Por: CP Iván Rodríguez. Colaborador de Auditool.

Cada organización se enfrenta a una variedad de riesgos cibernéticos que pueden provenir de fuentes externas e internas. Por ello, es necesario evaluarlos y determinar la posibilidad de que ocurra un evento que afecte negativamente el logro de los objetivos. Los actores que están detrás de los ataques cibernéticos normalmente están motivados por obtener una ganancia financiera y tienden a operar sobre una base de costo/recompensa y es posible ubicarlos en alguna de las siguientes categorías:

Si bien los resultados de la evaluación de riesgos impulsan en última instancia la asignación de recursos de la entidad destinados a las actividades de control que previenen, detectan y gestionan el riesgo cibernético, las inversiones también deben dirigirse al propio proceso de evaluación de riesgos. Un auditor debe entender que las organizaciones tienen recursos limitados y sus decisiones de invertir en actividades de control deben tomarse sobre información relevante y de calidad, para poder priorizar el financiamiento a los sistemas de información que son los más críticos para la entidad.

La evaluación de riesgos cibernéticos de una organización debe comenzar primero por comprender qué sistemas de información son valiosos para la organización. El valor debe medirse en función del impacto potencial en los objetivos de la entidad.

El Marco de 2013 proporciona varios puntos de enfoque, dentro del Principio 6[2], que proporcionan información a las organizaciones sobre cómo evaluar sus objetivos de una manera que podría influir en el proceso de evaluación de riesgos cibernéticos. Estos puntos de enfoque se definen en las siguientes categorías:

Con base en la evaluación del riesgo cibernético, la administración toma decisiones en relación con las actividades de control implementadas en los sistemas de información que respaldan los objetivos de una entidad; por lo tanto, es importante que la alta dirección y otras partes interesadas críticas impulsen el proceso de evaluación de riesgos para identificar lo que debe protegerse en consonancia con los objetivos de la entidad. Hay organizaciones (y auditores) que no dedican suficiente tiempo a comprender qué sistemas de información son realmente críticos para la organización y también pueden tener dificultades para comprender dónde y cómo la información se almacena. Esta situación puede llevar a intentos de proteger todo, lo que lleva a sobreproteger ciertos sistemas de información y a descuidar otros.

Ahora bien, cuando una empresa gestiona el riesgo cibernético empleando el marco COSO, se facilita que la junta directiva y los altos ejecutivos comuniquen mejor sus objetivos comerciales, su definición de sistemas de información críticos y los niveles de tolerancia al riesgo relacionados. Esto le permite a otras personas dentro de la organización, incluido el personal de TI, realizar un análisis detallado de riesgos cibernéticos mediante la evaluación de los sistemas de información que tienen más probabilidades de ser atacados, los ataques probables y los métodos y los puntos de explotación previstos. A su vez, se pueden poner en marcha actividades de control adecuadas para hacer frente a esos riesgos.

Por ejemplo, los componentes Entorno de control y Actividades de monitoreo son fundamentales cuando se considera el riesgo cibernético. Para que las organizaciones se vuelvan seguras, vigilantes y resistentes, estos componentes del control interno deben estar presentes y funcionando; de lo contrario, es probable que una organización no pueda comprender los riesgos cibernéticos lo suficiente, implementar actividades de control diseñadas de manera efectiva, y responder adecuadamente para abordar los riesgos cibernéticos.

Con el fin de gestionar los riesgos cibernéticos de una manera segura, vigilante y resistente, las organizaciones pueden ver su perfil cibernético a través de los componentes del control interno, de la siguiente manera:

Luego de considerar el riesgo cibernético desde la óptica del marco COSO, muchas organizaciones pueden reconsiderar cómo pueden influir para mejorar los controles que mitigan los impactos del riesgo cibernético en los objetivos de la organización. Hay que considerar que, si los riesgos cibernéticos se abordan mediante una gestión reactiva, el daño de un ataque cibernético podría ser tan grave que la organización podría dejar de existir y operar. El riesgo cibernético solo continuará siendo más difícil de manejar a medida que pase el tiempo, la tecnología evolucione y los piratas informáticos se vuelvan más sofisticados. Por ello, la gestión del riesgo cibernético es una prioridad que debe recibir la misma atención que otros objetivos que son estratégicos para la organización y es un tema que debe ser considerado por el auditor en sus evaluaciones.

 

[1] Artículo basado en: https://www.coso.org/SharedDocuments/COSO-in-the-Cyber-Age.pdf

[2] El principio 6(uno de los 17 principios de control interno del marco COSO 2013) dice: La organización especifica los objetivos con suficiente claridad para permitir la identificación y evaluación de los riesgos relacionados con los objetivos.  Está asociado al componente de Evaluación de Riesgos.

 

 

CP Iván Rodríguez

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia