Lección 10 de 16 · Nivel 3: Avanzado
Gestión de riesgos y el marco NIST CSF
- ⏱ 13 min de lectura
- ❓ 4 preguntas de repaso
- ✍️ Ejercicio con solución
- 📥 Plantilla descargable
En esta lección
- Seguir el ciclo de gestión de riesgos: identificar, evaluar, tratar y monitorear.
- Calcular y priorizar riesgos con una matriz de probabilidad e impacto de 5 × 5.
- Elegir entre mitigar, transferir, evitar o aceptar un riesgo.
- Estimar en dinero la pérdida anual esperada (ALE) y decidir si un control vale la pena.
- Usar las seis funciones del NIST Cybersecurity Framework 2.0 para organizar la seguridad.
La hoja "Checklist pyme" está organizada por las seis funciones del NIST CSF 2.0 y calcula el porcentaje de cada una: es tu perfil actual. Compáralo con tu objetivo para ver la brecha.
- checklist-ciberseguridad.xlsx · hoja Checklist pyme
Ninguna organización puede protegerse de todo: el dinero, el tiempo y la paciencia del equipo son limitados. La gestión de riesgos es la forma ordenada de decidir qué proteger primero, cuánto invertir y qué riesgos aceptar conscientemente. En esta lección aprenderás a calcular riesgos con una matriz, a ponerles un valor en dinero y a usar el marco más extendido para organizar un programa de seguridad: el NIST Cybersecurity Framework 2.0, publicado por NIST el 26 de febrero de 2024.
- El ciclo de riesgos
- Matriz 5 × 5
- Tratar el riesgo
- Riesgo en dinero
- NIST CSF 2.0
El ciclo de gestión de riesgos
Gestionar riesgos no es un informe que se hace una vez, sino un ciclo que se repite, como mínimo, una vez al año y cada vez que cambia algo importante (un sistema nuevo, un proveedor nuevo, un incidente):
- IdentificarActivos, amenazas y vulnerabilidadesQué tienes de valor, qué podría dañarlo y qué debilidades existen. Usa el inventario de la lección anterior.
- EvaluarProbabilidad × impactoPon un número a cada riesgo para poder compararlos y ordenarlos.
- TratarDecidir qué hacer con cada unoMitigar, transferir, evitar o aceptar, con un responsable y una fecha.
- MonitorearRevisar y ajustarComprobar que los controles funcionan y volver a evaluar cuando cambie el contexto.
La matriz de probabilidad e impacto
La forma más usada de evaluar riesgos es puntuar la probabilidad y el impacto en una escala del 1 al 5 y multiplicarlos. Lo importante es que todo el equipo use las mismas definiciones:
| Valor | Probabilidad | Impacto |
|---|---|---|
| 1 | Muy improbable (menos de una vez cada 10 años) | Insignificante: molestia sin pérdida |
| 2 | Improbable (una vez cada 5 a 10 años) | Menor: unas horas de interrupción |
| 3 | Posible (una vez cada 2 a 5 años) | Moderado: un día sin operar o pérdida acotada |
| 4 | Probable (una vez al año) | Grave: varios días sin operar, datos de clientes expuestos |
| 5 | Casi seguro (varias veces al año) | Crítico: amenaza la continuidad del negocio |
Riesgo = Probabilidad × Impacto (de 1 a 25)
Bajo: 1 a 5 · Medio: 6 a 12 · Alto: 15 a 25- Alto (15 a 25) Actuar yaPlan de tratamiento inmediato con responsable y fecha.
- Medio (6 a 12) PlanificarTratar en los próximos meses y vigilar.
- Bajo (1 a 5) VigilarPuede aceptarse si el costo de reducirlo es alto.
