1. Propósito
Establecer el conjunto integral de elementos estructurales que gobiernan cómo [ORGANIZACION] identifica, evalúa, gestiona y monitorea el riesgo cibernético, proporcionando la base operativa para implementar la Estrategia de Riesgo Cibernético.
2. Alcance
Este marco aplica a todas las actividades de gestión de riesgo cibernético realizadas por o en nombre de [ORGANIZACION], abarcando todo el personal, procesos, tecnología y relaciones con terceros que crean, gestionan o mitigan el riesgo cibernético.
3. Contenido del Marco
3.1 Descripción General del Marco
Este Marco de Riesgo Cibernético operacionaliza la Estrategia de Riesgo Cibernético de [ORGANIZACION] definiendo las políticas, estándares, roles y responsabilidades, procesos de gestión de riesgos, taxonomía de riesgos y apetito de riesgo que colectivamente gobiernan la gestión del riesgo cibernético.
El marco está estructurado en torno a [PERSONALIZAR: e.g., NIST CSF 2.0 / ISO 27001 / COBIT] como marco de referencia principal, complementado por requisitos específicos de la industria incluyendo [PERSONALIZAR: applicable regulations/standards].
Todos los componentes de este marco están sujetos a los procesos de gobernanza y revisión definidos en la Sección 8.
3.2 Componentes del Marco
El Marco de Riesgo Cibernético consta de los siguientes componentes interrelacionados:
Políticas: El conjunto completo de políticas de riesgo cibernético que definen las expectativas y requisitos organizacionales. El inventario actual de políticas se mantiene en [PERSONALIZAR: location/system].
Estándares: Estándares técnicos y procedimentales que especifican cómo se implementan los requisitos de las políticas. Los estándares son mantenidos por [PERSONALIZAR: role/team].
Procedimientos: Procedimientos operativos paso a paso que aseguran la ejecución consistente de los estándares. Los procedimientos son propiedad de los equipos operativos dentro de la primera línea de defensa.
Roles y Responsabilidades: Definidos utilizando el modelo de tres líneas de defensa según se documenta en la Sección 4 de este marco.
Procesos de Gestión de Riesgos: Los procesos para identificar, evaluar, tratar, monitorear e informar sobre el riesgo cibernético según se define en la Sección 5.
Taxonomía de Riesgos: La categorización estandarizada de riesgos cibernéticos según se define en la Sección 6.
Apetito de Riesgo: La tolerancia de la organización al riesgo cibernético según se define en la Declaración de Apetito de Riesgo (Anexo A).
3.3 Arquitectura de Políticas
La arquitectura de políticas de riesgo cibernético de [ORGANIZACION] sigue una estructura escalonada:
Nivel 1 - Política de Riesgo Cibernético: La política general aprobada por [PERSONALIZAR: Board/Executive] que establece el mandato para la gestión del riesgo cibernético.
Nivel 2 - Políticas de Dominio: Políticas que abordan dominios específicos incluyendo pero no limitado a: uso aceptable, control de acceso, protección de datos, respuesta a incidentes, gestión de riesgos de terceros y continuidad del negocio.
Nivel 3 - Estándares y Directrices: Estándares técnicos y procedimentales que especifican los requisitos de implementación para cada política de dominio.
Nivel 4 - Procedimientos y Guías Operativas: Procedimientos operativos detallados mantenidos por los propietarios de controles.
El inventario completo de políticas, incluyendo propiedad, fechas de revisión y estado de aprobación, se mantiene en [PERSONALIZAR: GRC tool/document management system].
3.4 Roles y Responsabilidades - Tres Líneas de Defensa
Primera Línea de Defensa (Propiedad del Riesgo): Las unidades de negocio y operaciones de TI son responsables de identificar y gestionar los riesgos cibernéticos dentro de sus áreas de responsabilidad, implementar controles, realizar autoevaluaciones e informar sobre la efectividad de los controles. Los roles de primera línea incluyen: [PERSONALIZAR: e.g., Business Unit Managers, IT Operations, Application Owners, Data Owners].
Segunda Línea de Defensa (Supervisión del Riesgo): La función de [PERSONALIZAR: Cyber Risk Management / Enterprise Risk Management / Compliance] proporciona supervisión independiente, establece estándares, realiza evaluaciones de riesgo independientes, cuestiona las actividades de primera línea e informa sobre la postura general de riesgo cibernético de la organización. Los roles de segunda línea incluyen: [PERSONALIZAR: e.g., CISO, Cyber Risk Managers, Compliance Officers].
Tercera Línea de Defensa (Aseguramiento Independiente): Auditoría Interna proporciona aseguramiento independiente sobre la efectividad de las actividades de primera y segunda línea. El estatuto de Auditoría Interna incluye el riesgo cibernético dentro de su alcance y mandato.
Supervisión de la Junta Directiva y Ejecutiva: El [PERSONALIZAR: Board Risk Committee / Audit Committee] proporciona supervisión de gobernanza sobre el marco de riesgo cibernético. El [PERSONALIZAR: Executive Risk Committee] proporciona dirección a nivel ejecutivo y asignación de recursos.
3.5 Procesos de Gestión de Riesgos
Identificación de Riesgos: Los riesgos cibernéticos se identifican mediante el monitoreo de inteligencia de amenazas, evaluaciones de vulnerabilidades, análisis de brechas de controles, revisiones de incidentes, evaluaciones de terceros y evaluaciones de impacto por cambios en el negocio. Todos los riesgos identificados se registran en el Registro de Riesgos Cibernéticos mantenido en [PERSONALIZAR: GRC tool/system].
