Esto crea un desafío para los CISO. Los equipos de seguridad pueden comprender la gravedad técnica de una vulnerabilidad, la sofisticación de un actor de amenaza o la ruta probable de un ataque, pero las juntas y los equipos ejecutivos deben comprender algo diferente: ¿Qué podría significar esto para la empresa?
Podría interrumpir operaciones críticas? Podría exponer datos confidenciales? Podría retrasar los ingresos? Podría desencadenar un escrutinio reglamentario? Podría dañar la confianza del cliente? Podría afectar la capacidad de la organización para prestar servicios esenciales?
Evaluar el riesgo cibernético en términos comerciales significa traducir la exposición técnica en impacto comercial . Ayuda a los líderes a tomar mejores decisiones sobre la inversión, la priorización y la resiliencia. También ayuda a los CISO a alejar la conversación de los puntajes de riesgo abstractos y acercarlos a los resultados que la organización está tratando de proteger.
Un marco práctico para evaluar el riesgo cibernético en términos comerciales
Una evaluación del riesgo cibernético debe conectar cinco cosas:
- Activos comerciales críticos : ¿Qué sistemas, datos, procesos, servicios y terceros son esenciales para la organización?
- Exposición a amenazas : ¿Qué ciberamenazas son más relevantes para esos activos, según el sector, la geografía, el modelo operativo y el panorama de amenazas de la organización?
- Probabilidad : ¿Qué posibilidades hay de que una amenaza pueda afectar a la organización, dadas las vulnerabilidades, los controles, la actividad del atacante y la madurez de la seguridad actuales?
- Impacto empresarial : Si la amenaza se materializa, ¿cuáles serían las consecuencias en términos financieros, operativos, regulatorios y de reputación?
- Prioridad de decisión: ¿Qué debe hacer la organización primero, según el nivel de riesgo, los recursos disponibles y los objetivos comerciales?
Este marco brinda a los CISO una forma estructurada de explicar el riesgo cibernético sin reducirlo a un lenguaje técnico. También admite una toma de decisiones más práctica: una vulnerabilidad no es automáticamente un problema a nivel de la junta porque tiene una clasificación de gravedad alta; se convierte en un problema a nivel de la junta cuando afecta a algo que es importante para la empresa.
Comience con el negocio, no con la amenaza
Muchas evaluaciones de riesgo cibernético comienzan con aportes técnicos: vulnerabilidades, alertas, lagunas de control, informes de incidentes o hallazgos de auditoría. Estos son esenciales, pero no son el mejor punto de partida para una conversación de negocios.
Un mejor punto de partida es pensar en esta pregunta: ¿Qué debe proteger la organización para operar, crecer y retener la confianza?
Para un banco, esto podría incluir sistemas de pago, cuentas de clientes, plataformas comerciales, sistemas de identidad y procesos de informes reglamentarios. Para un fabricante, es probable que incluya líneas de producción, sistemas de control industrial, plataformas de la cadena de suministro y propiedad intelectual. Y para una operación de atención médica, incluiría registros de pacientes, sistemas clínicos, dispositivos médicos conectados y sistemas de programación de citas.
El punto clave es el siguiente: el mismo evento cibernético puede tener consecuencias comerciales muy diferentes según el lugar donde aterrice: un ataque de ransomware contra un entorno de prueba aislado no es lo mismo que un ransomware que afecta a los sistemas de producción, los servicios de cara al cliente o la tecnología operativa; una cuenta de empleado comprometida no es lo mismo que una cuenta de administrador comprometida con acceso a datos confidenciales o infraestructura crítica.
Por eso el contexto de los activos es tan importante. Los CISO deben saber no solo qué es vulnerable, sino qué es lo que respalda el activo vulnerable.
Traducir la exposición técnica en impacto comercial
Los equipos de ciberseguridad a menudo describen el riesgo en términos de CVE, vectores de ataque, indicadores de compromiso, configuraciones incorrectas y cobertura de detección. Estos detalles importan, pero no necesariamente responden a la pregunta ejecutiva: ¿y qué?
Para evaluar el riesgo cibernético en términos comerciales, traduzca la exposición técnica en categorías que la empresa ya comprenda. Por ejemplo:
- Impacto operativo: ¿Podría esto interrumpir los servicios básicos, la producción, la logística, la atención al cliente o las operaciones internas?
- Repercusión financiera: ¿Podría provocar una pérdida de ingresos, costes de recuperación, demandas de rescate, costes legales, compensación del cliente o un aumento de las primas de seguros?
