Gestionar el riesgo no se reduce a evaluarlo. Si trabajas en seguridad de la información, necesitas una mirada completa que involucre a toda la organización, desde la alta dirección hasta quienes operan los sistemas. Aquí entenderás las cuatro fases de la gestión del riesgo y por qué cada nivel jerárquico aporta algo distinto al proceso.

¿Por qué la gestión del riesgo necesita una visión holística?

La gestión del riesgo funciona como una pirámide donde cada capa cumple un rol específico y todas se comunican entre sí.

En la cima está la alta directiva, que propone, visualiza y establece los objetivos estratégicos. En el medio aparece la gerencia media, que baja la táctica y gestiona los proyectos. Y en la base operan quienes están en la línea del frente: los equipos que manejan los sistemas de información y enfrentan las amenazas día a día.

¿Cómo fluye la información entre niveles?

A mayor nivel jerárquico, la visión del riesgo es más amplia y estratégica. A medida que bajas, te vuelves más táctico y operacional, con un conocimiento más fino de los riesgos concretos a los que están expuestos los sistemas.

Lo que buscas en este flujo es doble:

• De arriba hacia abajo: transparencia en las decisiones estratégicas, para que la conciencia sobre el riesgo sea parte del día a día de todos.
• De abajo hacia arriba: comunicación constante, feedback y refinamiento, que permita validar si las acciones están funcionando.

¿Quién es responsable de gestionar el riesgo en una organización? Toda la organización. La alta dirección define la estrategia, la gerencia media la opera y los equipos técnicos enfrentan las amenazas. Sin esa coordinación, la gestión falla.

¿Cuáles son las cuatro fases de la gestión del riesgo?

La gestión del riesgo se compone de cuatro funciones que operan de forma encadenada y cíclica.

¿Qué significa enmarcar el riesgo?

Enmarcar el riesgo es establecer el contexto para todas las decisiones que vendrán después. Esta primera fase define estratégicamente cómo se evaluarán los riesgos, cómo la organización responderá ante los que identifique y cómo los supervisará en el tiempo.

Sin este marco, las decisiones posteriores quedan sin rumbo. Es la base sobre la que se apoyan las otras tres fases.

¿En qué consiste la evaluación del riesgo?

La evaluación del riesgo es la fase más conocida en seguridad de la información. Consiste en entender el nivel de riesgo al que están expuestos tus activos de información, cruzando dos variables: las amenazas presentes y el impacto que podrían ocasionar.

No es la única fase, pero sí la que más visibilidad tiene en el sector.

¿Cómo se responde a un riesgo identificado?

Una vez evaluado el riesgo, la organización determina las medidas adecuadas alineadas a su tolerancia, lo que se conoce como apetito de riesgo. Aquí tienes cuatro caminos:

• Evitarlo: cerrar una línea de comercialización o eliminar un área porque el riesgo es demasiado alto para asumirlo.
• Transferirlo: contratar una póliza de seguro para dispositivos especializados de alta inversión.
• Gestionarlo: establecer controles como cámaras de vigilancia, controles de acceso físicos u otros mecanismos.
• Aceptarlo: asumir el riesgo si está dentro del apetito definido.

Lo más común en la práctica es gestionar el riesgo, aunque dejar de hacer la actividad también es una opción válida.

¿Qué es el apetito de riesgo? Es el nivel de riesgo que una organización está dispuesta a aceptar para alcanzar sus objetivos. Define qué tan agresivas o conservadoras serán tus decisiones.

¿Por qué supervisar el riesgo es clave?

La supervisión del riesgo se apoya en el ciclo de Deming y la mejora continua. Tu trabajo aquí es determinar si las medidas que tomaste para gestionar el riesgo siguen siendo eficientes y eficaces.

El modelo de negocio cambia. Las condiciones del entorno, las reglas, las leyes y el mercado son cambiantes por naturaleza. Si no revisas tus controles con esos cambios en mente, lo que hoy funciona mañana puede quedar obsoleto.

¿Cuál es la diferencia entre seguridad de la información y seguridad informática?

Esta distinción es importante porque define el alcance de tus controles.

• Seguridad de la información: abarca todos los activos de información, tanto digitales como físicos. Incluye documentos en papel, archivos, contratos y cualquier soporte donde viva el dato.
• Seguridad informática: se enfoca en la representación digital del dato. Aquí caen la mayoría de los controles modernos.

Muchas empresas con operaciones físicas y documentación en papel necesitan controles específicos para esos activos. Si solo proteges lo digital, dejas una puerta abierta.

Esta vista holística, que conecta los cuatro pasos con los tres niveles jerárquicos y reconoce todos los formatos del dato, es lo que te da una mejor posición para salvaguardar los intereses de la organización. ¿Cómo está aplicando tu equipo estas cuatro fases hoy? Cuéntame en los comentarios.