“Gracias a la alianza con Delta Protect, Atrato ha logrado avances significativos hacia la certificación ISO 27001, fortaleciendo notablemente su seguridad y cumplimiento. El soporte continuo y las asesorías expertas de Delta, combinadas con la innovadora plataforma Apolo, han sido fundamentales para acelerar y optimizar nuestro roadmap, permitiéndonos enfrentar y superar eficazmente cualquier desafío en seguridad de la información.”
“Tras 3 meses de colaboración efectiva con Delta Protect, estamos impresionados con los resultados y la cobertura del programa de Pentesting de CISO As a Service. Hemos detectado y abordado vulnerabilidades clave, mejorando significativamente nuestra seguridad de la información. Los entrenamientos de Ciberseguridad y ejercicios de Phishing han sido cruciales para aumentar la conciencia de nuestros colaboradores. Agradecemos el seguimiento y apoyo continuo de Delta Protect y esperamos alcanzar más objetivos juntos.”
“Nuestra colaboración con Delta Protect marcó un hito en nuestra seguridad digital. Su enfoque meticuloso y detallado en el Pentest reveló vulnerabilidades ocultas que habían pasado inadvertidas, demostrando una eficacia y rapidez impresionante en su resolución. Además, su servicio de CISOaaS transformó nuestra estrategia de ciberseguridad, donde su equipo experto nos guió en el desarrollo de políticas robustas y procesos efectivos.”
“Me complace enormemente relatar la experiencia positiva y enriquecedora que hemos tenido con Delta Protect y su sobresaliente servicio de Chief Information Security Officer as a Service (CISOaaS). Representando al departamento de TI de Sperientia, quiero expresar mi profunda gratitud y aprecio por el alto nivel de calidad y profesionalismo evidenciado en nuestra colaboración con el equipo de Delta Protect. Desde el inicio de nuestra asociación con Delta Protect, hemos observado un compromiso y una excelencia excepcionales, superando ampliamente nuestras expectativas.”
“Mi experiencia con el equipo de especialistas de Delta Protect ha sido tremendamente positiva. En todo momento, han mostrado un alto grado de profesionalismo, experiencia y conocimiento, manejándose con una ética impecable. Su atención al detalle y su disposición para resolver problemas y brindar apoyo han sido imprescindibles. Como CISO, valoro enormemente contar con aliados tan confiables y competentes, que contribuyen significativamente a fortalecer la postura de ciberseguridad de mi compañía.”
Nuestra reciente experiencia con Delta Protect en el pentesting fue excepcional. Nos brindaron asistencia crucial para identificar y fortalecer aspectos de seguridad en variados sistemas e interfaces, abarcando front-end, back-end y aplicaciones móviles. Su enfoque ágil y sumamente profesional fue notable. Sin duda, confiaríamos nuevamente en Delta Protect para asegurar la integridad de nuestros sistemas.
Estoy absolutamente impresionado con la experiencia brindada por Delta Protect. Son, sin duda, el proveedor más responsable y cumplidor que hemos tenido el placer de colaborar.
Mi trayectoria con DeltaProtect se remonta a mi empleo anterior, donde ya tenía contacto con ellos desde el equipo de Ciberseguridad. Solicitamos pruebas de penetración (PT) para aplicaciones web y móviles. Mi experiencia con varios proveedores, grandes y pequeños, me ha demostrado que DeltaProtect se destaca significativamente. Sus informes y hallazgos son superiores, identificando vulnerabilidades que otros proveedores no detectaron. Lo que más valoro es la profundidad de sus pruebas y el enfoque en vulnerabilidades que requieren un análisis más detallado, más allá de los resultados automáticos.
"Delta Protect fue una solución óptima para nosotros. Buscábamos un proveedor bien actualizado técnicamente, que entendiera nuestro modelo de negocio y que nos diera la certeza de poder transmitir solidez a nuestros clientes. El trato del equipo Delta y sus procesos han superado nuestras expectativas, sin duda seguiremos trabajando juntos.”
"¡La experiencia general de trabajar con Delta Protect ha sido simplemente excelente! El equipo responde con velocidad, aclaran todas las preguntas a medida que surgen y el apoyo brindado durante todo el proceso es excelente. Lo Recomendaría sin dudarlo.”
"El servicio de Delta Protect es altamente profesional. Quedamos muy satisfechos con el resultado. Ofrecieron acompañamiento en todo momento para encontrar y solucionar las vulnerabilidades que encontraron en nuestro sistema.”
