Gobernanza de TI: riesgos y cumplimiento sin parálisis

En muchas organizaciones, "riesgos y cumplimiento" significa dos cosas: un auditor que llega una vez al año y una carrera frenética por reunir evidencia. Es agotador, caro y poco efectivo. La alternativa es convertir ambos temas en parte del trabajo cotidiano.

Riesgo y cumplimiento: relacionados, no iguales

• Riesgo: la posibilidad de que algo afecte negativamente a la organización, medida por su probabilidad e impacto.
• Cumplimiento: cumplir los requisitos externos (leyes, regulaciones, contratos) e internos (políticas).

Cumplir no garantiza estar seguro: una organización puede aprobar una auditoría y aun así tener riesgos graves. Y gestionar bien los riesgos no garantiza cumplir con un requisito específico. Hay que atender ambos.

Gestión de riesgos en cinco pasos

1. Conoce lo que tienes

Sin inventario no hay gestión. Registra:

• Activos: sistemas, datos, proveedores, personas clave.
• Qué datos son sensibles y dónde viven.
• Dependencias críticas entre sistemas y de terceros.

2. Identifica amenazas y vulnerabilidades

Ejemplos habituales en TI: ransomware, credenciales robadas, errores de configuración, caída de un proveedor, pérdida de personal clave, software sin parches, errores humanos.

3. Evalúa

Estima probabilidad e impacto para decidir prioridades. Con una escala simple (bajo, medio, alto) es suficiente para empezar.

| Riesgo | Probabilidad | Impacto | Prioridad | |---|---|---|---| | Credenciales expuestas en un repositorio | Media | Alto | Alta | | Caída de región de nube | Baja | Alto | Media | | Falla de un servicio interno no crítico | Alta | Bajo | Baja |

4. Decide el tratamiento

Para cada riesgo importante: mitigar con controles, evitar cambiando el plan, transferir (seguros, contratos) o aceptar de manera consciente y documentada, con quien tenga autoridad firmando la decisión.

5. Monitorea y revisa

Los riesgos cambian. Revisa los principales con regularidad y tras eventos relevantes: incidentes, cambios grandes, nuevas regulaciones.

Controles: lo que realmente reduce el riesgo

Los controles pueden ser:

• Preventivos: control de accesos, autenticación multifactor, segmentación de red, cifrado.
• Detectivos: monitoreo, alertas, registros de auditoría.
• Correctivos: respaldos, planes de recuperación, procedimientos de respuesta a incidentes.

Un buen punto de partida son controles básicos y comprobados: MFA en todas partes, mínimo privilegio, parches al día, respaldos probados (probados, no solo hechos), y registros centralizados.

Cumplimiento sin dolor

Entiende qué te aplica

Depende del sector y de dónde operes: protección de datos personales, normas del sector financiero, estándares de pago como PCI DSS, requisitos de clientes (por ejemplo, certificaciones como ISO 27001 o informes SOC 2). Consulta con el área legal o de cumplimiento; no lo deduzcas por tu cuenta.

Mapea requisitos a controles

Muchos requisitos se solapan. Un solo control (por ejemplo, el cifrado de datos) puede satisfacer varios marcos. Un mapa que relacione requisitos con controles evita trabajar de más.

Genera evidencia continuamente

En lugar de reunir capturas de pantalla una vez al año:

• Usa infraestructura como código y control de versiones: el historial de cambios es evidencia.
• Automatiza verificaciones de configuración y reportes.
• Conserva registros con la retención que exigen las normas.

Ten un plan de respuesta a incidentes

Quién decide, a quién se avisa (incluidas las autoridades y los afectados cuando la ley lo exige), cómo se comunica y cómo se documenta. Ensáyalo con ejercicios de mesa.

Terceros: tu riesgo también depende de ellos

Proveedores y servicios en la nube forman parte de tu cadena. Evalúa a los críticos: sus certificaciones, cláusulas contractuales sobre datos, planes de continuidad y modelo de responsabilidad compartida. Que ellos cumplan no te exime de tu parte.

Errores frecuentes

• Tratar el cumplimiento como un proyecto con fecha de fin.
• Inventario desactualizado.
• Registro de riesgos para la auditoría, no para decidir.
• Respaldos nunca restaurados, hasta el día del desastre.
• Controles tan estrictos que la gente los evade, creando un riesgo mayor.
• Aceptar riesgos sin que nadie con autoridad lo sepa.

Para finalizar

Gestionar riesgos y cumplir no tiene que paralizar a nadie. Conoce tus activos, prioriza por probabilidad e impacto, aplica controles básicos bien hechos y deja evidencia como subproducto del trabajo diario. El objetivo no es eliminar el riesgo (imposible), sino que la organización decida con conocimiento cuáles asume.