- Impacto regulatorio: ¿Podría desencadenar informes obligatorios, sanciones, auditorías o acciones legales?
- Impacto en la reputación: ¿Podría dañar la confianza del cliente, la confianza de los socios, la percepción del mercado o la confianza de los inversores?
- Impacto estratégico: ¿Podría retrasar los proyectos de transformación, las fusiones, la expansión del mercado o las iniciativas digitales?
Esta traducción no necesita ser perfecta para ser útil. En muchos casos, una estimación direccional es suficiente para respaldar la priorización informada. El objetivo no es producir una falsa sensación de certeza matemática, sino dar a los líderes una visión más clara de las consecuencias asociadas a las decisiones cibernéticas.
Evalúe la probabilidad utilizando el contexto de la amenaza, no con conjeturas
La probabilidad es a menudo la parte más débil de una discusión sobre el riesgo cibernético. Puede ser tentador describir la probabilidad como baja, media o alta según la intuición. Pero las decisiones de riesgo empresarial necesitan una base más sólida que el instinto.
Una evaluación creíble considera varios insumos:
Actividad relevante del actor de amenaza
¿Los grupos de ciberdelincuentes, actores vinculados al estado o hacktivistas están apuntando activamente al sector, la región o la pila de tecnología de la organización?
Vulnerabilidades conocidas
¿Existen debilidades explotables en los sistemas conectados a Internet, los puntos finales, los entornos de nube, la infraestructura de identidad o la tecnología operativa?
Efectividad de control
¿Los controles de seguridad funcionan según lo previsto y se están probando con técnicas de ataque realistas?
Madurez de detección y respuesta
¿Puede la organización detectar los primeros signos de compromiso y responder antes de que un incidente técnico se convierta en una crisis empresarial?
Dependencia de terceros
¿Un proveedor, proveedor de software, servicio administrado o socio podría introducir riesgos en las operaciones críticas?
La inteligencia de amenazas es especialmente valiosa aquí porque proporciona un contexto adicional sobre las amenazas emergentes y la actividad del atacante observada, incluidos los sectores a los que se dirige, las tácticas que se utilizan y los indicadores que pueden apuntar a una actividad de ataque temprana. El valor de la inteligencia sobre amenazas depende de la calidad, la amplitud y la relevancia de sus fuentes de datos, por lo que una visibilidad global sólida y una recopilación de inteligencia confiable son esenciales para proporcionar un contexto útil y oportuno.
Para los CISO, esto proporciona una base más sólida para las conversaciones de riesgo. El mensaje cambia de "esta es una vulnerabilidad grave" a "esta vulnerabilidad es importante porque se puede explotar, es relevante para nuestro entorno y está asociada con una actividad de amenaza activa".
Cuantifique cuando sea posible, califique cuando sea necesario
Los líderes empresariales a menudo quieren que el riesgo cibernético se exprese en términos financieros , lo cual es razonable: la seguridad cibernética compite por el presupuesto con otras prioridades comerciales, por lo que los CISO necesitan una forma de explicar el valor de reducir el riesgo.
Cuando sea posible, cuantifique el riesgo cibernético utilizando rangos de costos. Estos pueden incluir:
- Costo estimado del tiempo de inactividad por hora o día
- Pérdida potencial de ingresos por interrupción del servicio
- Costos de recuperación y reparación
- Costos legales, reglamentarios o de notificación
- Compensación del cliente potencial o sanciones contractuales
- Costo de la productividad perdida
- Impacto potencial en las primas de seguros
- Costo de las iniciativas comerciales demoradas.
Sin embargo, no todos los riesgos se pueden cuantificar con precisión. Algunos impactos, como el daño a la reputación, la pérdida de la confianza de las partes interesadas o el retraso estratégico, pueden necesitar una descripción cualitativa.
Una buena evaluación de riesgos comerciales utiliza ambos enfoques. Evita vagos alarmismos, pero también evita pretender que cada consecuencia se pueda reducir a un solo número.
Este es un formato útil:
si este riesgo se materializa, el impacto comercial probable es la interrupción del [proceso crítico], que afecta a la [unidad comercial, grupo de clientes o mercado], con posibles consecuencias que incluyen el [impacto financiero, reglamentario, operativo o reputacional].
Esto crea una línea clara entre el problema técnico y el resultado comercial.
Priorice el riesgo según las consecuencias comerciales
Los equipos de seguridad empresarial no pueden solucionar todo a la vez. La pregunta no es si todos los riesgos son importantes, sino cuáles son los más importantes.