Matriz de riesgos: qué es y 5 pasos para elaborarla
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Matriz de riesgos: qué es y 5 pasos para elaborarla
Conclusiones
Egresada de Ingeniería en Sistemas Computacionales por la universidad de Guanajuato, especializada en Cloud Security, arquitectura cloud y multicloud (AWS, Azure y GCP), apasionada del Hacking Ético y nuevas tecnologías.
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Si te preguntas qué es y cómo hacer una matriz de riesgos, en este artículo descubrirás todo lo que debes saber sobre esta herramienta para la identificación de los tipos de riesgos que inciden en los negocios. Empieza a disminuir las situaciones de riesgo en tu negocio con esta herramienta de gestión empresarial.
¿Qué es una matriz de riesgos?
Una matriz de riesgos es una herramienta que permite la identificación, evaluación y priorización de los riesgos inherentes de las operaciones de una empresa. Una vez que están los riesgos identificados, facilitamos el desarrollo de un plan de acción para la mitigación de estos con anticipación.
La matriz de riesgos es un instrumento fundamental de la Norma ISO 45001. Este agiliza el cumplimiento del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST), que las empresas responsables aplican para el cuidado integral de su talento humano.
¿Para qué sirve una matriz de riesgos?
Esta herramienta, más allá de solo prevenir riesgos en nuestro proyecto, nos ayuda a:
- Presentar con claridad datos complejos de forma sencilla, para una compresión fácil de los procesos empresariales.
- Ajustarnos a las distintas situaciones de riesgos que nos faciliten la adaptación de la matriz en función de la situación que atenderemos.
- Hacer un análisis de riesgos según su gravedad, para aplicar las medidas adecuadas antes y durante la situación de riesgo que se nos presente.
- Asignar tareas en el equipo de colaboradores para la disminución del impacto de los riesgos, según su probabilidad de ocurrencia.
- Garantizar altos estándares de trabajo que respeten el SG-SST y optimicen la estrategia de gestión de riesgos.
¿Cuáles son los componentes de una matriz de riesgos?
Antes de elaborar una matriz de evaluación de riesgos, es necesario conocer los elementos que la componen:
- Actividades de la empresa: todas las actividades que llevan a cabo los empleados en una empresa, tanto las habituales como las esporádicas.
- Probabilidades de riesgo: determina cuán factible es que un riesgo se materialice.
- Posibles riesgos: todos los riesgos posibles, desde los riesgos insignificantes hasta los riesgos catastróficos.
- Magnitud del daño: representa el nivel de impacto esperado en caso de que los riesgos se hagan efectivos.
5 pasos para elaborar una matriz de riesgos
Para la elaboración de nuestra matriz de riesgos podemos usar un programa como Excel o Google Sheets que nos faciliten la posibilidad de organizar la información por ejes o hacerlo de forma manual.
En el eje vertical, o eje Y, pondremos la probabilidad de ocurrencia de los eventos, mientras que en el eje horizontal, o eje X, pondremos el riesgo del evento correspondiente. Entonces la cuadrícula quedaría de la siguiente forma:
1. Identificamos los riesgos
Para el caso de una empresa tecnológica, evaluaremos riesgos cibernéticos que podrían afectarla. Trabajaremos con los siguientes ejemplos de riesgos:
- Ciberataque a los servidores.
- Robo de información confidencial de los clientes.
- Falla de electricidad durante 2 horas.
- Filtración de datos de nuestras compras en papelería.
- Queja de un solo cliente en nuestras redes sociales.
La identificación de los riesgos nos facilita una mejor clasificación. Puedes guiarte con los tipos de riesgos:
- Riesgos inherentes: son todos aquellos riesgos que podemos sufrir por la naturaleza de nuestras operaciones empresariales.
- Riesgos externos: son todos aquellos riesgos que podemos sufrir por acciones de terceros o eventos externos. No podemos ejercer ningún tipo de control sobre ellos.
- Riesgo residual: son todos aquellos riesgos que podemos sufrir luego de aplicar las medidas de control pertinentes para su mitigación.
- Riesgos potenciales: son todos aquellos riesgos que podemos sufrir porque operamos en un contexto global donde miles de eventos afectan la economía, los negocios y la política.
2. Identificamos los niveles de riesgos
Según el impacto de los riesgos que puedan afectar nuestro proyecto empresarial, ponderamos los niveles de riesgo en la primera fila de la siguiente forma:
- Insignificante (1): riesgo que no es nada significativo para nuestra empresa.