Evaluación de Riesgos: Los riesgos se evalúan utilizando una metodología [PERSONALIZAR: qualitative/semi-quantitative/quantitative] que evalúa la probabilidad e impacto en las dimensiones de [PERSONALIZAR: confidentiality, integrity, availability, financial, regulatory, and reputational]. Los criterios de evaluación se definen en la Metodología de Evaluación de Riesgos (Anexo B).
Tratamiento de Riesgos: Para cada riesgo evaluado, se selecciona una de cuatro opciones de tratamiento: Mitigar (implementar controles para reducir el riesgo), Transferir (compartir el riesgo mediante seguros o acuerdos contractuales), Aceptar (aceptar formalmente dentro del apetito de riesgo) o Evitar (discontinuar la actividad que crea el riesgo). Las decisiones de tratamiento deben ser autorizadas según la Matriz de Autoridad de Aceptación de Riesgos (Anexo C).
Monitoreo de Riesgos: Los riesgos se monitorean mediante Indicadores Clave de Riesgo (KRI), pruebas de controles, análisis de incidentes y reevaluaciones periódicas. La cadencia de monitoreo se define por nivel de riesgo: Los riesgos Críticos se monitorean [PERSONALIZAR: continuously/monthly], los riesgos Altos [PERSONALIZAR: monthly/quarterly] y los riesgos Medios/Bajos [PERSONALIZAR: quarterly/semi-annually].
Informes de Riesgos: El [PERSONALIZAR: CISO/CRO] proporciona informes de riesgos al [PERSONALIZAR: Executive Risk Committee] al menos [PERSONALIZAR: monthly/quarterly] y al [PERSONALIZAR: Board Risk Committee] al menos [PERSONALIZAR: quarterly]. Los informes incluyen la postura de riesgo actual, tendencias, violaciones de umbrales y progreso del tratamiento.
3.6 Taxonomía de Riesgos
[ORGANIZACION] utiliza la siguiente taxonomía estandarizada de riesgos cibernéticos para asegurar una categorización y comunicación consistente de los riesgos:
Categoría 1 - Amenazas Externas: Malware, phishing, ransomware, DDoS, amenazas persistentes avanzadas, compromiso de la cadena de suministro, exploits de día cero.
Categoría 2 - Amenazas Internas: Personal interno malintencionado, personal interno negligente, credenciales comprometidas, abuso de privilegios.
Categoría 3 - Riesgos Tecnológicos: Configuraciones incorrectas, vulnerabilidades sin parchear, sistemas heredados, arquitectura inadecuada, riesgos específicos de la nube.
Categoría 4 - Riesgos de Terceros: Brechas de proveedores, fallas de proveedores de servicios, integridad de la cadena de suministro, riesgo de concentración.
Categoría 5 - Riesgos de Cumplimiento: Incumplimiento regulatorio, incumplimiento contractual, violaciones de políticas.
Categoría 6 - Riesgos de Datos: Brechas de datos, pérdida de datos, compromiso de integridad de datos, violaciones de privacidad.
Categoría 7 - Riesgos Operativos: Interrupciones de servicio, fallas en la recuperación ante desastres, restricciones de capacidad, fallas en la gestión de cambios.
[PERSONALIZAR: Add or modify categories to align with the organization's enterprise risk taxonomy]
3.7 Amenazas y Tecnologías Emergentes
El marco incorpora un proceso para monitorear y evaluar las implicaciones de riesgo de amenazas y tecnologías emergentes incluyendo pero no limitado a:
Inteligencia artificial y aprendizaje automático (IA adversaria, deepfakes, ataques asistidos por IA)
Implicaciones de la computación cuántica para los controles criptográficos
Riesgos de convergencia de IoT y tecnología operativa
Arquitecturas nativas de la nube y riesgos de computación sin servidor
El equipo de [PERSONALIZAR: Cyber Threat Intelligence / Security Architecture] mantiene una Lista de Vigilancia de Riesgos Emergentes, revisada [PERSONALIZAR: quarterly] por el [PERSONALIZAR: CISO / Security Leadership Team], con hallazgos incorporados al registro de riesgos y actualizaciones del marco según corresponda.
3.8 Gobernanza y Revisión del Marco
Este marco deberá ser revisado de manera integral al menos [PERSONALIZAR: annually] por [PERSONALIZAR: CISO/Cyber Risk Team] con aprobación de [PERSONALIZAR: Executive Risk Committee].
Las actualizaciones intermedias pueden ser activadas por cambios regulatorios significativos, incidentes materiales, reestructuración organizacional o cambios significativos en el panorama de amenazas.
Todos los componentes del marco (políticas, estándares, procedimientos) siguen el calendario de revisión definido en el Estándar de Gobernanza de Políticas.
La efectividad del marco se mide a través de los siguientes indicadores: [PERSONALIZAR: e.g., maturity assessment scores, audit findings, incident metrics, risk assessment completion rates].
4. Cumplimiento
El cumplimiento de este marco es obligatorio para todo el personal y funciones dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, revisión de la gerencia y supervisión de la segúnda linea de defensa.
Las excepciones a este marco deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Comite Ejecutivo de Riesgos], y revisarse al menos anualmente.
5. Revisión y Actualización
Este marco será revisado al menos anualmente por [PERSONALIZAR: CISO/Propietario del Documento] y actualizado según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios, estructura organizaciónal o apetito de riesgo.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación del Documento
Aprobado Por
Cargo
Fecha
Control de Documentos