La postura de ciberseguridad se ha construido sobre una premisa aparentemente indiscutible que es que, si un control reduce riesgo, añadir más controles debería reducir todavía más y, aunque sobre el papel, la lógica parece sólida, en la práctica no siempre funciona así porque no es directamente proporcional. De hecho, llega un punto en el… Seguir leyendo Cuando más seguridad no significa menos riesgo
Etiqueta: GRC
El arte de cuantificar el impacto cibernético
La madurez de una función de ciberseguridad no se mide solo por su capacidad para detectar amenazas o responder con rapidez, sino también por su capacidad para explicar el impacto de un incidente en términos que el negocio pueda entender y valorar. La cuantificación no es “ponerle un precio” de forma arbitraria a un evento técnico,… Seguir leyendo El arte de cuantificar el impacto cibernético
Apetito, tolerancia y exposición
Una de las expresiones más repetidas y peor entendidas es la de “apetito de riesgo” puesto que, aunque muchas organizaciones afirman tener un apetito bajo, muy bajo o incluso nulo frente al riesgo ciber, la realidad es que no siempre saben traducir esa idea a una metodología práctica, y es que el problema no es… Seguir leyendo Apetito, tolerancia y exposición
Patrones de riesgo
Los análisis del riesgo han evolucionado desde enfoques centrados exclusivamente en vulnerabilidades técnicas hacia modelos más abstractos y sistémicos, capaces de explicar la recurrencia de los incidentes de seguridad en contextos tecnológicos y organizativos muy diversos, lo que implica hacer foco en los patrones de riesgo como instrumento principal en la identificación de las configuraciones… Seguir leyendo Patrones de riesgo
Decisiones
Los riesgos —tanto en ciberseguridad como en la vida— no son otra cosa que la aceptación de algo incómodo, que es que vivimos en una incertidumbre estructural y, aun así, tenemos que decidir y responsabilizarnos de lo que decidimos. Lo cierto es que el riesgo es una forma moderna de nombrar a una vieja pregunta,… Seguir leyendo Decisiones
Bayes y el riesgo
Thomas Bayes (c. 1701-1761) fue un matemático y teólogo inglés que desarrolló el teorema que formaliza la inferencia bayesiana en la que se aborda la «probabilidad inversa», que consiste en inferir la probabilidad de una hipótesis a partir de los efectos observados, invirtiendo el sentido habitual de la probabilidad condicional. Es decir, supongamos que analizamos logs… Seguir leyendo Bayes y el riesgo
El círculo conductual
Lo cierto es que no en pocas empresas el análisis de riesgos de ciberseguridad vive en un mundo, y la formación de usuarios en otro. Los primeros generan matrices de impacto y probabilidad muy sofisticadas, mientras que la segunda se traduce en cursos genéricos que cambian poco año tras año, con el consiguiente desajuste, pues… Seguir leyendo El círculo conductual
Dimensionamiento basado en riesgo
El dimensionamiento de los equipos de ciberseguridad ha sido históricamente un punto de debate entre CISOs y directivos, ya que tradicionalmente se ha basado en modelos que asignan recursos humanos según el tamaño de la infraestructura tecnológica —como el número de usuarios, servidores o endpoints— y, aunque práctico, resulta limitado al ignorar factores esenciales como… Seguir leyendo Dimensionamiento basado en riesgo
Cuando el castellano nos juega una mala pasada
En la gestión de riesgos digitales, el lenguaje no es un asunto menor, puesto que la forma en la que nombramos y categorizamos un riesgo influye en cómo se interpreta, prioriza y finalmente se gestiona en una organización. En español solemos utilizar la palabra «emergente» para referirnos tanto a lo «emergent» como a lo «emerging«, dos términos en inglés que,… Seguir leyendo Cuando el castellano nos juega una mala pasada
¿Qué no es un riesgo?
¿Quién no ha escuchado nunca en una reunión o comité afirmaciones como “tenemos un riesgo en el servidor”, “el ransomware es un riesgo creciente”, o incluso “los usuarios son el mayor riesgo”?. Estas expresiones, aunque bien intencionadas, revelan una confusión fundamental entre lo que constituye un riesgo y lo que no lo es. Desde un… Seguir leyendo ¿Qué no es un riesgo?