En tiempos de crisis se tiende a subestimar la importancia de la ciberseguridad pero tener una adecuada gestión de riesgos es muy importante. Gobernanza, riesgo y cumplimiento, puntos clave para la prevención de amenazas actuales.

A menudo surge la idea de que la burocracia es un gran obstáculo para lograr la prevención de amenazas en las organizaciones, pero cuando se trata de ciberseguridad, gobernanza, gestión de riesgos y cumplimiento (GRC), estas estrategias están incompletas si no se trabajan al unísono.

En ese contexto, los programas de ciberseguridad están a medias sin un programa de gestión GRC, puesto que contar con una estrategia de gestión de riesgos enfocada en objetivos claros permite a las organizaciones alcanzar las metas en cuanto a seguridad y cumplimiento, posibilitando acciones que minimicen la respuesta reactiva a incidentes de ciberseguridad en las empresas. 

Gestión de riesgos

¿Qué es el GRC? 

En definición, el GRC, acrónimo de gobernanza, gestión de riesgo y cumplimiento, se refiere a una estrategia para administrar el gobierno general de una organización, la gestión de riesgos empresariales y el cumplimiento de las regulaciones como un enfoque estructurado para alinear TI con los objetivos del negocio, al tiempo que gestiona eficazmente los riesgos y cumple con los requisitos de cumplimiento, según explican el portal de Cio España. 

Asimismo, detallan en el portal que una solución de IT GRC le permite crear y coordinar políticas y controles y asignarlos a los requisitos normativos y de cumplimiento interno. Es decir, estas soluciones generalmente basadas en la nube, introducen la automatización para muchos procesos, lo que aumenta la eficiencia y reduce la complejidad en las organizaciones.

Además, entre algunos de los beneficios que trae planificar bien una estrategia GRC para la ciberseguridad, destaca la mejora de la toma de decisiones, inversiones óptimas en TI, simplificar la comunicación y reducción de la fragmentación entre las divisiones y departamentos.

A continuación, vamos a explicar en desglose los tres componentes principales del GRC, expuestos en un artículo del portal especializado IsoTool. Conócelos:

• Gobernanza: en este caso, se trata de asegurar que las actividades que se realizan en la organización, como pueden ser la gestión de operaciones, están definidas según los objetivos empresariales que haya establecido la organización.
• Riesgo: en palabras simples, trata de garantizar que los riesgos u oportunidades que se producen de las actividades de la organización se establezcan y aborden de modo que se cuiden los objetivos.
• Cumplimiento: En este caso, todas las actividades ejecutadas por la organización deben actuar respetando y cumpliendo con la legislación pertinente. Además, el cumplimiento implica controles de TI, así como la auditoría de los controles para asegurarse de que están funcionando como se pretende.

GRC en Cifras 

Según confirma la consultora IDC, expuesto en la revista It Digital Security,  la inversión en software para GRC alcanzará los 11.800 millones de dólares en 2021, con una tasa de crecimiento anual compuesta del 6,7% hasta ese año, y las suites integradas, que abarcan aproximadamente el 20% del mercado global, experimentará un crecimiento más saludable durante todo el periodo del pronóstico.

Por otro lado, un estudio de MarketsandMarkets, expuesto en la misma revista especializada, expone que el GRC llegará a ser un mercado de 32.300 U$M aproximadamente, una cifra que casi se doblará en este lustro, cerrando el 2020 en 60.800 millones. No obstante, aseguran que el mercado de GRC crecerá en torno a un 13,4% anualmente entre 2020 y 2025 si se cumplen estas expectativas.

Estos datos afirman entonces que la seguridad cibernética se ha convertido para las organizaciones de todos los tamaños en una prioridad, y contar con los componentes necesarios para escalar, adaptarse y evolucionar a medida que crece el negocio y cambian las regulaciones es clave para crear una estrategia fuerte de ciberseguridad en conjunto con un programa de GRC efectivo.

