De la matriz a la decisión: ¿estamos evaluando correctamente los riesgos de ciberseguridad?

La gestión del riesgo no consiste en asignar números a las vulnerabilidades, sino en comprender qué puede fallar, qué consecuencias tendría y qué debemos hacer antes de que ocurra.

La transformación digital multiplicado las dependencias tecnológicas de las organizaciones, pero también ha multiplicado sus dependencias tecnológicas. Redes inalámbricas, servidores, sistemas de información, respaldos, servicios en la nube y personas forman parte de una infraestructura interconectada que sostiene las operaciones institucionales. En este escenario, identificar vulnerabilidades es apenas el comienzo. El verdadero desafío consiste en determinar cuáles representan una mayor exposición, qué consecuencias podrían producir y cómo distribuir los recursos disponibles para reducirlas.

Una matriz de riesgos puede ayudarnos. Sin embargo, también puede generar una falsa sensación de seguridad cuando sus puntuaciones no están suficientemente justificadas.

Esta reflexión surge de un ejercicio de análisis de ocho hallazgos de ciberseguridad, en el que se examinaron vulnerabilidades, amenazas, probabilidad, impacto, puntuación del riesgo, acciones preventivas, acciones correctivas e inversión estimada.

Los resultados permiten plantear lo siguiente ¿estamos midiendo los riesgos para llenar una matriz o para tomar mejores decisiones de seguridad?

1. Identificar una vulnerabilidad no es suficiente

El primer paso de la gestión del riesgo consiste en comprender las condiciones que pueden facilitar un incidente y las consecuencias que este tendría sobre los activos, la información y los servicios de una organización.

Durante el ejercicio se identificaron ocho escenarios que ilustran dimensiones de la seguridad institucional:

• Una red Wi-Fi que no separa a los visitantes de los equipos internos.

• La navegación web sin controles suficientes frente a sitios potencialmente maliciosos.

• La ausencia de un análisis documentado del contexto de un sistema de gestión de seguridad de la información (SGSI).

• La existencia de respaldos cuya capacidad de restauración no ha sido validada.

• La dependencia de una sola persona para mantener funciones críticas de seguridad y operación.

• La falta de evidencia sobre las competencias especializadas del personal responsable de la seguridad de redes.

• La ausencia de un proceso formal de análisis de causa raíz y seguimiento de acciones correctivas.

• La falta de un sistema centralizado de monitoreo y análisis de eventos de seguridad.

Algunos son técnicos; otros corresponden a procesos, competencias o gobernanza. Sin embargo, comparten una característica: pueden afectar la confidencialidad, la integridad o la disponibilidad de la información.

También revelan algo importante. La ciberseguridad no depende exclusivamente de instalar dispositivos de protección o adquirir nuevas herramientas. Depende de la relación entre tecnología, personas, procedimientos, responsabilidades y capacidad de respuesta.

Una red puede disponer de un firewall y seguir expuesta si sus segmentos no están correctamente aislados. Una institución puede generar copias de seguridad y descubrir, durante una emergencia, que no puede recuperar sus datos. También puede contar con personal técnico experimentado y enfrentar dificultades cuando las responsabilidades, las suplencias y los procedimientos no están formalizados.

La vulnerabilidad, por tanto, debe entenderse dentro de su contexto operativo. Su importancia no depende únicamente de que exista una debilidad, sino de los activos que expone, las amenazas que pueden aprovecharla y las consecuencias que podrían producirse.

2. El riesgo no es solamente una multiplicación

En la matriz analizada, el riesgo se calculó mediante la multiplicación de dos variables:

Riesgo = Probabilidad × Impacto

La operación es sencilla y permite construir una primera escala comparativa. Si la probabilidad y el impacto se califican del 1 al 10, el resultado puede variar entre 1 y 100.

