Tratamiento del riesgo: aceptar, transferir, mitigar y evitar

Después de identificar y analizar los riesgos, las organizaciones deben decidir qué hacer con ellos. El tratamiento del riesgo es el proceso de seleccionar e implementar una respuesta para cada riesgo en función de su probabilidad, impacto y coste de mitigación. Existen cuatro opciones de tratamiento reconocidas universalmente: aceptar, transferir, mitigar y evitar. Ninguna opción es siempre correcta; la elección adecuada depende del contexto empresarial, el apetito de riesgo y los recursos disponibles.

La mitigación del riesgo reduce la probabilidad o el impacto de un riesgo mediante la implementación de controles de seguridad. Esta es la opción de tratamiento más habitual. Algunos ejemplos son implementar un firewall para reducir la probabilidad de una intrusión en la red, aplicar parches al software para corregir vulnerabilidades conocidas o implementar MFA para reducir el impacto del robo de credenciales. La mitigación no elimina por completo el riesgo: produce un riesgo residual que debe reevaluarse después de aplicar los controles.

La transferencia del riesgo traslada las consecuencias financieras de un riesgo a un tercero. El ciberseguro es el ejemplo más habitual: la organización paga una prima y la aseguradora cubre las pérdidas derivadas de los incidentes cubiertos. El riesgo también puede transferirse contractualmente: los acuerdos de nivel de servicio (SLA) con proveedores de la nube pueden atribuir al proveedor la responsabilidad por las filtraciones de datos, y las cláusulas de indemnización de los contratos pueden transferir la responsabilidad a los socios comerciales. Es importante señalar que la transferencia no elimina el riesgo en sí, sino únicamente la carga financiera.

La aceptación del riesgo consiste en tolerar conscientemente un riesgo sin implementar controles adicionales, porque el coste de la mitigación supera la pérdida esperada o porque el riesgo se encuentra por debajo del umbral de riesgo de la organización. La aceptación debe ser una decisión deliberada y documentada, tomada por una autoridad competente (normalmente el responsable del riesgo o un directivo). La aceptación implícita y no documentada —ignorar un riesgo porque nadie ha llegado a corregirlo— no equivale a una aceptación formal y genera hallazgos de auditoría.

La evitación del riesgo elimina el riesgo por completo al no realizar la actividad que lo genera. Por ejemplo, una organización podría decidir no almacenar directamente los datos de tarjetas de pago, evitando así por completo el ámbito de aplicación de PCI-DSS al delegar todo el procesamiento de tarjetas en un servicio de tokenización de terceros. La evitación es adecuada cuando el riesgo es inaceptablemente alto y no existe una opción rentable de mitigación o transferencia, aunque también puede implicar renunciar a una oportunidad de negocio.

La selección de una opción de tratamiento implica comparar la exposición al riesgo con los costes de respuesta. Si el ALE es de 50.000 $ y la mitigación cuesta 10.000 $ al año, la mitigación resulta claramente rentable. Si el ALE es de 5.000 $ y la mitigación cuesta 30.000 $ al año, puede ser más razonable aceptar o transferir el riesgo. Las organizaciones también consideran el apetito de riesgo —la cantidad de riesgo que la dirección está dispuesta a tolerar— y la tolerancia al riesgo, es decir, la desviación aceptable respecto al apetito de riesgo para categorías de riesgo específicas.

El apetito de riesgo es el nivel amplio y estratégico de riesgo que una organización está dispuesta a aceptar para alcanzar sus objetivos, a menudo definido por el consejo de administración. La tolerancia al riesgo es la variación aceptable en torno a categorías de riesgo específicas. Una organización puede tener un apetito de riesgo general bajo, pero una tolerancia mayor a los riesgos reputacionales en una línea de productos concreta. Estos umbrales determinan cuándo es adecuada la aceptación del riesgo y cuándo es necesario escalarlo.

Cuando no se puede implementar el control de mitigación ideal —por su coste, limitaciones técnicas o sistemas heredados—, un control compensatorio proporciona una reducción alternativa del riesgo. Por ejemplo, si un sistema antiguo no admite MFA, una supervisión reforzada, el aislamiento de la red y registros adicionales pueden compensarlo. Los controles compensatorios están reconocidos formalmente en PCI-DSS y otros marcos como un tratamiento de riesgos válido, siempre que se documenten con su justificación y sean aprobados por la autoridad competente.

Después de aplicar cualquier tratamiento del riesgo, casi siempre queda algún riesgo. El riesgo residual es lo que permanece una vez implementados los controles. Debe ser reconocido y aceptado formalmente por el responsable del riesgo. Si el riesgo residual sigue por encima del umbral aceptable, se necesitan controles adicionales. Las decisiones de tratamiento del riesgo y los niveles de riesgo residual deben registrarse en el registro de riesgos y revisarse en intervalos definidos, especialmente cuando cambia el panorama de amenazas.

Los marcos de cumplimiento normativo limitan qué opciones de tratamiento del riesgo son aceptables. HIPAA no permite evitar el procesamiento de información médica protegida: las organizaciones deben mitigarla o transferirla. PCI-DSS exige controles específicos independientemente del análisis de costes y beneficios. Comprender estas limitaciones evita situaciones en las que la opción de tratamiento preferida por una organización, como aceptar una deficiencia de control, infringe un requisito normativo que puede dar lugar a multas o a la pérdida de los permisos para procesar tarjetas.

El tratamiento del riesgo también se aplica al riesgo de terceros y de la cadena de suministro. Cuando proveedores o socios tienen acceso a sus sistemas o datos, su postura de seguridad pasa a formar parte de su perfil de riesgo. Las opciones de tratamiento incluyen: controles contractuales (transferir), evaluaciones de seguridad de proveedores (mitigar), elegir proveedores alternativos (evitar) o aceptar formalmente el riesgo con revisiones periódicas. Los compromisos de la cadena de suministro, como SolarWinds y XZ Utils, muestran por qué la gestión del riesgo de terceros es una prioridad en el examen Security+.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que la mitigación del riesgo reduce la probabilidad o el impacto mediante controles; la transferencia del riesgo traslada las consecuencias financieras a terceros, como las aseguradoras; la aceptación del riesgo es una decisión documentada de tolerar un riesgo; y la evitación del riesgo elimina el riesgo al no realizar la actividad. A continuación, examinaremos los principales marcos de seguridad: NIST RMF, ISO 27001 y CIS Controls.