Gestión de riesgos y ciberseguridad

La continua transformación digital de las empresas que se ha incrementado en los últimos años y que va a seguir creciendo en los siguientes, junto con la propia globalización de los negocios, hace imprescindible que exista una prevención ante los riesgos digitales en todas las compañías por medio de un Experto en ciberseguridad.

Por ello, hoy en día es imprescindible formar a profesionales en ciberseguridad y para ello Aicad Business School ha puesto en marcha su Curso de Experto Universitario en Gestión de Riesgos y Ciberseguridad. Este título, creado en colaboración con la Universidad Católica de Murcia (UCAM), responde a las necesidades del actual mercado laboral.

Además, la formación permite a los alumnos que se matriculen en él conocer las herramientas más innovadoras para una correcta identificación, evaluación y gestión de riesgos actuales en ciberseguridad para poder ayudar a la empresa a proteger sus datos.

Un curso con muchas salidas profesionales

El Curso de Experto Universitario en Gestión de Riesgos y Ciberseguridad prepara a los alumnos para acceder a uno de los sectores con mayor demanda de profesionales que existe en el mercado. Por ello, una vez finalizada la parte teórica, ofrece un sistema de prácticas que garantizan salidas profesionales al mercado con experiencia profesional.

Las empresas actuales, que almacenan muchos datos propios y de sus clientes para tener un mayor contacto con ellos y conocer sus necesidades, están muy expuestas a los fallos informáticos, que provocan importantes consecuencias en forma de ciberataques. Estos problemas en la seguridad comprometen los datos almacenados por la empresa y a su vez en la confianza de los consumidores hacia la misma.

Por ello, contar con un experto en ciberseguridad se ha convertido en una obligación para las empresas de cualquier sector de un mercado en el que los ataques en el soporte online están a la orden del día y actualizándose de manera constante.

A quién se dirige y temario de cuatro módulos

Este curso de Aicad Business School se dirige principalmente a aquellos directivos y profesionales que quieran prepararse para abordar el cumplimiento de la regulación y la gestión de riesgos en entornos VUCA (siglas en inglés de Volatilidad, Incertidumbre, Complejidad y Ambigüedad).

Cuenta con un temario de cuatro módulos formativos distribuido de la siguiente manera:

• Módulo 1. Conocimientos introductorios
• Módulo 2. Marcos y herramientas de Gestión de Riesgos
• Módulo 3. Gestión de Riesgos operacional
• Módulo 4. Gestión de ciberseguridad

Una vez finalizado el total del curso, incluido el programa de prácticas, el alumno obtiene la doble certificación Experto universitario en gestión de riesgos y ciberseguridad por Aicad Business School + Universidad Católica de Murcia (UCAM).

Gestión de riesgos y ciberseguridad

La gestión de riesgos y ciberseguridad es el trabajo de identificar qué puede fallar en los sistemas de información de una organización, estimar cuánto daño causaría y decidir qué hacer con cada amenaza antes de que ocurra. Comprar más herramientas no basta. El presupuesto de seguridad es limitado y no todos los activos valen lo mismo, así que hay que ordenar prioridades.

En la práctica une dos disciplinas que durante años fueron por separado. La gestión de riesgos venía del mundo financiero y de los seguros; la ciberseguridad, de los departamentos técnicos. Un ransomware puede parar una fábrica durante semanas, y por eso el consejo de administración pregunta lo mismo que preguntaría por un riesgo de crédito: qué probabilidad hay, cuánto costaría y cuánto cuesta reducirlo.

Por qué la ciberseguridad se trata como un riesgo de negocio

Un ataque informático rara vez se queda en un problema de TI. Cuando un hospital pierde el acceso a las historias clínicas, se retrasan operaciones. Cuando una tienda online sufre una filtración de tarjetas, llegan la sanción de la Agencia Española de Protección de Datos, las reclamaciones de clientes y la caída de ventas. El daño se mide en euros, en clientes perdidos y en reputación.

El volumen tampoco es pequeño. El INCIBE gestionó más de 97.000 incidentes de ciberseguridad en España durante 2024, una parte importante de ellos en empresas.

