| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo | Ejemplos | |
| Ciberataques disruptivos destructivos | y | Ataques con diferentes propósitos (por ejemplo, activismo, chantaje), que se traducen en una sobrecarga de los sistemas y de la red, impidiendo que los usuarios legítimos puedan acceder a los servicios informáticos en línea. | • | Los ataques distribuidos de denegación de servicio (DDoS) se realizan mediante una multitud de sistemas informáticos en internet controlados por un pirata informático que envía una gran cantidad de solicitudes de servicio aparentemente legítimas a los servicios de internet (por ejemplo, banca electrónica). |
| Riesgos de Ciberataques seguridad de las otros TIC externos en | y ataques basados TIC | Ataques realizados desde internet o redes externas con diferentes propósitos (por ejemplo, fraude, espionaje, activismo/sabotaje, ciberterrorismo) aplicando distintas técnicas (por ejemplo, ingeniería social, intentos de intrusión a través de la explotación de vulnerabilidades, distribución de software malicioso) que se traducen en la toma de control de los sistemas de TIC internos. Ejecución de operaciones de pago fraudulentas por parte de piratas informáticos mediante la violación o la elusión de la seguridad de los servicios de banca electrónica y de pago o mediante el ataque y la explotación de vulnerabilidades de seguridad en los sistemas de pago internos de la entidad. Ejecución de operaciones de valores fraudulentas por parte de piratas informáticos mediante la violación o la elusión de la seguridad de los servicios de banca electrónica que también proporcionan acceso a las | Diferentes • • • • • • • | tipos de ataques: Amenaza persistente avanzada (APT) para tomar el control de sistemas internos o robar información (por ejemplo, información relacionada con robo de identidad, información de tarjetas de crédito). Software malicioso (por ejemplo, ransomware ) que cifra datos con fines de chantaje. Infección de los sistemas internos de TIC con troyanos para cometer actos maliciosos de manera oculta. Explotación de vulnerabilidades de los sistemas de TIC o de aplicaciones (web) (por ejemplo, inyección SQL ...) para acceder a los sistemas internos de TIC. Ataques contra servicios de banca electrónica o de pago con el objetivo de realizar operaciones no autorizadas. Creación y envío de operaciones de pago fraudulentas desde los sistemas de pago internos de la entidad (por ejemplo, mensajes SWIFT fraudulentos). Ataques de bombardeo y descarga en los que los atacantes obtienen acceso a cuentas de valores de banca electrónica de clientes y envían órdenes de compra o venta fraudulentas para influir en el |
| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo cuentas de valores del cliente. Ataques a las conexiones de comunicación y conversaciones de todo tipo en sistemas de TIC con el objetivo de recopilar información o cometer fraude. | Ejemplos • | precio de mercado o realizar ganancias basadas en posiciones de valores previamente establecidas. Escuchas secretas ( eavesdropping) /interceptación de transmisiones sin protección de datos de autenticación en texto sin formato. |
| Seguridad de inadecuada | interna las TIC | Obtención de acceso no autorizado a los sistemas de TIC críticos desde dentro de la entidad con diferentes propósitos (por ejemplo, fraude, realización y ocultación de actividades comerciales fraudulentas, robo de datos, activismo/sabotaje) mediante diversas técnicas (por ejemplo, abuso o aumento de privilegios, robe de identidad, ingeniería social, explotación de vulnerabilidades en sistemas de TIC, distribución de software malicioso). Manipulaciones no autorizadas de las TIC debido a procedimientos y prácticas inadecuados de gestión de accesos a las TIC. Amenazas a la seguridad debido a la falta de conciencia de seguridad que hace que los empleados no entiendann, descuiden o no cumplan las políticas y procedimientos de seguridad de TIC. | • • • • • • • | Instalar registradores de teclas ( keyloggers ) para robar identificadores de usuario y contraseñas con el fin de obtener acceso no autorizado a datos confidenciales o cometer fraude. Descifrado o adivinación de contraseñas débiles para obtener derechos de acceso ilegítimos o elevados. El administrador del sistema utiliza sistemas operativos o utilidades de base de datos (para modificaciones directas en la base de datos) para cometer fraude. No se inhabilitan o borran cuentas innecesarias, como las del personal que cambió de funciones o que ha dejado la entidad, incluidos invitados o proveedores que ya no necesitan acceso, lo que proporciona acceso no autorizado a los sistemas de TIC. Concesión de derechos y privilegios de acceso excesivos, permitiendo accesos no autorizados o que se oculten actividades deshonestas. Empleados que son engañados para ayudar a cometer un ataque (es decir, ingeniería social). Malas prácticas con respecto a las credenciales: compartir contraseñas, usar contraseñas «fáciles» de adivinar, usar la misma contraseña para muchos propósitos diferentes, etc. |
| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo Almacenamiento o transferencia no autorizados de información confidencial fuera de la entidad. | Ejemplos • • | Almacenamiento de datos confidenciales no cifrados en portátiles y soluciones de almacenamiento de datos portátiles (por ejemplo, dispositivos USB) que se pueden perder o robar. Personas que roban o filtran deliberadamente o envían clandestinamente información confidencial a personas no autorizadas o al público en general. |