Los ocho registros presentan los siguientes resultados:

Hallazgo	Probabilidad	Impacto	Riesgo
Red Wi-Fi sin aislamiento	10	9	90
Dependencia de una sola persona	9	9	81
Respaldos sin restauración validada	8	10	80
Navegación web sin filtrado	8	9	72
Ausencia de monitoreo centralizado	8	9	72
Falta de análisis de contexto del SGSI	8	8	64
Competencias de ciberseguridad no acreditadas	8	8	64
Falta de mejora continua formal	7	6	42

Las ocho multiplicaciones son matemáticamente correctas. No obstante, verificar la operación no equivale a validar la evaluación.

¿Por qué asignamos una probabilidad de 10 a la exposición de la red inalámbrica? ¿Qué evidencia permite considerar que un incidente es prácticamente seguro? ¿Por qué la falta de competencias acreditadas recibe una probabilidad de 8? ¿Qué consecuencias justifican un impacto de 10 en la pérdida de capacidad para recuperar información?

Estas preguntas no invalidan las puntuaciones. Nos recuerdan que deben sustentarse en criterios compartidos, evidencia disponible, antecedentes de incidentes, controles existentes y conocimiento de los procesos institucionales.

Además, conviene distinguir el riesgo inherente, evaluado antes de considerar los controles, del riesgo residual, que permanece después de aplicar las medidas de tratamiento.

Si cada persona utiliza una escala diferente, la comparación pierde consistencia.

La puntuación debe ser el resultado de una evaluación razonada, no un número elegido para expresar preocupación.

La norma ISO/IEC 27001:2022 establece un marco para gestionar los riesgos de seguridad de la información y priorizar su tratamiento de acuerdo con criterios definidos por la organización. La utilidad de una matriz depende, en consecuencia, tanto del cálculo como de la metodología que lo sustenta.

3. ¿El riesgo más alto siempre debe atenderse primero?

El hallazgo con mayor puntuación es la falta de aislamiento de la red Wi-Fi, con 90 puntos. Le siguen la dependencia de una sola persona, con 81, y los respaldos sin pruebas de restauración, con 80.

El orden matemático es correcto. Sin embargo, la diferencia entre 81 y 80 puntos no demuestra que el primer escenario sea necesariamente más urgente que el segundo.

Consideremos los respaldos de información, una organización puede realizar copias cada 72 horas y conservarlas durante 28 días, estas cifras describen una política de respaldo, pero no demuestran que la información pueda recuperarse íntegramente ni que los sistemas puedan volver a operar dentro del tiempo requerido.

Si se presenta un ataque de ransomware, una falla técnica o un error humano, la ausencia de pruebas de restauración puede convertir una medida preventiva aparentemente existente en una capacidad de recuperación no comprobada.

La pregunta no es solamente cuántas copias tenemos, sino si podemos recuperar la información que necesitamos cuando la operación está comprometida.

Ahora consideremos la dependencia de una sola persona, si las credenciales privilegiadas, el conocimiento operativo y las funciones críticas están concentrados en un individuo sin suplencia definida, una ausencia inesperada puede interrumpir actividades esenciales. Ambos escenarios son relevantes, pero afectan dimensiones distintas de la continuidad operativa.

Por eso, la prioridad no debería establecerse exclusivamente mediante una clasificación descendente de puntuaciones. También debe considerar la criticidad de los activos, la magnitud de las consecuencias, la existencia de controles alternativos y la posibilidad de recuperación.

Esto no significa abandonar la fórmula. Significa utilizarla como parte de un proceso de decisión más amplio.

4. Los riesgos también se relacionan entre sí

Una de las observaciones más relevantes del ejercicio aparece cuando dejamos de examinar cada hallazgo de manera aislada y comenzamos a identificar sus relaciones.

La ausencia de monitoreo centralizado, por ejemplo, puede dificultar la detección de accesos no autorizados, movimientos laterales y propagación de malware. También puede retrasar la identificación de incidentes asociados con la navegación web o con una red interna insuficientemente segmentada.

De manera similar, la dependencia de una sola persona puede afectar la administración de accesos, la supervisión de respaldos y la respuesta ante incidentes.

