Como comentábamos en el otro artículo, uno de los principales problemas prácticos de las nuevas Guidelines es el tratamiento de aquellos proveedores cuyo servicio principal es de naturaleza no TIC, pero que utilizan sistemas, aplicaciones, plataformas o subproveedores TIC para prestar dicho servicio, situación especialmente frecuente en servicios de recursos humanos, nóminas, KYC/AML, servicing, gestión documental,… Seguir leyendo EBA y los no TIC (Parte 2)
Categoría: GRC
EBA y los no TIC
El pasado 18 de septiembre se publicaron (no vigentes) las nuevas directrices de la EBA en las que devuelve de forma oficial la pelota de los proveedores TIC a DORA, centrándose en los restantes (que realmente pueden ser TICs bajo nuestro concepto). Pero veámoslo con detalle. 1. Del outsourcing al riesgo de terceros Hasta ahora,… Seguir leyendo EBA y los no TIC
El envejecimiento
La gestión de riesgos suele pivotar sobre cómo cambian las amenazas, las vulnerabilidades o los activos críticos. Sin embargo, existe una variable que muchas organizaciones siguen tratando como si fuera relativamente estable, que es la eficacia de sus controles. El problema es que un control no opera en el vacío, pues depende de personas, procesos,… Seguir leyendo El envejecimiento
Origen
El análisis de riesgos de IT no nació para combatir malware o ataques por Internet, sino que su origen está en un problema mucho más antiguos, que es cómo permitir que varias personas compartieran un ordenador sin que pudieran acceder a los secretos de los demás. La historia comienza en Estados Unidos, durante la Guerra… Seguir leyendo Origen
¿Puede existir más de una metodología de riesgos en una empresa?
En muchas empresas, la gestión del riesgo ciber nace con una pregunta aparentemente sencilla y es que ¿debemos adoptar una única metodología para toda la organización o permitir que coexistan varias? Lo cierto es que la respuesta no debería reducirse a una elección rígida entre orden y flexibilidad, pues en ciberseguridad, donde conviven riesgos técnicos, regulatorios, operativos,… Seguir leyendo ¿Puede existir más de una metodología de riesgos en una empresa?
Cuando más seguridad no significa menos riesgo
La postura de ciberseguridad se ha construido sobre una premisa aparentemente indiscutible que es que, si un control reduce riesgo, añadir más controles debería reducir todavía más y, aunque sobre el papel, la lógica parece sólida, en la práctica no siempre funciona así porque no es directamente proporcional. De hecho, llega un punto en el… Seguir leyendo Cuando más seguridad no significa menos riesgo
Apetito, tolerancia y exposición
Una de las expresiones más repetidas y peor entendidas es la de “apetito de riesgo” puesto que, aunque muchas organizaciones afirman tener un apetito bajo, muy bajo o incluso nulo frente al riesgo ciber, la realidad es que no siempre saben traducir esa idea a una metodología práctica, y es que el problema no es… Seguir leyendo Apetito, tolerancia y exposición
Patrones de riesgo
Los análisis del riesgo han evolucionado desde enfoques centrados exclusivamente en vulnerabilidades técnicas hacia modelos más abstractos y sistémicos, capaces de explicar la recurrencia de los incidentes de seguridad en contextos tecnológicos y organizativos muy diversos, lo que implica hacer foco en los patrones de riesgo como instrumento principal en la identificación de las configuraciones… Seguir leyendo Patrones de riesgo
Bayes y el riesgo
Thomas Bayes (c. 1701-1761) fue un matemático y teólogo inglés que desarrolló el teorema que formaliza la inferencia bayesiana en la que se aborda la «probabilidad inversa», que consiste en inferir la probabilidad de una hipótesis a partir de los efectos observados, invirtiendo el sentido habitual de la probabilidad condicional. Es decir, supongamos que analizamos logs… Seguir leyendo Bayes y el riesgo
El círculo conductual
Lo cierto es que no en pocas empresas el análisis de riesgos de ciberseguridad vive en un mundo, y la formación de usuarios en otro. Los primeros generan matrices de impacto y probabilidad muy sofisticadas, mientras que la segunda se traduce en cursos genéricos que cambian poco año tras año, con el consiguiente desajuste, pues… Seguir leyendo El círculo conductual