización no siempre es fácil para llegar a la señal del ruido.
• Bueno para la persona que lo construyó, pero no siempre es fácil de construir o usar para otros.

Las soluciones expertas en gestión de riesgos independientes incluyen:

• Puede ser costoso adquirirlo y necesita mucha personalización o consultoría antes de su uso.
• Puede requerir mucha capacitación: alimentar a una bestia y, a veces, perder el sentido de la gestión de riesgos para profesionales ocupados que no son gestores de riesgos a tiempo completo.
• No siempre se vincule con el SGSI más amplio, lo que significa reelaboración o uso de múltiples sistemas; en el peor de los casos, el resultado es que la herramienta independiente entre en conflicto con otros sistemas que haya adquirido, no necesariamente en el momento de la compra, sino a medida que los proveedores de aplicaciones agregan o cambian. características

Estas reflexiones se basan en nuestra propia experiencia y en la de los clientes con los que trabajamos en los inicios de ISMS.online como una plataforma integral de gestión de seguridad de la información (ISMS). También analizamos las 10 características clave de un ISMS en nuestro informe técnico sobre el plan de negocios, así que si desea obtener más información sobre cómo invertir en una herramienta, descárguelo aquí.

Si el desarrollo de software de seguridad no es su especialidad y le interesa seriamente la gestión de riesgos de seguridad de la información sin gastar una fortuna, solicite una demostración de ISMS.online ahora. Es ideal si busca una solución integral lista para usar, que le ayudará a alcanzar rápidamente la certificación ISO 27001 y el cumplimiento del RGPD en materia de gestión de riesgos.