EVALUACIÓN DE LOS RIESGOS INFORMÁTICOS
La herramienta de evaluación de la ciberseguridad del Consejo Federal de Evaluación de las Instituciones Financieras es una prueba de diagnóstico que ayuda a las instituciones a identificar su nivel de riesgo y a determinar la madurez de sus programas de ciberseguridad. Esta evaluación mide los niveles de riesgo en varias categorías, incluidos los canales de entrega, los tipos de conexión, las amenazas externas y las características de la organización. Al final, los resultados permiten a la gerencia tomar decisiones de gestión de la seguridad basadas en el riesgo mediante evaluaciones periódicas de la ciberseguridad utilizando criterios estandarizados para la medición del riesgo.
Esta herramienta de evaluación de la ciberseguridad mide tanto el riesgo de seguridad presente en una institución como la preparación de la misma para mitigar ese riesgo.
La herramienta de evaluación de la ciberseguridad del Consejo Federal de Evaluación de las Instituciones Financieras mide tanto el riesgo de seguridad presente en una institución como la preparación de la misma para mitigar ese riesgo. Estos dos factores se miden en las siguientes categorías:
Tecnologías y tipos de conexión
Algunos tipos de tecnologías y las redes a las que se conectan tienen un mayor nivel de riesgo inherente. En esta categoría, examinamos el número de conexiones de terceros e ISP, el número de conexiones no seguras, si el alojamiento se subcontrata o se maneja internamente, y varios otros factores.
Canales de entrega
Algunos canales de entrega de productos y servicios de la empresa presentan un mayor riesgo que otros. Más canales de entrega y canales de entrega más diversos significan un mayor riesgo inherente. En esta categoría, el riesgo se mide a través de sitios web, aplicaciones web y móviles, y cajeros automáticos.
Productos en línea y/o móviles y servicios tecnológicos
La seguridad de una institución varía en función de los diferentes productos y servicios tecnológicos que ofrece. Los servicios de pago y los servicios de transacciones, como tarjetas de crédito, transferencias bancarias, pagos de persona a persona y banca corresponsal, vienen con diferentes desafíos de seguridad que se evalúan en esta categoría.
Características de la organización
En esta categoría, se examinan las características de la propia institución, incluido el número de empleados directos, los cambios en el personal de seguridad, el número de usuarios con privilegios de seguridad elevados, las ubicaciones de los centros de datos y más.
Amenazas externas
El número de ataques (y el tipo de ataques) sufridos por una organización influyen en su evaluación de riesgos en esta sección.
Gestión y supervisión del riesgo cibernético
¿Supervisa la junta directiva el compromiso de la administración con un programa de ciberseguridad para toda la institución? Esta evaluación examina la supervisión en términos de estrategia, políticas, solidez del programa de gestión de riesgos, personal y presupuesto del programa, cultura y capacitación.
Inteligencia sobre amenazas y colaboración
¿Qué procesos existen para descubrir, analizar y compartir hallazgos sobre la evolución de las amenazas de ciberseguridad? En este dominio, la gerencia califica a la institución en términos de inteligencia de amenazas, monitoreo/análisis y relaciones entre pares y partes interesadas internas que facilitan o dificultan el intercambio de información sobre amenazas cibernéticas.
Resiliencia en la gestión de incidentes cibernéticos
En este ámbito, se evalúa la forma en que la organización evalúa su respuesta a los incidentes de ciberamenazas, incluida la planificación y las pruebas para recuperar las operaciones normales después de un incidente.
Controles de ciberseguridad
¿Cuál es la madurez actual de los controles establecidos para proteger la infraestructura, los activos y la información mediante una supervisión y protección constantes y automatizadas? En este ámbito, los controles se evalúan desde una perspectiva detectivesca, preventiva y correctiva.
Gestión de dependencias externas
La herramienta de evaluación de la ciberseguridad del Consejo Federal de Evaluación de las Instituciones Financieras profundiza en el programa existente de la organización para supervisar y administrar las relaciones con terceros y las conexiones externas que tienen acceso a los activos de información y tecnología de la empresa.