Certificaciones GRC

Para el desarrollo de estas estrategias diferentes perfiles se benefician de las certificaciones de GRC, de ahí su importancia. En ese caso, desde un analista de seguridad de TI, ingeniero de seguridad, gerente de programa de aseguramiento de la información y auditor senior de TI, entre otros, recurren a enfoques orientativos ya desarrollados, entre los más comunes destacan: 

• Certificado en Control de Riesgos y Sistemas de Información (CRISC)
• Certificado en el Gobierno de la Empresa de TI (CGEIT)
• Project Management Institute – Profesional de Gestión de Riesgos (PMI-RMP)
• Experto de ITIL
• Certificación en Gestión de Riesgos (CRMA)
• GRC Profesional (GRCP)

Implementación del GRC en la gestión de riesgos de tu política de Ciberseguridad 

Ahora bien, para la implementación de una estrategia de gobernanza, gestión de riesgo y cumplimiento que refuerce la ciberseguridad de una empresa, por lo general, se definen cinco pasos de implementación que deben considerar todos los tipos de negocio, un informe de Deloitte los detalla. Conócelos:

Paso 1. Etapa de planeación y análisis

• Realizar una evaluación del nivel de madurez de la empresa, entender el estado de las capacidades de la organización: verificar si se cuenta con marcos de control, matrices de riesgos y políticas, definir roles y responsabilidades.

 Paso 2. Actividades de diseño y construcción

• Se determinan las actividades necesarias para llevar a la empresa al nivel de madurez deseado.

 Paso 3. Realizar la implementación 

• Se realizarán talleres y reuniones con el equipo directivo y los distintos órganos de gobierno para diseñar el modelo de GRC y documentar el plan rector.

Paso 4. Definición de las herramientas tecnológicas.

• En las herramientas, se definirá cuáles son los mecanismos tecnológicos más adecuados a las necesidades de la empresa, para facilitar y hacer más eficientes los programas de GRC, con una visión de disminución de costos y generación de información con alta calidad y confiabilidad.

 Paso 5. Seguimiento al desempeño.

• Después de haber implementado el modelo GRC, entrará en función la última etapa que es la de seguimiento al desempeño, en la cual se diseñará un programa que permita estar actualizando constantemente el modelo con base en los cambios que se vayan generando en la empresa.

Asimismo, una estrategia de ciberseguridad que priorice la gobernanza, gestión de riesgo y cumplimiento, debe tener en cuenta que se debería enfocar en tres factores igual de importantes: personas, procesos y tecnología. Hoy, un número importante de empresas se preocupan en mayor medida en la tecnología, cuando los procesos y las personas son igual de importantes dentro de una estrategia de ciberseguridad.

En ese contexto, explican en el portal especializado Data Center Dynamics, que si un empleado de operaciones de seguridad está recibiendo, por ejemplo, cuatro ciberataques (eventos) que debe monitorear y mitigar, sin un programa GRC no tendría contexto del riesgo comercial o de lo que sucedería si el ataque es exitoso.

En consecuencia, no contemplar un programa de GRC en conjunto a la estrategia de ciberseguridad es correr el riesgo de priorizar incorrectamente los temas menos importantes, por tanto, al implementarlos en tu organización permiten gestionar eficientemente las funciones y grados de responsabilidad de manera automática logrando estandarizar procesos.

En palabras simples, es importante implementar en tu negocio metodologías de gestión de riesgo  y marcos de control, apoyados en herramientas tecnológicas que soporten los procesos y procedimientos de monitoreo y revisión de cumplimiento. Esto permitirá que el negocio opere de manera preventiva ante situaciones que impacten a la organización.

Un servicio de seguridad perimetral que disminuye vulnerabilidades protege servidores y equipos conectados a tu red privada, que evita incidentes y pérdida de información.

Firewall

Un servicio con Inteligencia Artificial que protegerá los datos de tu negocio y te ayuda a detener las amenazas antes de que estas se propaguen.

¡Conoce Seguridad Virtual!