Documento de política
¿Quién es responsable del riesgo cibernético en entornos de alta exigencia?
Documento de política · Separar asesoramiento, responsabilidad operativa y aceptación del riesgo residual.
La decisión de política
Un CISO puede explicar la exposición sin tener autoridad para aceptar consecuencias sobre toda la misión. NIST CSF 2.0 aborda la gobernanza; el RMF estructura la gestión del riesgo de seguridad y privacidad durante el ciclo de vida. [1][2] Sigue siendo necesario definir la autoridad dentro de cada organización.
Una distribución propuesta
Proponemos que el responsable de misión defina las consecuencias; el de sistema implemente el tratamiento; el CISO cuestione supuestos y evalúe pruebas; y la autoridad expresamente designada acepte el riesgo residual. Una persona puede reunir roles, pero el registro debe precisar con qué autoridad decide. Es nuestro modelo, no una regla jurídica universal.
Excepciones con vencimiento
Ante un acceso urgente, comparar denegación, acceso temporal restringido y acceso completo con controles compensatorios. Registrar opción, motivo, alcance, vencimiento, supervisión y criterio de escalado. La falta de presupuesto no justifica una aceptación indefinida. El acceso temporal también tiene costes operativos: documentar quién los asume.
Medir la gobernanza
Revisar excepciones caducadas, tratamientos atrasados y decisiones reabiertas tras incidentes. Auditoría debe poder cuestionar las pruebas sin asumir la decisión operativa evaluada. La prueba es la trazabilidad: ¿puede un sucesor saber qué se aceptó, quién lo hizo, con qué pruebas y hasta cuándo?
Un registro que sobreviva al cambio de dirección
Registrar misión, escenario plausible, opciones, consecuencias, limitaciones de las pruebas y autoridad decisora. Añadir responsable del tratamiento y condiciones de revisión. No limitarse a un color o puntuación. Un sucesor debe poder reconstruir por qué se prefirió continuar a restringir o suspender, aunque quienes decidieron ya no estén.
Una excepción ilustrativa
Imaginemos un contratista que necesita acceso temporal para asistir a un buque antes de partir. Denegarlo puede retrasar la operación; abrirlo sin límites puede generar dependencia inaceptable de una identidad externa. Una sesión supervisada, permisos limitados y caducidad podrían ser una opción, si es viable. Justificar cómo reduce el escenario y cómo se comprobará el cierre. Es hipotético, no una operación real.
Separar aprobación y evaluación
Quien implementa un control aporta pruebas, pero las decisiones de consecuencias graves se benefician de una revisión que detecte supuestos omitidos. No debe convertirse en una cadena interminable. Definir qué decisiones necesitan revisión independiente, qué información requieren y cómo se revisará una urgencia. La gobernanza debe aclarar el intercambio a tiempo para la misión y dejar constancia de la incertidumbre aceptada.
Referencias
- NIST · The Cybersecurity Framework (CSF) 2.0 · 26 February 2024
- NIST · SP 800-37 Rev. 2 · December 2018
Cyber Policy Review · Análisis editorial. Paráfrasis originales, sin citas textuales. Las referencias no implican certificación ni respaldo institucional.
Publicaciones