El apetito de riesgo cibernético expresa cuánto riesgo está dispuesta a asumir una organización para alcanzar sus objetivos. La definición parece sencilla, pero muchas empresas se quedan en declaraciones generales como mantener un nivel de riesgo bajo o proteger los activos críticos. Estas frases pueden ser razonables desde el punto de vista institucional, aunque no ayudan necesariamente a decidir si se aprueba una excepción, se retrasa una migración o se financia una medida de seguridad.
El valor del apetito aparece cuando se convierte en un marco operativo. Es decir, cuando permite responder preguntas concretas: ¿qué interrupción puede soportar el negocio?, ¿qué sistemas no pueden permanecer sin controles reforzados?, ¿cuándo debe escalarse una desviación a la dirección?, ¿qué riesgos no son aceptables aunque resulten convenientes desde el punto de vista comercial?
Qué significa realmente el apetito de riesgo
El apetito de riesgo es la cantidad y naturaleza de riesgo que una organización acepta asumir en la ejecución de su estrategia. No debe confundirse con una autorización para aceptar cualquier exposición ni con una cifra que permanezca fija para todos los procesos.
En ciberseguridad, el apetito debería reflejar el contexto de la empresa: sus servicios esenciales, obligaciones contractuales, dependencia tecnológica, tipo de información tratada, tolerancia a la interrupción y capacidad de recuperación. Una compañía que presta servicios críticos puede tener un apetito muy reducido para la indisponibilidad de determinadas plataformas, mientras que acepta más riesgo en sistemas internos de menor impacto.
También conviene diferenciar varios conceptos relacionados:
- La capacidad de riesgo es el nivel máximo que la organización podría soportar antes de comprometer su viabilidad, sus obligaciones o sus objetivos esenciales.
- El apetito de riesgo es el nivel que decide asumir de forma consciente para operar y crecer.
- La tolerancia define el margen aceptable de desviación respecto a ese apetito.
- El riesgo residual es el que permanece después de aplicar controles y medidas de tratamiento.
Esta distinción evita un error frecuente: declarar un apetito bajo y, al mismo tiempo, mantener tolerancias operativas que permiten acumular incumplimientos durante meses.
Empezar por los objetivos del negocio
El apetito no debería redactarse únicamente desde el departamento de seguridad. Debe partir de las prioridades empresariales y traducirse después al lenguaje del riesgo cibernético. Para ello, es útil identificar qué resultados deben protegerse:
- Continuidad de servicios esenciales.
- Confidencialidad de información sensible o estratégica.
- Integridad de operaciones, registros y transacciones.
- Cumplimiento de compromisos contractuales y regulatorios.
- Confianza de clientes, empleados, socios e inversores.
- Capacidad de desarrollar nuevos productos sin introducir exposiciones desproporcionadas.
A partir de estos objetivos, la organización puede definir posiciones diferenciadas. Por ejemplo, puede aceptar cierto riesgo en la experimentación con herramientas digitales no críticas, pero establecer una posición de riesgo muy baja para el acceso a información financiera, las identidades privilegiadas o los sistemas que sostienen la prestación de un servicio esencial.
La clave es no tratar todos los riesgos como equivalentes. Un inventario de miles de vulnerabilidades no indica por sí mismo qué está dentro o fuera del apetito. La relevancia depende del activo, el proceso, la exposición, la probabilidad razonable y el impacto para el negocio.
Convertir principios en límites verificables
Un límite útil debe poder observarse y relacionarse con una decisión. No basta con decir que se quiere minimizar el uso de cuentas privilegiadas. Es más práctico establecer que determinados accesos requieren autenticación reforzada, revisión periódica y una justificación documentada, o que las cuentas sin propietario identificado no pueden permanecer activas.
Los límites pueden expresarse en varias dimensiones:
- Tiempo: plazo máximo para corregir una exposición crítica en un activo esencial.
- Cobertura: porcentaje mínimo de activos críticos con copias de seguridad probadas, autenticación multifactor o monitorización adecuada.
- Exposición: condiciones bajo las que un servicio puede estar accesible desde internet.
- Acceso: perfiles autorizados, segregación de funciones y duración de los permisos elevados.
- Recuperación: objetivos de recuperación compatibles con la continuidad del proceso.
- Terceros: requisitos mínimos para proveedores que acceden a información o sistemas relevantes.
- Datos: restricciones sobre tratamiento, transferencia, conservación y uso de información sensible.
Estos límites no deben convertirse en objetivos cosméticos. Un indicador de cobertura del 100 % puede ocultar que los activos no están correctamente inventariados o que el control se ha aplicado, pero no se ha validado. Por eso, cada límite debería tener una definición precisa, una fuente de datos, un responsable y un método de revisión.
Un límite de riesgo solo es operativo si alguien sabe qué debe hacer cuando se supera.
Diseñar indicadores que anticipen decisiones
Los indicadores clave de riesgo, conocidos habitualmente como KRIs, ayudan a comprobar si la organización se mantiene dentro de su apetito. No sustituyen al análisis, pero permiten detectar tendencias y activar conversaciones antes de que se produzca un incidente.