Un registro de riesgos real
Así quedó el registro de riesgos de una tienda online de accesorios en Medellín, ordenado de mayor a menor:
| Riesgo | P | I | P × I | Nivel | Tratamiento |
|---|---|---|---|---|---|
| Robo de la cuenta del panel de la tienda por phishing | 4 | 4 | 16 | Alto | Mitigar: doble factor y capacitación |
| Ransomware en la PC de administración | 3 | 5 | 15 | Alto | Mitigar: copias inmutables y EDR |
| Fraude con tarjetas en pedidos | 3 | 3 | 9 | Medio | Transferir: pasarela de pago con antifraude |
| Caída del hosting en temporada alta | 2 | 4 | 8 | Medio | Mitigar: plan con escalado y monitoreo |
| Filtración de clientes a través del proveedor de email marketing | 2 | 4 | 8 | Medio | Mitigar: contrato y compartir solo nombre y correo |
| Desfiguración del blog (sin datos de clientes) | 2 | 1 | 2 | Bajo | Aceptar y restaurar desde copia si ocurre |
1. Un riesgo tiene probabilidad 4 e impacto 3. Con la escala de esta lección, ¿qué puntuación y nivel tiene?
4 × 3 = 12 (se multiplica, no se suma). El nivel Medio va de 6 a 12, así que 12 es Medio, en el límite superior.
Cuatro formas de tratar un riesgo
Mitigar
Aplicar controles que bajen la probabilidad o el impacto: doble factor, copias, capacitación.
Es la opción más común para riesgos altos y medios.Transferir
Pasar parte del impacto a un tercero: un seguro de ciberriesgos, una pasarela de pago que asume el fraude.
Ojo: transfieres el costo, no la responsabilidad ante tus clientes.Evitar
Dejar de hacer la actividad riesgosa: no guardar datos de tarjetas, retirar un servicio expuesto.
Útil cuando la actividad aporta poco valor frente a su riesgo.Aceptar
Decidir de forma consciente y documentada no hacer nada más, porque el riesgo es bajo o el control cuesta demasiado.
Clave: lo aprueba alguien con autoridad, no se "acepta" por olvido.El riesgo en dinero: SLE, ARO y ALE
Para hablar con la gerencia, nada convence más que un número en moneda. El análisis cuantitativo usa tres fórmulas:
SLE (pérdida por evento) = Valor del activo (AV) × Factor de exposición (EF)
ALE (pérdida anual esperada) = SLE × ARO (veces que se espera al año)
Beneficio del control = ALE antes − ALE después − costo anual del controlPara el ransomware de la tienda de Medellín: el valor en juego (ventas de un mes, datos y sistemas) es de $80.000.000 COP y un ataque afectaría el 25%. Se estima que ocurriría una vez cada 5 años (ARO = 0,2). Un paquete de copias inmutables y EDR cuesta $1.800.000 COP al año y reduciría la frecuencia a una vez cada 20 años (ARO = 0,05):
SLE = 80.000.000 × 0,25 = 20.000.000 COP
ALE antes = 20.000.000 × 0,2 = 4.000.000 COP al año
ALE después = 20.000.000 × 0,05 = 1.000.000 COP al año
Beneficio = 4.000.000 − 1.000.000 − 1.800.000 = 1.200.000 COP al año → convieneLas cifras son estimaciones, no certezas. Su valor está en obligarte a explicitar supuestos y en comparar opciones con el mismo criterio.
2. Un activo vale $50.000.000 COP, un incidente afectaría el 20% (EF = 0,2) y se espera una vez cada 2 años (ARO = 0,5). ¿Cuál es el ALE?
SLE = 50.000.000 × 0,2 = 10.000.000. ALE = 10.000.000 × 0,5 = 5.000.000 COP al año. $10.000.000 es la pérdida de un solo evento (SLE).
El NIST Cybersecurity Framework 2.0
El CSF es un marco voluntario, creado por el Instituto Nacional de Estándares y Tecnología de EE. UU. y usado por organizaciones de todos los tamaños y países. No te dice qué producto comprar: describe resultados que deberías lograr, agrupados en seis funciones. La versión 2.0, publicada el 26 de febrero de 2024, añadió la función Gobernar y amplió su alcance más allá de la infraestructura crítica:
| Función | Pregunta que responde | Ejemplo en una pyme |
|---|---|---|
| Gobernar (GV) | ¿Quién decide, con qué estrategia y políticas, y cómo se gestionan los proveedores? | Responsable designado, política de uso aceptable, revisión de proveedores |
| Identificar (ID) | ¿Qué tenemos y qué riesgos corre? | Inventario de equipos, cuentas y datos; registro de riesgos |
| Proteger (PR) | ¿Cómo evitamos o limitamos los incidentes? | Doble factor, actualizaciones, cifrado, capacitación, copias |
| Detectar (DE) | ¿Cómo nos enteramos de que algo pasa? | Alertas de inicio de sesión, antimalware, revisión de registros |
| Responder (RS) | ¿Qué hacemos cuando ocurre un incidente? | Plan de respuesta, roles, comunicación y notificación |
| Recuperar (RC) | ¿Cómo volvemos a operar? | Restauración desde copias, comunicación a clientes, lecciones aprendidas |
El marco propone además dos herramientas prácticas. Los perfiles: describes tu situación actual (perfil actual) y la que quieres alcanzar (perfil objetivo), y la diferencia es tu plan de trabajo. Y los niveles (tiers), que describen qué tan madura es la gestión del riesgo: Parcial, Informado por el riesgo, Repetible y Adaptativo. Otros marcos muy usados son la norma ISO/IEC 27001, que permite certificar un sistema de gestión de seguridad de la información, y los Controles CIS, una lista priorizada de medidas técnicas.