La falta de análisis de causa raíz y de seguimiento de acciones correctivas puede permitir que determinadas fallas se repitan sin que la organización compruebe si las medidas implementadas fueron eficaces.

Estas relaciones muestran que algunos hallazgos tienen un alcance transversal. No afectan únicamente a un activo, sino a la capacidad de la organización para prevenir, detectar, contener y recuperar sus operaciones.

Por ello, conviene distinguir entre la puntuación individual de cada riesgo y su importancia dentro del conjunto de la infraestructura.

Un riesgo con una puntuación menor puede adquirir relevancia estratégica cuando debilita los mecanismos que permiten controlar otros riesgos.

La matriz debe ayudarnos a reconocer estas dependencias, no solamente a ordenar una lista.

5. De las medidas propuestas a los controles verificables

La revisión también permitió identificar diferencias entre las acciones preventivas y las correctivas.

Una acción preventiva busca reducir la probabilidad de que ocurra un incidente o limitar la exposición.

Una acción correctiva atiende una deficiencia detectada o una situación que requiere remediación, con el propósito de corregir la causa y evitar su recurrencia.

En el caso de la red Wi-Fi, crear una red de invitados aislada y controlar las comunicaciones entre segmentos son medidas preventivas pertinentes. Sin embargo, utilizar una lista blanca de direcciones MAC como principal mecanismo de protección es insuficiente, porque esas direcciones pueden suplantarse.

En el caso de la navegación web, instalar un firewall de nueva generación, un proxy seguro o un sistema de filtrado DNS fortalece la prevención. Si un equipo ya fue comprometido, la respuesta debe incluir su contención, la investigación del incidente, la eliminación de la amenaza y la recuperación segura.

Algo similar ocurre con el monitoreo. Instalar una solución centralizada permite mejorar la capacidad de detección, pero no demuestra por sí mismo que la institución pueda responder eficazmente. También se requieren reglas de alertamiento, responsables, procedimientos de investigación y tiempos de atención.

La misma lógica se aplica a la capacitación. Asistir a un curso no demuestra automáticamente que una persona pueda identificar una configuración insegura o responder ante un incidente. Es necesario evaluar sus competencias mediante ejercicios y evidencias de desempeño.

En todos estos casos, la pregunta central es la misma: ¿cómo demostramos que el control funciona?

Una medida de seguridad debe tener un propósito definido, un responsable, un criterio de verificación y una evidencia que permita evaluar su eficacia.

6. Una matriz útil debe evolucionar con la organización

Los hallazgos relacionados con la falta de análisis de contexto y de mejora continua permiten ampliar la reflexión, una evaluación de riesgos no es un documento que se elabora una vez y permanece inalterado. La infraestructura cambia, aparecen nuevos servicios, se modifican las responsabilidades, se incorporan proveedores y evolucionan las amenazas.

Por ello, la evaluación debe revisarse cuando ocurran cambios relevantes, cuando se identifiquen nuevas vulnerabilidades y cuando un incidente revele que las estimaciones anteriores ya no representan adecuadamente la realidad.

La mejora continua exige documentar las causas de los incidentes, asignar acciones, establecer plazos, comprobar su eficacia y presentar información relevante a quienes toman decisiones.

Esto permite cerrar el ciclo entre identificación, evaluación, tratamiento y seguimiento.

Una matriz madura no solo indica qué riesgos existen, también permite responder quién es responsable de tratarlos, qué recursos se requieren, cuál es el plazo de atención, qué riesgo permanece y qué evidencia demuestra que la situación mejoró.

Entonces, gestionar el riesgo significa transformar la incertidumbre en decisiones justificadas, controles verificables y capacidad de recuperación. Porque proteger la información no consiste únicamente en impedir que ocurra un incidente, sino también en estar preparados para responder cuando la prevención no sea suficiente.

Carolina Ortega

Impulsora de la simbiosis entre el Derecho y las TIC´s

03/11/26