Cinco pasos para determinar el riesgo residual durante el proceso de evaluación

Paso 1. Identifique los riesgos residuales

Primero, es importante identificar los riesgos iniciales, ya sea que los haya calificado como débiles, moderados o altos. Una vez que se haya completado, puede implementar controles de seguridad.

Debe considerar que los riesgos residuales son altos si los controles de seguridad para los riesgos iniciales son débiles; moderados si los controles de seguridad para los riesgos iniciales altos son adecuados o si los controles de seguridad para los riesgos iniciales bajos son débiles; y bajo si los controles de seguridad para los riesgos iniciales altos, medios o bajos son fuertes o si los controles de seguridad para los riesgos iniciales de calificación media o baja son adecuados.

Paso 2. Identifique los requisitos GRC relevantes

Debe determinar los requisitos de GRC de su organización al verificar las regulaciones relevantes de la empresa. Algunos ejemplos de requisitos reglamentarios incluyen los de la Ley Sarbanes-Oxley, la Ley Gramm-Leach-Bliley y la HIPAA. Si es relevante, se deben considerar las regulaciones de cumplimiento de privacidad, como el GDPR de la UE y la Ley de Privacidad del Consumidor de California.

Cada una de estas regulaciones, y muchas otras, tienen diferentes requisitos de retención de datos para diferentes tipos de documentos. Las organizaciones deben determinar qué requisitos de datos específicos se les aplican.

Paso 3. Identifique los controles de seguridad

El siguiente paso es identificar los controles de seguridad aplicados y cualquier riesgo residual resultante. Estos controles de riesgo incluyen los siguientes:

• Controles de seguridad preventivos, que están diseñados para evitar divulgaciones de información o alteración de información sensible a GRC. Los ejemplos de controles de seguridad preventivos incluyen autenticación biométrica multimodal, servidores agrupados, cifrado, firewalls anidados para bloquear redes no autorizadas y políticas para prohibir conexiones de red no autorizadas.
• Controles de seguridad de detectives, que identifican actividades no autorizadas o no deseadas después de un evento. Los ejemplos incluyen sistemas de detección de intrusos, monitoreo de registros automatizado, auditorías de sistemas, escáneres de virus y verificadores de integridad de archivos.
• Controles de seguridad correctivos, que responden y se recuperan de un incidente, así como también previenen sucesos futuros. También limitan el daño adicional de un ataque. Los controles de seguridad correctivos incluyen sistemas de respuesta a incidentes, procedimientos para eliminar un virus del sistema infectado y reglas de firewall actualizadas para bloquear una dirección IP atacante.
• Controles de seguridad centrados en la recuperación, que devuelven el sistema al modo de producción después de un incidente.
• Controles de seguridad directivos, que describen las acciones que deben tomarse para proteger la información confidencial. Los ejemplos incluyen políticas, procedimientos y pautas.
• Controles de seguridad disuasivos, que desalientan las violaciones de seguridad. Un ejemplo es una política que establece que el acceso a los servidores se supervisa en un intento de desalentar el acceso no autorizado.

Paso 4. Determine cómo manejar los riesgos residuales inaceptables

Una vez que haya revisado los controles de seguridad y determinado sus riesgos residuales, compense estas amenazas considerando las siguientes opciones:

• Reemplazar los controles de seguridad que han quedado obsoletos o que ya no están disponibles;
• transferir la gestión del riesgo residual a otras partes, incluidas las agencias de ciberseguros;
• verificar los cálculos para determinar la probabilidad de que ocurran los riesgos iniciales; y
• actualizar la evaluación de riesgos de una organización para reflejar los cambios si las actualizaciones de los controles de seguridad, hardware y software son importantes debido a un riesgo residual.

Paso 5. Aplique cualquier cambio al estado de riesgo residual

Determine la tolerancia al riesgo reuniendo una lista de riesgos residuales que son inaceptables después de haber aplicado controles de seguridad a los riesgos iniciales. Para cada uno de estos riesgos residuales, verifique periódicamente cualquier cambio en los controles de seguridad aplicados.

Luego, compare los controles de seguridad alternativos y más baratos de los proveedores actuales y nuevos. Determine el ROI de cada uno y, si es posible, aplique los cambios de control de seguridad con el ROI más alto.

Seguir estos cinco pasos puede ayudarlo a determinar si debe aceptar o rechazar el riesgo residual. Recuerde mantener los ojos abiertos: los controles de seguridad rentables que actualmente no están disponibles pueden estar en el mercado durante su próxima ronda de evaluaciones de riesgos.