Este es el perfil actual de la empresa de logística de la lección anterior, medido con el checklist, frente a un objetivo del 80% en cada función:
La brecha está en Responder, Identificar y Gobernar: el siguiente trimestre debería centrarse en ensayar el plan de respuesta, completar el inventario de datos y revisar a los proveedores.
3. ¿Qué función se incorporó al NIST CSF en la versión 2.0?
La versión 2.0 añadió Gobernar (GV), que cubre estrategia, roles, políticas, supervisión y gestión de riesgos de la cadena de suministro. Las otras cinco funciones ya existían.
Errores comunes
Puntuar los riesgos "a ojo" y cada persona con su propio criterio.
Define por escrito qué significa cada valor de probabilidad e impacto.
Sumar probabilidad e impacto.
Multiplícalos: así un riesgo crítico y posible pesa más que uno trivial y frecuente.
"Aceptar" riesgos sin que nadie lo apruebe.
Documenta la decisión, quién la tomó y cuándo se revisará.
Creer que el CSF obliga a comprar herramientas concretas.
Describe resultados; tú eliges los controles que mejor se adaptan a tu tamaño.
4. Una tienda contrata un seguro de ciberriesgos que cubre los gastos de recuperación tras un ataque. ¿Qué tratamiento del riesgo está aplicando?
Pasa parte del impacto económico a la aseguradora. Sigue siendo responsable ante sus clientes y debe mantener sus controles, que muchas pólizas exigen.
Ejercicio práctico
Un estudio contable de Lima analiza el riesgo de que roben el acceso al correo de un socio y lo usen para estafar a clientes. Estima probabilidad 4 e impacto 4. En dinero, cada evento costaría S/ 30.000 (SLE) y espera que ocurra una vez cada 2 años (ARO = 0,5). Activar llaves de seguridad y capacitación costaría S/ 3.000 al año y reduciría el ARO a 0,1.
- Calcula la puntuación y el nivel de riesgo en la matriz.
- Calcula el ALE antes y después del control.
- ¿Conviene invertir? ¿A qué función del NIST CSF pertenece este control?
Ver solución
- 4 × 4 = 16, nivel Alto: requiere tratamiento inmediato.
- ALE antes = 30.000 × 0,5 = S/ 15.000 al año. ALE después = 30.000 × 0,1 = S/ 3.000 al año.
- Beneficio = 15.000 − 3.000 − 3.000 = S/ 9.000 al año: conviene claramente. Las llaves de seguridad y la capacitación pertenecen a Proteger (PR); activar alertas de inicio de sesión sospechoso sería parte de Detectar (DE).
Resumen
- La gestión de riesgos es un ciclo: identificar, evaluar, tratar y monitorear.
- En una matriz 5 × 5, riesgo = probabilidad × impacto: bajo de 1 a 5, medio de 6 a 12, alto de 15 a 25.
- Cada riesgo se mitiga, se transfiere, se evita o se acepta de forma documentada.
- ALE = SLE × ARO permite comparar en dinero el costo de un control con la pérdida que evita.
- El NIST CSF 2.0 (febrero de 2024) organiza la seguridad en Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar, con perfiles actual y objetivo.
En la próxima lección: Seguridad web y OWASP Top 10 (nivel conceptual). Conocerás los diez riesgos más importantes de las aplicaciones web según la edición 2025 y cómo prevenirlos.
Crea tu cuenta en 30 segundos, marca tus lecciones y descarga el certificado al terminar.