Gestión de Riesgos de Seguridad Empresarial: un enfoque estratégico

Material de Estudio Personal para CPP

Material preparado para estudio personal en la preparación de CPP. NO se debe comercializar.

ESRM: Gestión de Riesgos de Seguridad Empresarial

ESRM (Enterprise Security Risk Management) es un enfoque estratégico para la gestión de la seguridad que vincula la práctica de seguridad de una organización con su estrategia general utilizando principios de gestión de riesgos establecidos y aceptados a nivel mundial.

Componentes Clave de ESRM

Potencial de cada riesgo Eje 1 contexto Importancia de cada activo Misión y visión Comprender para identificar de manera más efectiva los riesgos Identificary priorizar car y priorizar riesgos Valores fundamentales Conocer la cultura organizacional Mitigación Mitigar riesgos pri Entorno operativo Tres categorías principales: Físicos, No físicos y Lógica Lecciones aprendidas Orden de prioridad Gestión integral de riesgos Asociación con partes interesadas Transparencia Gobernancia Eje 2 Base Considera todos los riesgos de seguridad independientement e del dominio o la disciplina Mayor nivel de compromiso, comprensión completa de riesgos y un mayor apoyo organizacional Los profesionales de seguridad deben ser transparentes sobre los riesgos y procesos de seguridad El gobierno existe a nivel organizacional y de seguridad

Características de ESRM

• ESRM es esencialmente un proceso o sistema de gestión.
• ESRM no es un programa ni un elemento de un programa de seguridad existente.
• ESRM reemplaza la metodología del programa de seguridad para administrar la seguridad.
• ESRM conecta todos los elementos clave del riesgo de seguridad con los activos de las organizaciones, informando la toma de decisiones por parte de los propietarios de los activos.
• ESRM es escalable y dinámico, adecuado para su adopción por parte de organizaciones del sector público o privado de cualquier tamaño o alcance.
• ESRM se diferencia de la gestión de seguridad tradicional basada en programas en varios aspectos.

Monitoreo y Mejora Continua en ESRM

Monitoreo apreciación Análisis y Mejora continua Partes interesadas Comprenderlas y saber que es importante para ellas

Material preparado para estudio personal en la preparación de CPP. NO se debe comercializar.

• ESRM no intenta asignar un riesgo a un programa específico.
• En ESRM, el profesional de seguridad pasa de administrar una función de seguridad (función delegada) a ser un asesor de confianza y socio de los propietarios de activos.

Beneficios de ESRM

Beneficios para Profesionales de Seguridad

Los beneficios para los profesionales de la seguridad pueden incluir lo siguiente:

1. Con el cambio de propiedad de la toma de decisiones sobre riesgos de seguridad al propietario de los activos, se utilizan

• En ESRM, los propietarios de activos toman decisiones sobre el riesgo de los activos que administran. Esas decisiones se toman con el aporte y la orientación del profesional de seguridad. Los propietarios de los activos son, en última instancia, responsables de las decisiones relacionadas con el riesgo de seguridad, al igual que son responsables y dirigen las acciones de otros riesgos para sus activos.

A través de ESRM, los profesionales de la seguridad respaldan la misión y los planes estratégicos de la organización mediante la gestión proactiva y la comunicación de los riesgos de seguridad a la alta dirección y los propietarios de los activos. Esto permite que la alta dirección tenga en cuenta mejor el riesgo en la gestión de las prioridades de la organización.

Conceptos Erróneos Comunes sobre ESRM

Dos conceptos erróneos importantes sobre ESRM. El primer concepto erróneo es que ESRM es simplemente la convergencia o la unión de un programa de seguridad tradicional, seguridad corporativa o seguridad física con seguridad de la información/ciberseguridad bajo un mismo liderazgo.

El segundo concepto erróneo es que ESRM es gestión de riesgos empresariales (ERM). ERM se diferencia de ESRM en que ERM aborda todos los riesgos clave de una organización: financieros, operativos y estratégicos, ESRM se erige como un sistema de gestión de riesgos independiente para todas las organizaciones, aquellas con o sin una estructura de ERM.

• ESRM aborda todos los riesgos de seguridad para los activos de pasos de mitigación específicos. El objetivo es la mitigación efectiva, no un programa para abordar una amenaza o problema específico.

Material preparado para estudio personal en la preparación de CPP. NO se debe comercializar.