La priorización debe basarse en las consecuencias comerciales, la explotación y la exposición. Una vulnerabilidad técnicamente grave en un activo aislado de bajo valor puede ser menos urgente que una vulnerabilidad moderada que afecte a un sistema crítico para la empresa expuesto a un ataque activo. De manera similar, una debilidad de control en la administración de identidades y accesos puede conllevar un mayor riesgo empresarial que un problema de punto final localizado.
Los CISO deben considerar cuatro preguntas de priorización:
- Qué función comercial admite este activo?
- Qué tan expuesto está a los posibles atacantes?
- Qué tan efectivos son los controles actuales?
- Qué pasaría si fallara, estuviera cifrada, fuera manipulada o un atacante acceda a ella?
Esto ayuda a los equipos de seguridad a pasar de la priorización basada en el volumen a la priorización basada en las consecuencias. El objetivo no es crear más trabajo. Se trata de centrar los esfuerzos de reparación, supervisión y respuesta donde puedan reducir el riesgo más significativo .
Conectar el riesgo cibernético con la resiliencia
Además de respaldar la prevención, la evaluación del riesgo cibernético en términos comerciales también debería respaldar la resiliencia.
Un incidente cibernético se convierte en una crisis empresarial cuando la organización no puede detectarlo, contenerlo y recuperarse con la suficiente rapidez. La detección, respuesta, contención y recuperación son, por tanto, parte de la ecuación de riesgo empresarial. Una amenaza que se puede detectar rápidamente, contener de manera efectiva y recuperar con una interrupción mínima presenta un nivel de riesgo comercial diferente al que permanece oculto durante semanas o se propaga a través de sistemas críticos.
Aquí es donde la preparación para incidentes se vuelve central. Los CISO deben evaluar si la organización puede responder preguntas prácticas antes de que ocurra un incidente:
- Quién toma las decisiones durante una cibercrisis?
- Qué sistemas deben restaurarse primero?
- Con qué rapidez puede la organización aislar los activos afectados?
- Qué pruebas se deben conservar para la investigación?
- Qué reguladores, clientes o socios pueden necesitar ser notificados?
- Cómo se comunicará la organización interna y externamente?
- Qué soporte de expertos está disponible si los equipos internos se expanden?
Estas preguntas convierten la evaluación del riesgo cibernético en preparación operativa. También ayudan a las juntas directivas a comprender que la resiliencia no es un concepto teórico, sino la capacidad de la organización para seguir funcionando bajo presión.
Utilice escenarios para hacer que el riesgo cibernético sea real
Una de las formas más efectivas de comunicar el riesgo cibernético en términos comerciales es utilizar escenarios.
Un escenario convierte un riesgo técnico en una historia comercial. Por ejemplo:
Escenario: El ransomware afecta a los sistemas que admiten las operaciones logísticas regionales
Impacto comercial: el cumplimiento de los pedidos se retrasa, los volúmenes de servicio al cliente aumentan, se pueden aplicar sanciones contractuales y los ingresos pueden retrasarse.
Factores de riesgo: acceso remoto expuesto, cobertura de puntos finales inconsistente, segmentación de red limitada y pruebas de recuperación insuficientes.
Decisión comercial: invierta en una detección y respuesta más sólidas, mejore las pruebas de respaldo, acelere la segmentación de la red y ejecute una simulación de incidente con los líderes operativos.
Este tipo de escenario es más útil que una declaración de riesgo genérica. Ayuda a los ejecutivos a comprender la cadena de consecuencias y fomenta la propiedad interfuncional, porque el impacto ya no se limita a la TI o la seguridad.
Los buenos escenarios son específicos, plausibles y están vinculados a las prioridades comerciales. Deben reflejar el modelo operativo real de la organización, no supuestos genéricos del peor de los casos.
Construir un lenguaje común con la pizarra
Las juntas directivas no necesitan comprender todos los detalles técnicos de la ciberseguridad, pero sí necesitan una forma coherente de analizar el riesgo, la exposición y la resistencia. Los CISO pueden respaldar esto informando el riesgo cibernético a través de un pequeño conjunto de medidas centradas en el negocio, como:
- Riesgo para servicios comerciales críticos
- Exposición de activos de alto valor
- Preparación para detectar y responder a amenazas prioritarias
- Progreso de la reparación contra riesgos críticos para el negocio
- Terceros riesgo que afecta a operaciones esenciales
- Preparación para la respuesta a incidentes
- Inversión en seguridad asignada a la reducción de riesgos.
Esto crea una conversación más útil. En lugar de preguntarse si la organización es 'segura', el liderazgo puede hacer preguntas más precisas: ¿Dónde estamos más expuestos, qué podría afectar las operaciones, qué estamos haciendo al respecto y qué riesgo queda?