Por eso cambia el lenguaje. En lugar de hablar de puertos abiertos o parches pendientes, el responsable de seguridad explica a la dirección cuánto costaría una parada de 48 horas en la línea de producción y cuánto cuesta evitarla. Esa traducción del problema técnico a dinero y plazos es el núcleo de la gestión de riesgos.

Las pymes también están en el punto de mira. Muchas creen que son demasiado pequeñas para interesar a nadie, pero buena parte de los ataques son automáticos: un correo de phishing enviado a miles de direcciones o un escaneo que busca servidores sin actualizar. El atacante no elige a la empresa. Elige la puerta abierta.

Cómo se hace una gestión de riesgos de ciberseguridad paso a paso

Los marcos de referencia usan nombres distintos, pero el ciclo se parece en todos: identificar, analizar, evaluar, tratar y revisar. Lo que sigue es una versión práctica que puede aplicar tanto una pyme de 20 personas como el departamento de seguridad de una gran empresa, con más o menos detalle.

Inventario de activos y su valor

Nadie protege bien lo que no sabe que tiene. El primer paso es listar los activos de información: servidores, portátiles, aplicaciones en la nube, bases de datos de clientes, cuentas de correo, dispositivos conectados de la planta y también las personas con acceso a datos sensibles.

A cada activo se le asigna un valor según tres criterios clásicos. Confidencialidad: qué pasa si se filtra. Integridad: qué pasa si alguien lo modifica. Disponibilidad: qué pasa si deja de funcionar. Una web corporativa informativa puede tener disponibilidad media y confidencialidad baja, mientras que el ERP con la facturación tendrá valores altos en las tres.

Un error frecuente es quedarse en el hardware. En muchas empresas el activo más delicado es una hoja de cálculo con las tarifas de cada cliente que vive en el portátil del director comercial.

Amenazas y vulnerabilidades

Una amenaza es aquello que puede causar daño: ransomware, phishing, un empleado descontento, un corte eléctrico o un proveedor que sufre una brecha. Una vulnerabilidad es la debilidad que permite que esa amenaza tenga éxito, como contraseñas reutilizadas, un servidor sin parchear, copias de seguridad conectadas a la misma red o la falta de doble factor en el correo.

El riesgo aparece cuando las dos coinciden sobre un activo que tiene valor. Un servidor antiguo, aislado y sin datos importantes tiene vulnerabilidades, pero poco riesgo. El mismo servidor expuesto a internet con la base de datos de clientes es otra historia.

Para esta fase sirven los catálogos de amenazas de MAGERIT, la metodología de análisis de riesgos de la Administración española, los informes anuales del INCIBE y del CCN-CERT, y los resultados de escaneos de vulnerabilidades y pruebas de intrusión.

La matriz de probabilidad e impacto

Con activos, amenazas y vulnerabilidades sobre la mesa, cada escenario se puntúa según dos variables: la probabilidad de que ocurra y el impacto si ocurre. La forma más extendida es una matriz de 5x5, aunque muchas pymes empiezan con una de 3x3 y les basta.

La tabla sirve para decidir el orden de trabajo y para justificar el presupuesto: los escenarios críticos se atienden primero, aunque otros parezcan más llamativos. Conviene acompañar cada puntuación con una estimación económica, aunque sea aproximada, porque la dirección entiende mejor «unos 200.000 euros por semana de parada» que «impacto alto».

Opciones de tratamiento del riesgo

Para cada riesgo hay cuatro respuestas posibles, y elegir una es una decisión de negocio, además de técnica:

• Mitigar. Aplicar controles que reduzcan la probabilidad o el impacto, como el doble factor, las copias de seguridad fuera de línea, la segmentación de red o la formación contra el phishing.
• Transferir. Pasar parte del impacto económico a otro, normalmente con un ciberseguro o con cláusulas en los contratos con proveedores. La responsabilidad legal sobre los datos sigue siendo de la empresa.
• Evitar. Dejar de hacer la actividad que genera el riesgo, por ejemplo retirar un servicio antiguo que nadie usa y que sigue expuesto a internet.
• Aceptar. Asumir el riesgo de forma consciente y documentada porque el coste de reducirlo supera el daño esperado.