Un cuadro de mando puede incluir, por ejemplo, la antigüedad de exposiciones relevantes en sistemas críticos, la proporción de identidades privilegiadas revisadas, el porcentaje de copias de seguridad restauradas mediante pruebas, la dependencia de proveedores sin evaluación actualizada o el número de excepciones abiertas fuera de plazo.
Para que sean útiles, los indicadores deberían incluir al menos tres zonas de interpretación:
- Nivel objetivo: situación compatible con el apetito definido.
- Umbral de alerta: desviación que requiere análisis y un plan de corrección.
- Umbral de escalado: situación que debe comunicarse a un órgano de decisión o activar una respuesta formal.
No todos los indicadores deben ser métricas de cumplimiento. También pueden medir acumulación de riesgo, como el crecimiento de excepciones, la concentración de servicios en un único proveedor o el aumento de activos sin propietario claro.
La dirección no necesita recibir cada detalle técnico, pero sí debe conocer qué ha cambiado, qué impacto puede tener, quién es responsable y qué decisión se solicita.
Asignar responsabilidades y derechos de decisión
El apetito pierde eficacia cuando pertenece exclusivamente al área de ciberseguridad. La función de seguridad puede proponer criterios, medir la exposición y recomendar tratamientos, pero la aceptación de un riesgo empresarial debe corresponder a la autoridad adecuada.
Una estructura clara puede distinguir varias responsabilidades:
- La dirección aprueba el apetito general y establece las prioridades.
- Los propietarios de negocio definen la importancia de los procesos y aceptan o rechazan riesgos dentro de su autoridad.
- Tecnología y seguridad diseñan y operan controles, además de informar sobre la exposición.
- Riesgos, cumplimiento o auditoría independiente revisan la consistencia del marco.
- Compras y gestión de terceros incorporan requisitos al ciclo contractual.
También conviene definir quién puede aceptar una excepción y durante cuánto tiempo. No debería ser posible aprobar indefinidamente una desviación relevante con un correo informal. Una excepción madura incluye motivo, alcance, riesgo asociado, controles compensatorios, fecha de caducidad y responsable de cerrarla.
Aplicar el apetito a decisiones reales
El marco se prueba en las decisiones cotidianas. Supongamos que una unidad de negocio quiere implantar una aplicación que mejora la productividad, pero el proveedor no ofrece todavía todas las evidencias de seguridad requeridas. Una respuesta útil no consiste en aceptar o rechazar automáticamente la herramienta. Primero habría que determinar qué información tratará, qué accesos necesita, qué procesos afectará y qué controles pueden reducir la exposición.
Si el riesgo supera el umbral establecido, pueden plantearse alternativas: limitar el uso a información no sensible, exigir una revisión adicional, incluir garantías contractuales, establecer una fecha de reevaluación o posponer la implantación hasta completar determinadas medidas. Así, el apetito no bloquea la innovación, pero impide que la urgencia comercial elimine los criterios de control.
El mismo enfoque puede aplicarse a una vulnerabilidad pendiente, una migración tecnológica, una conexión de un tercero o una solicitud de acceso excepcional. La pregunta central no es si el riesgo es cero, sino si la exposición está dentro de los límites aprobados y si la organización comprende las consecuencias de aceptarla.
Revisar el apetito cuando cambia el contexto
El apetito no debería revisarse únicamente una vez al año. Debe reevaluarse cuando cambian la estrategia, los servicios críticos, la dependencia tecnológica, el perfil de amenazas, las obligaciones aplicables o la capacidad de recuperación.
Un incidente relevante también puede revelar que el apetito estaba mal definido. Tal vez la empresa toleraba una interrupción de cuatro horas sobre el papel, pero descubrió que sus dependencias reales hacen inviable ese objetivo. O quizá existía una política estricta sobre proveedores, aunque nadie tenía capacidad para comprobarla de forma consistente.
La revisión debe analizar tanto los límites como la capacidad de cumplirlos. Establecer requisitos imposibles de operar fomenta excepciones permanentes y debilita la credibilidad del marco.
Acciones para ponerlo en marcha
Una organización que quiera pasar de la declaración a la práctica puede comenzar con un alcance limitado y representativo:
- Seleccionar los procesos, servicios y activos con mayor impacto para el negocio.
- Identificar los riesgos cibernéticos que pueden afectar a sus objetivos.
- Definir para cada ámbito qué exposición se acepta, cuál requiere tratamiento y cuál no es aceptable.
- Convertir esas posiciones en límites, indicadores, responsables y umbrales de escalado.
- Probar el marco con decisiones reales, incluidas excepciones y riesgos de terceros.
- Presentar a la dirección información orientada a decisiones, no solo volúmenes técnicos.
- Revisar los resultados y ajustar los límites cuando no sean claros, medibles o viables.
Un apetito de riesgo cibernético bien diseñado no promete eliminar la incertidumbre. Su función es hacerla visible, establecer quién puede aceptarla y evitar que las decisiones importantes dependan únicamente de la urgencia, la intuición o la presión comercial. Cuando se conecta con límites y responsabilidades, se convierte en una herramienta de gobierno que ayuda a proteger el negocio sin separar la seguridad de la realidad operativa.
