GRC sin burocracia: cómo gestionar riesgos de ciberseguridad en la práctica

GRC empieza por decisiones, no por documentos

Gobierno, riesgo y cumplimiento suele abreviarse como GRC. En la práctica, significa responder preguntas muy concretas: qué necesita proteger la organización, qué podría impedir sus objetivos, cuánto riesgo está dispuesta a aceptar, quién decide y cómo demuestra que los controles funcionan. Las políticas, matrices y evidencias son herramientas para sostener esas respuestas; no son el objetivo final.

Un programa se vuelve burocrático cuando produce documentos sin cambiar decisiones. También cuando cada área usa una definición distinta de criticidad o cuando seguridad acumula riesgos que nadie puede aceptar, tratar ni financiar. La alternativa no es eliminar la documentación, sino hacerla proporcional y conectarla con el trabajo.

El Cybersecurity Framework 2.0 de NIST organiza resultados en seis funciones: Govern, Identify, Protect, Detect, Respond y Recover. La incorporación explícita de Govern destaca que la estrategia, los roles, las políticas, el contexto y la supervisión atraviesan todo el ciclo. El marco está diseñado para organizaciones de distintos tamaños y sectores; no prescribe una herramienta ni una lista cerrada de controles.

Para una empresa en Argentina, el punto de partida puede ser una conversación de noventa minutos con dirección, operaciones, tecnología, legales o privacidad. Elegí un servicio importante y preguntá qué necesita para funcionar, de quién depende, qué datos utiliza, qué interrupciones son plausibles y quién asumiría el impacto. Esa conversación produce más señal que completar una matriz genérica de cien filas.

Construí un registro de riesgos que alguien pueda usar

Un registro mínimo puede tener ocho campos: escenario, activo o proceso afectado, causa, impacto, controles existentes, responsable, tratamiento y fecha de revisión. Redactá el riesgo como una historia concreta. En vez de ransomware alto, escribí: un equipo con acceso administrativo ejecuta software malicioso y cifra el sistema de facturación; la empresa no puede emitir comprobantes durante varios días. La segunda versión permite discutir prevención, detección, respuesta y recuperación.

Evitá convertir la puntuación en una falsa precisión. Una escala simple de probabilidad e impacto puede ayudar a ordenar, siempre que sus criterios estén definidos. El impacto debe relacionarse con operación, personas, finanzas, obligaciones y reputación. La prioridad también depende de velocidad, exposición y capacidad de recuperación. Documentá supuestos y revisalos cuando cambie un proveedor, un proceso o el contexto de amenazas.

Cada riesgo necesita un dueño de negocio con autoridad para decidir, no solamente una persona de tecnología. Seguridad puede analizar y facilitar; quien conduce el proceso entiende las consecuencias y asigna recursos. El tratamiento puede reducir, evitar, transferir o aceptar el riesgo. Aceptar no significa ignorar: implica una decisión consciente, con alcance, plazo y nivel de aprobación acordes.

Vinculá controles con evidencia. Si el control dice hay backups, la evidencia relevante puede ser el resultado de una restauración reciente, no una captura de que existe una tarea programada. Si dice se revisan accesos, registrá quién revisó, qué excepciones encontró y qué se corrigió. Una evidencia útil permite responder si el control operó, con qué alcance y qué pasó cuando falló.

Usá Govern para ordenar responsabilidades y terceros

La función Govern de CSF 2.0 incluye contexto organizacional, estrategia de riesgo, roles y responsabilidades, políticas, supervisión y riesgo de cadena de suministro. Traducido a una organización pequeña: definir quién coordina, qué decisiones suben a dirección, qué requisitos aplican y cómo se controlan proveedores críticos.

Empezá por una matriz liviana de responsabilidades. Para incidentes, por ejemplo, alguien detecta y escala, alguien decide sobre continuidad, alguien comunica y alguien preserva evidencia. Los nombres pueden repetirse en una PyME, pero los sombreros deben estar claros. Agregá suplencias: un procedimiento que depende de una sola persona de vacaciones no es un procedimiento operativo.

Después observá terceros. Servicios de nube, estudios externos, plataformas de pago, software de gestión y proveedores de soporte pueden concentrar información o accesos. Antes de contratar, preguntá qué datos tratarán, cómo administran identidades, qué notifican ante incidentes, cómo se recupera la información y qué ocurre al terminar el servicio. No todas las compras requieren la misma evaluación: segmentá según criticidad y acceso.

Definí un ritmo de gobierno que la organización pueda sostener. Una reunión mensual de treinta minutos puede revisar riesgos altos, incidentes, excepciones, cambios relevantes y tratamientos vencidos. Una revisión trimestral puede actualizar prioridades y terceros. Dirección debería recibir un panorama breve: escenarios, tendencia, decisiones pendientes y efecto sobre objetivos. Contar vulnerabilidades sin contexto rara vez ayuda a decidir.

El Small Business Quick Start Guide de NIST propone comprender cómo el riesgo cibernético puede interrumpir la misión, reconocer requisitos legales y contractuales, asignar responsabilidades y evaluar dependencias. Ese orden evita comprar soluciones antes de saber qué problema deberían resolver.

Cumplimiento y protección de datos en Argentina

Cumplir no equivale a estar seguro, pero las obligaciones pueden ayudar a formular controles necesarios. En Argentina, la Ley 25.326 regula la protección de datos personales. Entre otros puntos, establece principios sobre consentimiento, información al titular, calidad, seguridad, confidencialidad y derechos de acceso, rectificación y supresión. La AAIP aprobó mediante la Resolución 47/2018 medidas de seguridad recomendadas para el tratamiento y conservación de datos personales informatizados. La aplicación concreta depende del tratamiento, el sector y otras obligaciones, por lo que este artículo no reemplaza asesoramiento legal.

Llevá esas obligaciones a preguntas operativas: qué datos reunimos, para qué, dónde están, quién accede, cuánto tiempo los conservamos, con quién los compartimos y cómo respondemos un pedido del titular. Después conectá las respuestas con controles y responsables. Si un formulario pide información que nadie usa, la mejor medida puede ser dejar de recolectarla. Si una planilla circula por correo, quizás necesite un repositorio con acceso limitado y registro de cambios.

Creá un mapa simple de requisitos que incluya fuente, obligación, proceso afectado, control, evidencia, responsable y frecuencia. Sumá contratos de clientes y proveedores, políticas internas y requisitos sectoriales. Revisá cambios con asesoramiento competente; no congeles el mapa como si fuera una fotografía permanente.

Para empezar esta semana, elegí un proceso crítico, redactá tres escenarios de riesgo, asigná dueño, verificá un control con evidencia y elevá una decisión pendiente. En el siguiente ciclo, repetí con otro proceso y revisá lo anterior. GRC práctico no busca llenar casilleros: crea una conversación regular entre negocio, tecnología, personas y obligaciones. Cuando esa conversación produce prioridades claras, responsables visibles y seguimiento, la gestión de riesgos deja de ser una planilla y se convierte en una capacidad de la organización.

Seguir leyendo el blog