Gestor de riesgos de seguridad informática (ciberseguridad)/gestora de riesgos de seguridad informática (ciberseguridad)

Los métodos y las mejores prácticas de protección de sistemas TIC, redes, ordenadores, dispositivos, servicios, procesos y personas contra accesos o modificaciones no autorizados o contra la denegación de servicio de los activos.

Métodos, tecnologías y técnicas utilizados en la defensa (detección, supervisión y recuperación) contra ciberataques. Estos ciberataques incluyen varios vectores de ataque, como programas maliciosos, ataques de denegación de servicio (DoS) y suplantación de identidad («phishing»). Algunos ejemplos de métodos utilizados son los sistemas de prevención de intrusiones (IPS), los cortafuegos, los antivirus, los sistemas de detección de intrusos (IDS), la formación en ciberseguridad, las copias de seguridad, el sistema de gestión de la seguridad de la información (SGSI), la autenticación multifactor y tomar conciencia de los riesgos.

El plan definido por una empresa que establece los objetivos de seguridad de la información y las medidas para mitigar los riesgos, definir objetivos de control, establecer métricas y puntos de referencia y cumplir al mismo tiempo los requisitos legales, internos y contractuales.

Los métodos utilizados para analizar el rendimiento del software, el sistema de las TIC y la red, que proporcionan orientación sobre las causas fundamentales de los problemas en los sistemas de información. Los métodos pueden analizar los obstáculos de los recursos, los tiempos de aplicación, las latencias de espera y los resultados de la evaluación comparativa.

Mejores prácticas y directrices establecidas para proteger los sistemas y los datos de las tecnologías de la información y la comunicación (TIC). Las normas, como es el caso de la serie ISO 27000, proporcionan un marco para la aplicación de controles de seguridad eficaces, como el control de acceso, la evaluación de riesgos y la gestión de incidentes, así como para garantizar el cumplimiento por parte de una organización.

Las políticas internas de gestión de riesgos que identifican, evalúan y priorizan los riesgos en un entorno de TI. Los métodos utilizados para minimizar, supervisar y controlar la posibilidad y el impacto de acontecimientos catastróficos que afecten a la consecución de los objetivos empresariales.

Conjunto de acciones que se llevan a cabo para detectar vulnerabilidades en un sistema informatizado a fin de mejorar la seguridad de una organización. Su objetivo es detectar y abordar violaciones de la seguridad de los datos y amenazas en una red.

Los factores de riesgo para la seguridad, como los componentes de hardware y software, los dispositivos, interfaces y políticas en las redes de TIC, las técnicas de evaluación de riesgos que pueden aplicarse para evaluar la gravedad y las consecuencias de las amenazas para la seguridad y los planes de contingencia para cada factor de riesgo de seguridad.

Vías o métodos que utilizan los agentes de amenazas para explotar las vulnerabilidades de las redes o los sistemas de información de una organización concreta y afectar a su disponibilidad, integridad y confidencialidad. Los vectores de ataque pueden incluir tácticas de ingeniería social, como correos de suplantación de identidad («phishing») o pretexto, programas intrusos («exploits») como los que utilizan la inyección de SQL y ataques por desbordamiento de búfer.