El cambio de las revisiones periódicas a la gestión continua del riesgo

Los programas de riesgo se crearon para un mundo donde todo iba más lento. Es decir, las evaluaciones de proveedores se realizaban anualmente y las pruebas de control eran trimestrales, para luego completar las revisiones, archivarlas y utilizarlas como evidencia de que había gobernanza. Este modelo tenía sentido cuando los ecosistemas cambiaban gradualmente y las pilas tecnológicas eran más fáciles de visualizar.

Sin embargo, hoy en día, esto no es suficiente, puesto que las cadenas de suministros digitales cambian a diario, los proveedores incorporan nuevos subcontratistas, las configuraciones en la nube van cambiando, se activan nuevas integraciones y las vulnerabilidades se publican, explotan y tienen que solventarse en ciclos relativamente cortos. En definitiva, los equipos tienen que trabajar a un ritmo rápido y adoptar herramientas SaaS en cuestión de semanas, en vez de trimestres. Dentro de este entorno, las revisiones periódicas crean una falsa sensación de confianza, ya que pueden confirmar cuál era la situación en una fecha concreta, pero no pueden decirte cuál es el estado actual.

Para los responsables de gestión de riesgos de terceros, este es el cambio clave. La gestión de riesgos está evolucionando de puntos de control programados a una visibilidad continua. Aun así, este cambio no se trata de hacer el mismo trabajo más seguido, sino de cambiar el modelo operativo para que el riesgo se convierta en una señal proactiva que apoye la toma de decisiones en lugar de un registro estático que se quede obsoleto con bastante rapidez.

¿Por qué las revisiones periódicas se convirtieron en una limitación?

Las revisiones periódicas se rigen por un flujo de trabajo que se basa en documentos, cuestionarios, informes SOC, documentos Excel y colas de tiques. Estas herramientas son bastante típicas y son fáciles de justificar, pero presentan problemas serios en lo que respecta a tres puntos.

• El panorama de riesgos cambia continuamente: un proveedor puede aprobar una revisión anual y, aun así, suponer un riesgo elevado a mitad de año debido a una brecha de seguridad, una adquisición, una interrupción grave o una nueva dependencia.
• El riesgo ya no se limita a tus proveedores directos: los subproveedores y la infraestructura compartida crean correlaciones que pueden vulnerarse.
• Los negocios se están optimizando para priorizar la velocidad: si los equipos de riesgo no pueden aportar directrices a tiempo, los profesionales que se vean afectados intentarán omitir el proceso y proseguir de otra forma.

Aquí es donde la monitorización de riesgos en tiempo real se convierte en un impulsor en lugar de un obstáculo porque: cuando mejora la visibilidad, las aprobaciones son más rápidas; cuando las señales son inmediatas, las excepciones son más precisas; y cuando se puede medir la postura de riesgo casi en tiempo real, la seguridad puede respaldar la innovación sin tener que depender de predicciones.

La supervisión continua de los riesgos permite la innovación

La innovación no falla porque los equipos carezcan de ideas; más bien, falla porque los responsables son incapaces de cuantificar el nivel de incertidumbre. Es decir, el director de seguridad de la información necesita saber si un nuevo socio presenta riesgos significativos, el jefe de GRC debe tener la confianza de que los controles son igual de efectivos en cualquier auditoría, el director de InfoSec necesita recibir advertencias tempranas cuando aumente la superficie de ataque y el director de gestión de riesgos de terceros tiene que entender si los proveedores se están saliendo de los límites aceptables en lo que respecta al riesgo.

La supervisión continua hace que la pregunta clave sea «¿Cuál es su postura de riesgo actual y qué ha cambiado» en lugar de «¿Hemos revisado a este proveedor?». Este pequeño cambio conlleva un impacto enorme porque hace que se pueda trabajar sobre los riesgos a la velocidad a la que se mueven los negocios.

Cuando la seguridad puede proporcionar señales en tiempo real, los responsables no tienen que elegir entre avanzar rápido y preservar la seguridad. Ambas opciones son compatibles, puesto que los equipos de producto pueden incorporar nuevos proveedores con mecanismos de protección claros, los equipos de adquisiciones pueden negociar los requisitos según el riesgo que se observe en lugar de suposiciones, el equipo jurídico puede ajustar los términos del contrato a las vulnerabilidades reales y los equipos de riesgo pueden enfocar su atención donde haya señales activas, en lugar de dividir el esfuerzo de manera uniforme entre todos los proveedores.

Esto también ayuda a reducir la fricción. De hecho, uno de los puntos que suele generar más tensión es la percepción de que la gobernanza bloquea el progreso; sin embargo, los modelos siempre activos reducen esta tensión porque pueden reemplazar los retrasos a nivel general por controles específicos. Cuando la supervisión muestra estabilidad, las aprobaciones pueden ser más rápidas, y cuando la supervisión muestra cambios, aumenta el escrutinio de manera justificable.

