Analiza estándares y normativas de seguridad de la información y ciberseguridad, y fomenta una cultura de seguridad en el uso de las nuevas tecnologías.
Objetivo y funciones
Analizar estándares, normativas vigentes y en proceso, guías, recomendaciones y manuales de organizaciones de reconocimiento internacional que sirvan de referencia para identificar, monitorear y prevenir los riesgos de seguridad de la información y cibernéticos, y fomentar una cultura de seguridad en el uso de las nuevas tecnologías.
- 01Elaborar un informe periódico de indicadores relevantes de ciberseguridad.
- 02Elaborar estadísticas de los eventos de ciberseguridad que sirvan de base para las decisiones de los miembros en la gestión de riesgos de sus entidades.
- 03Promover nuevas normativas o la modificación de las existentes para robustecer el marco legal y el control de la seguridad de la información y cibernética.
- 04Promover las mejores prácticas entre los miembros para mitigar este riesgo.
- 05Realizar conversatorios con personalidades del sector público y privado.
Qué es el riesgo tecnológico y cibernético
Riesgo de ciberseguridad
Efecto de la incertidumbre sobre la información y la tecnología. Se traduce en posibles pérdidas de confidencialidad, integridad o disponibilidad que afectan las operaciones, los activos, las personas y la economía.
FuenteNIST, Glosario: cybersecurity risk (se abre en una pestaña nueva)
Riesgo tecnológico
Riesgo de que las fallas, la obsolescencia, la inadecuada gestión de cambios o la dependencia de proveedores en los sistemas de información interrumpan o deterioren los servicios. Es el vínculo entre el riesgo operacional y la ciberseguridad.
Cómo se mide y se cuantifica
Hay dos caminos complementarios: indicadores operativos y cuantificación financiera del riesgo.
Cuantificación financiera (FAIR)
Riesgo = frecuencia de eventos de pérdida × magnitud de la pérdidaEl modelo FAIR, mantenido por The Open Group, expresa el riesgo cibernético en términos monetarios, descomponiendo la frecuencia en la frecuencia de amenazas y la vulnerabilidad.
Evaluación cualitativa de riesgos
Matrices de probabilidad e impacto por activo y escenario, siguiendo el proceso de gestión de riesgos de seguridad de la información de ISO/IEC 27005.
Madurez del marco NIST CSF 2.0
Autoevaluación de las seis funciones del marco (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar) y de los niveles de implementación.
Indicadores de exposición
Porcentaje de activos con parches críticos al día, antigüedad de las vulnerabilidades abiertas, cobertura de autenticación multifactor, resultados de las pruebas de phishing.
Indicadores de respuesta
Tiempo medio de detección y de contención, número y severidad de incidentes, y tiempo de recuperación de servicios críticos.
Cómo se gestiona
Coordinación
Quienes lideran la comisión. La coordinación y la co-coordinación rotan una vez al año.
Coordinación
Félix Rodríguez Paulino
Vicepresidente Adjunto de Riesgos No Financieros y Control Interno, Banco Promerica
Co-coordinación
Freddy Pérez Estevez
Vicepresidente de Seguridad de la Información, Banco Promerica
Normativas y lecturas recomendadas
Normas y documentos que la comisión toma como base de su trabajo.
- Reglamento de Seguridad Cibernética y de la Información, Banco Central
- Decreto 230-18, Estrategia Nacional de Seguridad Cibernética
- NIST, Cybersecurity Framework 2.0, 2024 (se abre en una pestaña nueva)
- NIST, Glosario: cybersecurity risk (se abre en una pestaña nueva)
- ISO/IEC 27000, Seguridad de la información
- ISO/IEC 27005, Gestión de riesgos de seguridad de la información
- ISO/IEC 27032, Gestión de la ciberseguridad
Inscríbete en esta comisión
Los miembros que deseen participar lo comunican a la Comisión Ejecutiva del Club, y este formulario es el canal. Pueden participar los miembros numerarios y los representantes de miembros protectores. ¿Aún no eres miembro? Conoce cómo serlo.
Conéctate a nuestras redes