1. más recursos y perspectivas para el proceso de gestión de riesgos.
2. El profesional de la seguridad puede convertirse en un socio estratégico y un asesor de confianza en lugar de ser un propietario táctico de los programas de seguridad. El profesional de seguridad y el grupo de seguridad pueden supervisar varios procesos y sistemas de mitigación, pero estos cuentan con el apoyo y/o dirección de los propietarios de los activos. Por ejemplo, el control de acceso puede ser útil para mitigar numerosos riesgos de seguridad para múltiples propietarios de activos y el enfoque más efectivo puede ser a través de un sistema controlado centralmente supervisado y operado por el grupo de seguridad.
3. El profesional de seguridad desarrollará una comprensión más sólida y completa de la organización y sus estrategias y objetivos. A partir de esto, el profesional de seguridad podrá asistir mejor en la identificación y priorización de riesgos.
4. Al defender un enfoque holístico del riesgo de seguridad con los propietarios de activos y la organización en general, los profesionales de seguridad pueden proporcionar una mayor profundidad de valor y ayudar a reducir la seguridad y los riesgos relacionados con la seguridad.
5. La seguridad pasa de un rol reactivo a un enfoque más proactivo. Obviamente, esto puede conducir a mejores resultados, incluidos menos incidentes y reducciones en el impacto de un incidente.
6. La comunicación y la interacción con las partes interesadas internas y externas mejorarán para los profesionales de la seguridad, lo que les permitirá aprender lo que las partes interesadas consideran crítico e importante. A partir de esto, el profesional de seguridad puede operar dentro de la organización de manera más efectiva y puede ayudar a formular prioridades de riesgo y planes de mitigación con mayor precisión.
7. Con un enfoque en el riesgo, los profesionales de seguridad pueden ser más innovadores en la resolución de problemas y la reducción de riesgos.
8. Los propietarios de activos y otros administradores no operan ni administran a través de una serie de programas. Con el cambio a un enfoque basado en el riesgo, los profesionales de seguridad pueden comunicarse y asociarse de manera más efectiva con los propietarios de activos y otros administradores porque trabajarán de una manera familiar para los propietarios de activos.
9. El profesional de seguridad puede asignar mejor los recursos a medida que se identifican y priorizan los riesgos junto con los propietarios de los activos. Los presupuestos pueden volverse más manejables y respaldados a medida que se alinean con los objetivos y estrategias del propietario de los activos y los riesgos de seguridad identificados.
10. Como socios de confianza con conocimiento del negocio, se puede pedir a los profesionales de la seguridad que participen en otras áreas estratégicas y se vuelvan mucho más visibles y valiosos dentro de la organización.

Beneficios Organizacionales de ESRM

La organización también se beneficia de ESRM de varias maneras, incluidas las siguientes:

1. ESRM permite tomar decisiones críticas sobre riesgos de seguridad a nivel empresarial, lo que respalda mejor la misión y los objetivos de la organización. Esto se aplica a las grandes organizaciones multinacionales, así como a las organizaciones con una sola instalación.
2. ESRM permite que los propietarios de activos y las partes interesadas obtengan una comprensión más amplia y consistente de la función de seguridad y el riesgo de seguridad.
3. ESRM permite que los principales riesgos de seguridad sean vistos mejor por la alta dirección porque son elevados por los altos directivos que son propietarios de activos.
4. ESRM dirige los recursos de seguridad para que estén mejor alineados con las estrategias organizacionales para mitigar el riesgo priorizado.
5. ESRM proporciona identificación temprana y monitoreo proactivo de una amplia gama de riesgos.
6. ESRM mejora la comprensión y el compromiso de las partes interesadas que tienen un interés personal en el riesgo de seguridad y la función de seguridad.
7. ESRM brinda un mejor soporte para funciones y problemas legales, regulatorios y contractuales relacionados.
8. ESRM proporciona una plataforma para que la seguridad se integre mejor en la cultura de la organización.
9. ESRM mejora la resiliencia, la respuesta a eventos y la gestión de crisis de la organización.

Material preparado para estudio personal en la preparación de CPP. NO se debe comercializar.

Cómo Adoptar ESRM

Material preparado para estudio personal en la preparación de CPP. NO se debe comercializar.

ESRM tiene tres componentes principales:

• El contexto de ESRM , que incluye aspectos organizacionales que los profesionales de seguridad deben comprender para adoptar ESRM con éxito.
• El ciclo ESRM , que es el proceso real de gestión de riesgos de seguridad de ESRM que enfatiza la importancia de comprender los activos.
• La base de ESRM, que incluye conceptos organizacionales que respaldan el enfoque de ESRM y maximizan su impacto.

El Contexto de la ESRM

Inicialmente, es esencial que los profesionales de seguridad comprendan los siguientes aspectos de la organización:

Todo comienza con una comprensión clara de los servicios y productos proporcionados por la organización. Conocer al personal clave y al liderazgo junto con la estructura operativa de la organización permitirá al profesional de seguridad navegar sin problemas por toda la organización y encontrar y construir relaciones clave. Conocer los requisitos legales y las reglamentaciones que afectan a la organización y que la organización debe seguir.

Los planes y objetivos estratégicos a largo plazo son la hoja de ruta de la organización. Los profesionales de seguridad pueden hacerlo examinando objetivos y estrategias para riesgos y exposiciones generales y específicos de seguridad y llamando la atención del liderazgo sobre esos riesgos.

Este enfoque de aprender primero sobre la organización y sus metas y objetivos da como resultado el mensaje a las partes interesadas de que "el propósito de la seguridad es ayudarlo a alcanzar sus metas" y que "queremos lo que usted quiere".

Misión y Visión Organizacional

Misión y visión Cuanto más sepan los profesionales de la seguridad acerca de sus organizaciones, más efectivos serán para respaldar sus misiones y visiones.