Artículo
Por dónde empezar un programa de gobierno de ciberseguridad
Antes de elegir controles o herramientas, hay tres preguntas que ordenan todo el trabajo. Un enfoque práctico basado en el ciclo CGF.
Muchos programas de ciberseguridad empiezan por el lugar equivocado: una herramienta que hay que implementar o una norma que hay que cumplir. El resultado suele ser el mismo: mucha actividad, poca claridad sobre si la organización está realmente más protegida.
En i-Prot proponemos invertir el orden. Antes de hablar de controles, conviene responder tres preguntas que ordenan todo el trabajo posterior. Son la base de la etapa Evaluar del ciclo CGF.
1. ¿Qué necesitamos proteger?
Todo programa de gobierno empieza por conocer los activos: información, procesos, servicios y sistemas que sostienen el negocio. Sin ese inventario, cualquier inversión en seguridad es una apuesta a ciegas. No se trata de listar todo, sino de identificar lo que, si fallara, tendría un impacto real.
2. ¿Qué riesgos debemos reducir?
Con los activos claros, el paso siguiente es entender a qué amenazas están expuestos y con qué probabilidad e impacto. Esto permite priorizar: no todos los riesgos merecen la misma atención y los recursos siempre son limitados. La gestión de riesgos convierte la intuición en decisiones defendibles.
El gobierno no empieza preguntando qué norma cumplir, sino qué necesita proteger la organización y qué riesgos reducir.
3. ¿Qué capacidades debemos gobernar?
Recién entonces tiene sentido hablar de controles, procesos y tecnología. Las capacidades se diseñan para tratar los riesgos priorizados, no al revés. Así, cada control tiene una razón de ser trazable hasta un riesgo y un activo concretos.
Del diagnóstico a la operación
Responder estas tres preguntas produce un mapa: activos, riesgos y capacidades conectados entre sí. Ese mapa permite priorizar el roadmap, justificar la inversión ante dirección y medir el avance en el tiempo.
Un programa que empieza así no depende de una herramienta ni de una certificación puntual: se sostiene como una capacidad de negocio, que es exactamente el objetivo del gobierno de ciberseguridad.