- Menor (2): riesgo que afecta las operaciones de nuestra empresa, pero no las interrumpe.
- Moderado (3): riesgo que afecta e interrumpe parte de las operaciones de nuestra empresa.
- Importante (4): riesgo que afecta una proporción considerable de las operaciones de nuestra empresa.
- Catastrófico (5): riesgo que afecta y compromete todas las operaciones de nuestra empresa.
Quedando en nuestro ejemplo de la siguiente forma:
- Ciberataque a los servidores: Nivel de riesgo (5), catastrófico.
- Robo de información confidencial de los clientes: Nivel de riesgo (4), importante.
- Falla de electricidad durante 2 horas: Nivel de riesgo (3), moderado.
- Filtración de datos de nuestras compras en papelería: Nivel de riesgo (2), menor.
- Queja de un solo cliente en nuestras redes sociales: Nivel de riesgo (1), insignificante.
3. Identificamos las probabilidades de ocurrencia
En esta sección asignamos las distintas probabilidades de ocurrencia en la primera columna:
- Muy probable (5): son todos aquellos sucesos que podemos estar casi seguros de que ocurrirán en algún momento.
- Probable (4): aquellos sucesos que no son seguros que ocurran, pero que tienen una probabilidad bastante alta de ocurrir.
- Posible (3): son los eventos que podrían ocurrir por la acción o inacción de una tarea específica de nuestra empresa.
- Improbable (2): aquellos eventos que ocurren con poca frecuencia. Sin embargo, es de vital importancia su consideración para el manejo anticipado del riesgo.
- Muy improbable (1): son hechos que debemos tener anticipados, incluso aunque sus probabilidades de ocurrencia sean extremadamente bajas.
Quedando en nuestro ejemplo de la siguiente forma:
- Ciberataque a los servidores: Probabilidad (1).
- Robo de información confidencial de los clientes: Probabilidad (2).
- Falla de electricidad durante 2 horas: Probabilidad (3).
- Filtración de datos de nuestras compras en papelería: Probabilidad (4).
- Queja de un solo cliente en nuestras redes sociales: Probabilidad (5).
4. Calculamos el impacto del riesgo
Para el cálculo del impacto del riesgo en nuestro ejercicio práctico, primero debemos comprender la clasificación del impacto del riesgo en los procesos de la empresa. Para hacerlo debemos multiplicar la probabilidad de ocurrencia por el nivel de riesgo y este nos dará como resultado el nivel de impacto del riesgo.
- Riesgo bajo (1 a 6): es todo aquel impacto del riesgo que afecta levemente las operaciones de nuestra empresa. Lo identificamos con el color verde.
- Riesgo medio (7 a 12): es todo aquel impacto del riesgo que afecta moderadamente las operaciones de nuestra empresa. Lo identificamos con el color amarillo.
- Riesgo alto (13 a 25): es todo aquel impacto del riesgo que afecta profundamente las operaciones de nuestra empresa. Lo identificamos con el color rojo.
Continuando con el mismo ejercicio, nos queda estos valores del impacto del riesgo:
- Ciberataque a los servidores: 5 x 1＝5, riesgo bajo.
- Robo de información confidencial de los clientes: 4 x 2＝8, riesgo medio.
- Falla de electricidad durante 2 horas: 3 x 3＝9, riesgo medio.
- Filtración de datos de nuestras compras en papelería: 2 x 4＝8, riesgo medio.
- Queja de un solo cliente en nuestras redes sociales: 1 x 5＝5, riesgo bajo.
5. Crear ejemplos y casos prácticos de diferentes sectores o industrias
Una vez completado nuestro ejemplo de matriz de riesgos, lo podemos aplicar a otras industrias en las que deseemos invertir o lanzar un nuevo proyecto empresarial. Con ello no solo practicamos nuestra planificación en la gestión de riesgo, sino que también ampliamos nuestros conocimientos teóricos y prácticos para una mejor toma de decisiones.
No olvides que la matriz de riesgos es un primer paso que nos facilita un plan de acción para la resolución de riesgos en nuestra empresa. Con nuestro servicio Apolo, podemos ayudarte a identificar los riesgos de ciberseguridad en tu empresa, agenda una demo de Apolo con nuestros expertos.
Egresada de Ingeniería en Sistemas Computacionales por la universidad de Guanajuato, especializada en Cloud Security, arquitectura cloud y multicloud (AWS, Azure y GCP), apasionada del Hacking Ético y nuevas tecnologías.