Ese último punto es importante: la ciberseguridad no puede eliminar el riesgo; ayuda a las organizaciones a reducirlo, administrarlo y supervisarlo. Los líderes empresariales deben comprender el riesgo residual para poder tomar decisiones informadas sobre la inversión, la tolerancia y la responsabilidad.
Cómo las capacidades de ciberseguridad apoyan la evaluación de riesgos comerciales
Una evaluación de riesgos cibernéticos dirigida por la empresa depende de una información de seguridad precisa. Los CISO necesitan visibilidad de los activos, las amenazas, las vulnerabilidades, los controles, los incidentes y la capacidad de respuesta.
Aquí es donde las capacidades de ciberseguridad empresarial juegan un papel práctico:
- la inteligencia de amenazas ayuda a identificar la actividad relevante del atacante, las amenazas emergentes y los indicadores que pueden afectar a la organización.
- Las capacidades de detección y respuesta ayudan a reducir el tiempo entre el compromiso y la contención.
- Las operaciones de seguridad admiten la supervisión, la investigación y la escalada continuas.
- Los servicios de respuesta a incidentes ayudan a las organizaciones a investigar, contener y recuperarse de ataques graves.
- La concienciación y la formación en seguridad ayudan a reducir los riesgos generados por los seres humanos en la plantilla.
- La evaluación de seguridad, como las pruebas de penetración, la formación de equipos rojos y las evaluaciones de seguridad de la aplicación, proporcionan evidencia de cómo se podrían explotar las debilidades en el entorno de la organización, lo que ayuda a los CISO a validar las suposiciones sobre la probabilidad, la exposición y la eficacia de los controles.
- Las evaluaciones de compromiso ayudan a identificar pruebas de un compromiso pasado o en curso que puede no haber sido detectado. Proporcionan una visión más clara de la exposición real de la organización, lo que permite una reparación más temprana y reduce el riesgo comercial.
Juntas, estas capacidades ayudan a convertir la evaluación de riesgos cibernéticos de un ejercicio de informes estático en un proceso de administración activo. El valor no está solo en identificar el riesgo, sino en brindar a la organización la información y la experiencia necesarias para actuar en consecuencia.
Las características de una evaluación de riesgo cibernético madura
Un enfoque maduro para evaluar el riesgo cibernético en términos comerciales tiene varias características.
- Comienza con activos y procesos críticos para el negocio
- Utiliza inteligencia de amenazas para evaluar la actividad relevante del atacante
- Evalúa la probabilidad en función de la exposición, la explotabilidad y la eficacia del control.
- Traduce el impacto en términos operativos, financieros, regulatorios y de reputación
- Prioriza la reparación en función de las consecuencias comerciales
- Prueba la preparación para la respuesta a través de escenarios y ejercicios
- Brinda a los ejecutivos una visión clara de qué riesgos se han aceptado, cuáles se han reducido y qué riesgo residual queda
Este enfoque ayuda a los CISO a convertirse en socios comerciales más sólidos. También ayuda a los líderes a tomar decisiones con una comprensión más clara de lo que se pretende proteger con la inversión en ciberseguridad.
Conclusiones clave
Evaluar el riesgo cibernético en términos comerciales significa conectar las decisiones de seguridad cibernética con los resultados comerciales. No es suficiente saber qué vulnerabilidades existen, qué alertas se están activando o qué controles faltan. Los CISO deben mostrar cómo estos problemas pueden afectar las operaciones, los ingresos, el cumplimiento, la confianza y el progreso estratégico.
Las evaluaciones de riesgo cibernético más sólidas no abruman a los ejecutivos con detalles técnicos. Brindan a los líderes una visión clara de lo que importa, por qué es importante y qué decisiones se requieren.
Para las organizaciones empresariales, la claridad es esencial: ayuda a los equipos de seguridad a enfocar los recursos donde tienen el mayor impacto comercial, ayuda a las juntas a comprender el riesgo que conllevan y ayuda a la organización a desarrollar la capacidad de recuperación necesaria para seguir funcionando cuando las amenazas cibernéticas se convierten en eventos comerciales.
Fuentes y lecturas adicionales
- Kaspersky Threat Intelligence
- Kaspersky Threat Data Feeds
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- Kaspersky Security Awareness
- Marco de Ciberseguridad 2.0 del NIST
- del Instituto FAIR
- Objetivos de rendimiento de ciberseguridad de CISA
- Kaspersky Security Assessment
- Evaluación de riesgos de Kaspersky
