Dos hallazgos, un presupuesto: priorizar en la matriz 5x5 de una cooperativa
La Cooperativa La Esperanza, en Moca, completó su análisis de riesgos con una matriz 5x5. Dos hallazgos compiten por el mismo dinero. El primero: el servidor del core financiero corre Windows Server 2012 R2, sin soporte del fabricante desde octubre de 2023, y custodia datos de 18,000 socios; se valoró 5x4 = 20 porque una explotación «sería catastrófica». Sin embargo, el servidor solo es accesible desde la red interna y el proveedor mantiene un contrato de soporte extendido. El segundo: un acceso VPN de administración expuesto a Internet, con una contraseña compartida por cuatro técnicos y sin segundo factor, valorado 4x3 = 12. El presupuesto aprobado es de US$ 8,000; migrar el core cuesta US$ 35,000 y el MFA del VPN menos de US$ 2,000. El gerente general quiere empezar por «lo de puntaje 20».
1. ¿Por cuál hallazgo empezaría y por qué? Justifique la decisión más allá del puntaje de la matriz.
Read the worked answer
Empezaría por el VPN con MFA, y no porque su puntaje sea menor, sino porque la matriz está midiendo mal la probabilidad en el primer caso.
Razonamiento
- Exposición real: el VPN está publicado en Internet. Los escaneos y el relleno de credenciales son automatizados y constantes, así que la probabilidad no es una estimación: es una condición permanente. El core solo es alcanzable desde la red interna; su explotación exige que un atacante ya esté dentro.
- Calidad del control existente: el servidor sin soporte tiene un control compensatorio verificable (contrato de soporte extendido del proveedor) y está aislado; el VPN tiene contraseña compartida por cuatro personas, lo que anula la atribución, y ningún segundo factor.
- Costo-beneficio: con US$ 2,000 se elimina la vía de entrada más probable; el resto del presupuesto alcanza para respaldo aislado y monitoreo del servidor. Los US$ 35,000 de migración no están disponibles hoy: recomendarlos como primera acción es no decidir.
- Revisión de supuestos: el 5x4 asume impacto catastrófico sin considerar que la probabilidad está acotada por el aislamiento. Un puntaje no ordena la acción por sí solo: hay que auditar cómo se asignó.
Qué hago con el hallazgo 20 No se ignora. Se refuerza con respaldo inmutable y pruebas de restauración, se documenta la aceptación del riesgo residual con fecha de revisión y se incluye la migración como partida del próximo presupuesto. Priorizar no es descartar.
2. ¿Cómo documentaría la aceptación del riesgo residual del servidor del core financiero?
Read the worked answer
La aceptación debe ser un acto formal, trazable y con dueño humano, no una nota de TI.
Contenido mínimo del acta
- Activo y contexto: servidor del core financiero, datos de 18,000 socios, función crítica, fecha de fin de soporte (octubre de 2023).
- Vulnerabilidad y escenario: qué podría ocurrir y por qué no se remedia ahora.
- Controles compensatorios con evidencia: aislamiento de red, contrato de soporte extendido vigente (adjuntar), respaldo aislado con prueba de restauración documentada, monitoreo y alertas.
- Puntaje antes y después: 20 original; riesgo residual estimado tras compensar, con el razonamiento explícito.
- Dueño del riesgo: gerente general, con firma; TI ejecuta, no acepta.
- Justificación de negocio: costo de migración US$ 35,000 frente al presupuesto disponible.
- Plazo: fecha de expiración de la aceptación (por ejemplo, seis meses) y fecha de revisión obligatoria.
- Plan de salida: hitos de migración y solicitud presupuestaria para el siguiente ciclo.
- Indicadores: intentos de acceso al segmento, resultados de restauración, avisos del proveedor.
Por qué así Una aceptación sin fecha se convierte en permanente; una sin dueño se diluye; una sin controles compensatorios es una negligencia documentada. El documento debe permitir que un auditor externo reconstruya la decisión meses después y verifique si los controles siguen vigentes. Si algún compensatorio deja de existir, la aceptación caduca de inmediato y el riesgo vuelve a la matriz.
3. El gerente pide recortar el alcance del análisis de riesgos para terminarlo antes y presentarlo a la asamblea. ¿Qué implicaciones tiene y cómo lo manejaría?
Read the worked answer
Recortar el alcance no es automáticamente malo: el análisis de riesgos es un proceso acotado por definición y un alcance demasiado amplio es la causa más común de que nunca termine. El problema es qué se recorta y cómo se comunica.
Recortes aceptables
- Limitar el inventario a los procesos críticos y sus activos de información, dejando el resto para una segunda iteración documentada.
- Usar valoración cualitativa en lugar de cuantitativa donde no haya datos históricos, declarándolo como supuesto.
- Reutilizar el análisis de la última auditoría para los activos que no cambiaron.
Recortes que invalidan el resultado
- Excluir los activos expuestos a Internet para ahorrar tiempo: es justo donde está el riesgo más probable.
- Eliminar la revisión de supuestos de la matriz, que es lo que detectó el caso del VPN.
- Presentar el resultado como «análisis completo» cuando es parcial.
Cómo lo manejaría Acepto una versión acotada y fechada, con una sección explícita de alcance, exclusiones y supuestos, y un anexo con lo que quedó fuera y cuándo se cubrirá. Presento a la asamblea el riesgo residual y las decisiones pendientes, no solo los hallazgos. Un informe honesto y parcial es más útil que uno completo y ficticio, y protege la credibilidad del área cuando el próximo incidente llegue por un activo excluido.