La gobernanza de la IA transforma la supervisión continua en medidas de confianza

La supervisión continua genera mucho volumen. Es decir, las señales de fuentes externas de riesgo, calificaciones de seguridad, inteligencia de vulnerabilidades, informes de brechas de datos y telemetría interna pueden superar a los equipos. Ahí es donde la gobernanza de la IA importa de verdad, puesto que no se trata del tema de moda, sino de la disciplina que garantiza que el apoyo a las decisiones automatizadas sea preciso, se pueda explicar y se ajuste a las políticas.

En este respecto, la gobernanza de la IA establece las reglas para la supervisión continua de los riesgos. define qué señales importan, cómo se ponderan y quién es el responsable cuando la automatización desencadena una acción. En definitiva, garantiza que los modelos no se desvían y evita que se produzcan alucinaciones o que se amplifique el ruido. También, genera confianza entre los interesados porque los resultados se pueden enlazar con las evidencias y las políticas.

A nivel práctico, la gobernanza de la IA ayuda de tres formas diferentes:

• Estandariza los riesgos entre los equipos. Los directores de seguridad de la información, responsables de GRC, equipos de InfoSec y equipos de gestión de riesgos de terceros suelen utilizar sistemas diferentes, por lo que las taxonomías y correlaciones asistidas por IA pueden coordinar estos sistemas para que todos puedan ver exactamente los mismos detalles sobre los riesgos.
• Prioriza qué merece la atención humana. En otras palabras, una buena gobernanza asegura que la IA se utiliza para clasificar y resumir la información, y nunca para tomar decisiones opacas. Esto aligera trabajo a los expertos para que puedan enfocarse en las excepciones y las incidencias que tengan mayor impacto.
• Genera evidencias que se puedan justificar. Cuando los reguladores, auditores o juntas directivas pregunten cómo se monitorizan los riesgos, los flujos de trabajo de gobernanza de la IA podrán mostrar una lógica consistente, umbrales bien documentados y las pistas de las evidencias.

El objetivo no es automatizar el juicio humano, sino automatizar la detección y el contexto de los elementos relevantes para que se pueda analizar lo que de verdad importa.

¿Qué les parece este cambio a los directores de seguridad de la información?

La supervisión continua de riesgos no es responsabilidad exclusiva de un solo rol; se trata de una capacidad operativa compartida que apoya prioridades distintas.

• Director de seguridad de la información: necesita un resumen en tiempo real de la exposición y concentración de riesgos para la empresa, lo que incluye conocer las dependencias compartidas y los grupos de proveedores interconectados que puedan amplificar el impacto de los riesgos.
• Director de GRC: necesita evidencias continuas de que los controles siguen siendo efectivos, lo que prepara de antemano el trabajo frente a auditorías y apoya el cumplimiento normativo en tiempo real.
• Director de InfoSec: necesita recibir advertencias tempranas y comprender cualquier correlación con rapidez, lo que incluye cualquier cambio en la postura de seguridad del proveedor, vulnerabilidades relacionadas con las tecnologías en uso e indicadores de compromiso.
• Responsable de gestión de riesgos de terceros: necesita información en tiempo real sobre el desempeño de los proveedores y cualquier cambio en las dependencias. Esto ayuda a lograr una clasificación más inteligente, una incorporación más rápida y correcciones más focalizadas.

Cuando todos estos roles comparten la responsabilidad sobre los riesgos, la gobernanza se vuelve mucho menos reactiva al ser parte de las operaciones rutinarias.

La supervisión continua es sostenible

Un miedo muy común es que la supervisión continua genere alertas continuas y escaladas sin fin. Sin embargo, esto pasa cuando el modelo se desarrolla a partir de ruido, ya que los programas sostenibles se centran en detectar cambios, aspectos significativos y trabajan con umbrales bien definidos.

Para ello, hay dos principios que son indiscutibles:

• Monitoriza qué puede cambiar rápido y causar un impacto significativo.
• Automatiza la escalada únicamente cuando se superen los umbrales que establezcan las políticas.

Esta es la clave para la gestión continua de riesgos: no reemplaza los ciclos de revisión, sino que los hace más inteligentes. Las evaluaciones periódicas siguen siendo muy importantes para una validación profunda de los controles y la gobernanza de los contratos. En definitiva, la supervisión continua cubre el vacío entre esos momentos, que es cuando realmente surgen la mayoría de los riesgos.

Por tanto, las organizaciones que dominen este cambio avanzarán más rápido y con mucha menos incertidumbre, y tratarán la gobernanza como un producto que impulsa los negocios en lugar de como un obstáculo que los ralentiza. En última instancia, esto aporta al director de seguridad de la información lo que necesita en la actualidad: una visibilidad que hace posible seguir el ritmo de las operaciones diarias.

En definitiva, en la actualidad, las cadenas de suministros están más interconectadas (y son más frágiles) que nunca, por lo que si quieres saber más sobre cómo estos riesgos pueden afectar a tu organización, consulta este seminario web bajo demanda.