Aceptar un riesgo tiene condiciones: alguien con autoridad lo firma, sabe qué está asumiendo y lo vuelve a revisar cada cierto tiempo. Si nadie lo ha decidido, el riesgo simplemente está sin gestionar.

Marcos de referencia ISO 27005, NIST y ENS

No hace falta inventar el método. Existen marcos reconocidos que ordenan el trabajo y facilitan auditorías y certificaciones:

• ISO/IEC 27001 e ISO/IEC 27005. La 27001 define el sistema de gestión de seguridad de la información (SGSI) y es certificable. La 27005 detalla cómo hacer el análisis y el tratamiento de riesgos dentro de ese sistema. Las dos se actualizaron en 2022.
• NIST Cybersecurity Framework 2.0. Publicado en 2024 por el instituto de estándares de Estados Unidos, organiza la seguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. Es gratuito y muy habitual en empresas con matriz norteamericana.
• Esquema Nacional de Seguridad (ENS). Regulado por el Real Decreto 311/2022, es obligatorio para el sector público español y para las empresas que le prestan servicios tecnológicos. Para el análisis de riesgos se apoya en MAGERIT y en la herramienta PILAR del CCN.

Muchas organizaciones combinan varios. Usan ISO 27001 para certificarse ante clientes, el ENS para contratar con la Administración y NIST como guía interna.

Normativa europea que obliga a gestionar el riesgo

En muchos sectores la gestión de riesgos ya no es voluntaria. La Directiva NIS2 amplía la lista de entidades obligadas (energía, transporte, salud, agua, infraestructura digital, administración pública, parte de la industria y otros sectores) y exige medidas de gestión de riesgos, notificación rápida de incidentes y responsabilidad directa de los órganos de dirección. España la está incorporando a su legislación mediante una ley de coordinación y gobernanza de la ciberseguridad.

En el sector financiero manda el Reglamento DORA, aplicable desde el 17 de enero de 2025. Bancos, aseguradoras, gestoras y sus proveedores tecnológicos críticos deben contar con un marco de gestión del riesgo TIC, pruebas de resiliencia y un registro de contratos con terceros.

A esto se suma el RGPD, que pide medidas de seguridad apropiadas al riesgo para los datos personales. Cualquier empresa que trate datos de clientes necesita, como mínimo, un análisis de riesgos básico y documentado.

Errores habituales al gestionar riesgos digitales

• Hacer el análisis una vez para una auditoría y guardarlo en un cajón. Las amenazas cambian cada pocos meses.
• Puntuar casi todo como alto. Si todo es prioritario, el equipo no sabe por dónde empezar.
• Dejar fuera a las personas, cuando muchos incidentes empiezan con un clic en un correo.
• Confiar en las copias de seguridad sin haber probado nunca una restauración completa.
• Encargar el análisis solo al equipo técnico, sin que finanzas, legal y operaciones digan qué procesos no pueden parar.

Quién se encarga de la gestión de riesgos en la empresa

En organizaciones grandes la responsabilidad suele recaer en el CISO, el director de seguridad de la información, que trabaja con las áreas de riesgos corporativos, cumplimiento normativo y auditoría interna. En empresas medianas suele haber un responsable de seguridad que reporta a la dirección general, y en las pymes es habitual externalizar parte del trabajo a un proveedor de servicios gestionados.

El perfil que se busca combina conocimientos técnicos con capacidad para hablar de negocio: entender cómo funciona un ataque y, a la vez, explicar a un comité por qué conviene invertir 40.000 euros en segmentar la red. Es una de las especialidades con más salida para un experto en ciberseguridad, sobre todo en banca, seguros, consultoría y empresas afectadas por NIS2.

Quien quiera orientar su carrera hacia este campo puede empezar por el Experto Universitario en Gestión de Riesgos y Ciberseguridad o, si busca una formación más amplia, por el Máster Oficial en Dirección de Ciberseguridad.