Estrategia de Control de Riesgos de Transferencia

¿Dónde está el riesgo?

Cada vez que te pones al volante de un automóvil, estás aceptando un cierto grado de riesgo que lo acompaña:

• La posibilidad de que pueda agarrar un clavo y tenga que reemplazar un neumático
• La posibilidad de que la batería se agote, dejándolo varado en el estacionamiento de una tienda de comestibles
• Incluso un riesgo en el que a poca gente le gusta pensar, que es tener un accidente automovilístico

Para protegernos de algunos de estos riesgos, compramos un seguro de automóvil, probablemente a regañadientes, pero lo hacemos. Asegurar un automóvil es pagarle a un tercero para que asuma parte del riesgo que podría ocurrir cada vez que salga a conducir. Y, no es barato, ¿por qué lo hacemos? Lo hacemos porque nos permite transferir el riesgo de deber miles en reparaciones de nuestras billeteras a las arcas de la compañía de seguros.

La seguridad de la información es otra área que enfrenta muchos riesgos. Como tal, el personal de seguridad puede buscar una forma de gestionar estos riesgos. A menudo, implementan medidas de remediación o mitigan el daño que podría ocurrir. En algunos casos, la transferencia de riesgos es el camino a seguir.

¿Qué es la estrategia de control de riesgos de transferencia?

La estrategia de control de riesgo de transferencia ocurre cuando una organización decide desviar un riesgo que encuentra a otra organización. (También puede ocurrir entre los activos o procesos de la red). Entonces, en lugar de tratar de manejar el riesgo usted mismo, se lo da a otra persona.

Suena bastante simple, ¿verdad? La idea aquí es que una organización continúe con lo que es bueno, por ejemplo, vender automóviles, mientras contrata a un proveedor externo para proporcionar algo como capacidades de computación en la nube. La computación en la nube, un modelo de distribución de software donde los programas y las aplicaciones se alojan fuera del sitio, probablemente será más difícil de manejar para un negocio como un concesionario de automóviles. No es su área de especialización y no tienen la mano de obra o los recursos necesarios para implementarlo con éxito por su cuenta. Al subcontratar este software como servicio (SaaS) a un proveedor más capaz y experimentado, los empleados del concesionario pueden ceñirse a lo que mejor saben hacer: vender. Además, permite que las características de seguridad necesarias, el soporte técnico y el mantenimiento sean manejados por expertos en IT.

La mayoría de las empresas optan por transferir el riesgo porque carecen de la experiencia para manejar ese tipo de riesgo, o es demasiado costoso invertir en los recursos necesarios para administrar el riesgo, o simplemente porque las consecuencias del riesgo serían demasiado graves para manejarlas.

Claves para una estrategia eficaz

Construir una estrategia de transferencia efectiva requiere un elemento clave: un Acuerdo de Nivel de Servicio o SLA. Un SLA es básicamente un contrato que explica lo que se espera entre la empresa que transfiere el riesgo y el tercero que lo acepta. ¡En muchos sentidos, es un documento escrito que mitiga el riesgo de transferir el riesgo!

Hay cuatro pasos críticos para implementar el importante SLA:

1. Primero, analice los objetivos estratégicos del negocio, su misión, visión y recursos. ¿Qué espera ganar el concesionario de automóviles de arriba? En este caso, buscan capacidades de almacenamiento en la nube para manejar su creciente volumen de datos y permitir que los empleados colaboren y compartan archivos en una ubicación central. También buscan reducir los costos asociados con el mantenimiento de su red. Sea claro acerca de las razones por las que está entrando en un SLA con un proveedor externo.
2. A continuación, determine el tipo de servicio que los proveedores externos deben brindar para ayudar a la empresa a lograr sus objetivos. Con los objetivos de almacenamiento de datos, colaboración y ahorro de costos claramente identificados entre el concesionario de automóviles y el proveedor de servicios en la nube, el proveedor debe saber exactamente qué nivel de servicio se ajustará a sus necesidades.
3. Ahora, elija métricas con las que pueda medir si se están cumpliendo sus objetivos. Las métricas son unidades de medida que pueden confirmar que se han alcanzado los niveles de servicio acordados y que se están logrando los objetivos. Las métricas sencillas de nuestro ejemplo automático pueden traducirse en ahorros de costes y una mayor capacidad de almacenamiento de datos.
4. Por último, establezca parámetros para la rendición de cuentas si no se cumplen los componentes del SLA. Esto podría incluir cosas como la retención del pago o incluso el despido si el trabajo no se realiza de manera satisfactoria. También podría incluir incentivos para el trabajo que supere las expectativas. Si el proveedor de la nube no puede reducir los costos de la empresa o proporcionar una red segura y confiable para el almacenamiento de datos y la colaboración, podría haber repercusiones.

Resumen de la lección

La transferencia de riesgos en la seguridad de la información es el acto de cambiar los riesgos de un área (u organización) a otra. Por lo general, esto se hace porque la empresa original carece de experiencia en un área en particular y le resulta más efectivo subcontratar el trabajo a otra empresa que lo entienda mejor. Participar en una transferencia de riesgo exitosa requiere la implementación de un Acuerdo de Nivel de Servicio o SLA. Este es un tipo de contrato entre las dos partes que describe las expectativas para el nuevo servicio. El desarrollo de un SLA efectivo y, en última instancia, una estrategia efectiva de transferencia de riesgos, incluye cuatro pasos:

• Definición de los objetivos del negocio.
• Determinar el servicio necesario para lograr esos objetivos.
• Elegir métricas para medir el desempeño y el logro de objetivos
• Establecimiento de parámetros para la responsabilidad del proveedor externo

Rodrigo Ricardo Editor y fundador