Acceso usuarios
Manuel Tupi
En la era digital, las instituciones públicas enfrentan crecientes desafíos en materia de ciberseguridad debido a la proliferación de amenazas cibernéticas, la digitalización de los servicios gubernamentales y el cumplimiento de normativas estrictas sobre protección de datos. La evaluación de riesgos cibernéticos (Cyber Risk Assessment) es un proceso crítico que permite a estas instituciones identificar vulnerabilidades, mitigar amenazas y fortalecer su postura de seguridad. Sin embargo, la falta de un modelo estructurado que integre estándares internacionales, marcos de gobierno de TI y mejores prácticas en gestión de riesgos limita la efectividad de las estrategias de protección. Los organismos reguladores han reconocido la importancia de la evaluación de riesgos cibernéticos en el sector público. Normativas como la ISO/IEC 27005:2022, que proporciona directrices para la gestión del riesgo de seguridad de la información, y el NIST Cybersecurity Framework (CSF) 2.0, que establece un enfoque basado en cinco funciones clave (Identificar, Proteger, Detectar, Responder y Recuperar), han servido como referencia para muchas organizaciones. Adicionalmente, marcos de gobernanza y gestión de riesgos de TI como RISK-IT 2.0 de ISACA e ITIL 4 ofrecen un enfoque estructurado para la alineación de la ciberseguridad con los objetivos estratégicos institucionales. Este artículo propone un modelo de componentes para la evaluación de riesgos cibernéticos en instituciones públicas, basado en el estado del arte, normas internacionales y marcos de gestión de TI. El modelo incorpora elementos tecnológicos, de gobernanza y de gestión para ofrecer una evaluación integral del riesgo.
In the digital era, public institutions face increasing cybersecurity challenges due to the proliferation of cyber threats, the digitization of government services and compliance with strict data protection regulations. Cyber Risk Assessment (Cyber Risk Assessment) is a critical process that enables these institutions to identify vulnerabilities, mitigate threats and strengthen their security posture. However, the lack of a structured model that integrates international standards, IT governance frameworks and best practices in risk management limits the effectiveness of protection strategies. Regulators have recognized the importance of cyber risk assessment in the public sector. Standards such as ISO/IEC 27005:2022, which provides guidelines for information security risk management, and the NIST Cybersecurity Framework (CSF) 2.0, which establishes an approach based on five key functions (Identify, Protect, Detect and Recover), have served as a reference for many organizations. Additionally, IT governance and risk management frameworks such as ISACA’s RISK-IT 2.0 and ITIL 4 provide a structured approach for aligning cybersecurity with organizational strategic objectives. This article proposes a component model for cyber risk assessment in public institutions, based on the state of the art, international standards and IT management frameworks. The model incorporates technological, governance and management elements to provide a comprehensive risk assessment.