| Seguridad de inadecuada | física las TIC | Mal uso o robo de los activos de TIC a través del acceso físico que causa daños o pérdida de activos o de datos o que hace posibles otras amenazas. Daños deliberados o accidentales a activos físicos de TIC causados por terrorismo, accidentes o manipulaciones desafortunadas/erróneas por parte del personal de la entidad o de terceros (proveedores, reparadores). Protección física insuficiente frente a desastres naturales que ocasionan la destrucción parcial o total de los sistemas/centros de datos de TIC. | • • • • | Intrusión física en edificios de oficinas o centros de datos para robar equipos informáticos (por ejemplo, ordenadores de sobremesa, ordenadores portátiles, soluciones de almacenamiento) o copiar datos mediante el acceso físico a los sistemas de TIC. Terrorismo físico (es decir, bombas terroristas) o sabotaje de activos de TIC. Destrucción del centro de datos causada por incendio, fugas de agua u otros factores. Terremotos, calor extremo, tormentas de viento, fuertes tormentas de nieve, inundaciones, incendios, relámpagos. |
| Riesgos de Control cambio de las inadecuado TIC cambios sistemas del las | de los en los de TIC y desarrollo de TIC | Incidentes causados por errores no detectados o vulnerabilidades al cambiar, entre otros, software , sistemas y datos de TIC (por ejemplo, efectos imprevistos de un cambio o un cambio mal gestionado debido a la falta de pruebas o prácticas inapropiadas de gestión del cambio). | • • • | Puesta en producción de software insuficientemente probado o cambios de configuración con efectos adversos imprevistos en los datos (por ejemplo, corrupción, eliminación) o en el rendimiento de los sistemas de TIC (por ejemplo, colapso, deterioro del rendimiento). Cambios incontrolados en los sistemas o datos de TIC en el entorno de producción. Puesta en producción de sistemas de TIC y aplicaciones de internet mal protegidos, creando |
| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo | Ejemplos • • | oportunidades para que los piratas informáticos ataquen los servicios de internet prestados o accedan sin autorización a los sistemas de TIC internos. Cambios incontrolados en el código fuente de software desarrollado internamente. Pruebas insuficientes debido a la falta de entornos de prueba adecuados. |
| Arquitectura TIC | de inadecuada | Una gestión deficiente de la arquitectura de TIC al diseñar, construir y mantener sistemas de TIC (por ejemplo, software , hardware , datos) puede dar lugar, con el tiempo, a sistemas de TIC complejos, difíciles, costosos de manejar y rígidos que ya no están suficientemente alineados con las necesidades de negocio y se quedan obsoletos para satisfacer los requisitos reales de gestión de riesgos. | • • | Cambios inadecuadamente gestionados en los sistemas, software o datos de TIC durante un periodo de tiempo prolongado, que da lugar a sistemas y arquitecturas de TIC complejos, heterogéneos y difíciles de gestionar, que tienen numerosos efectos negativos para la gestión del negocio y del riesgo (por ejemplo, falta de flexibilidad y agilidad, incidentes y fallos de TIC, altos costes operativos, debilitamiento de la seguridad y resiliencia de TIC, reducción de la calidad de los datos y menor capacidad de información). Excesiva personalización y ampliación de paquetes de software comercial con software desarrollado internamente, lo que se traduce en incapacidad para implementar futuras versiones y actualizaciones del software comercial y el riesgo de que ya no cuente con el soporte del proveedor. |
| Gestión inadecuada ciclo los | del de vida y de parches | Falta de mantenimiento de un inventario adecuado de todos los activos de TIC que favorezca y se complemente con unas prácticas sólidas de gestión del ciclo de vida y de parches. Esto da lugar a sistemas de TIC insuficientemente parcheados (y, por lo tanto, más | • | Sistemas de TIC no parcheados y obsoletos que pueden repercutir de manera negativa sobre la gestión del negocio y del riesgo (por ejemplo, falta de flexibilidad y agilidad, interrupciones de las TIC, menor seguridad y resiliencia de las TIC). |
| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo vulnerables) y obsoletos que pueden no responder a las necesidades del negocio y de gestión de riesgos. | Ejemplos | |
| Riesgos de Tratamiento integridad de manipulación datos TIC disfuncional datos | o de TIC | Debido a errores o fallos de sistema, comunicación o aplicación, o a un proceso mal ejecutado de extracción, transferencia y carga (ETC) de datos, los datos podrían corromperse o perderse. | • • • | Error en el sistema de TI en el procesamiento por lotes ( batch ), que origina saldos incorrectos en las cuentas bancarias del cliente Consultas erróneamente ejecutadas Pérdida de datos debido a un error de replicación (copia de seguridad). |
| Controles validación datos diseñados sistemas | de de mal en de TIC. | Errores relacionados con la ausencia o ineficacia de controles automatizados de entrada y aceptación de datos (por ejemplo, para datos de terceros utilizados), transferencia de datos, procesamiento y controles de datos de salida en los sistemas de TIC (por ejemplo, controles de validez de datos, conciliaciones de datos) | • • • • | Formato o validación insuficientes o inválidos de entradas de datos en aplicaciones o interfaces de usuario. Ausencia de controles de conciliación de los datos de salida producidos. Ausencia de controles en los procesos de extracción de datos ejecutados (por ejemplo, consultas de base de datos) que dan lugar a datos erróneos Uso de datos externos defectuosos. |
| Cambios mal en de producción Arquitectura datos, datos, de diccionarios datos gestionados diseñados Riesgos de Resiliencia | de datos controlados los sistemas TIC de de flujos de modelos datos o de mal o | Errores introducidos en los datos por la falta de controles que aseguren que las manipulaciones de datos realizadas en los sistemas de TIC de producción son correctas y están justificadas Arquitecturas de datos, modelos de datos, flujos de datos o diccionarios de datos mal gestionados que pueden dar lugar a múltiples versiones de los mismos datos en los sistemas de TIC, que dejan de ser coherentes ya que los modelos de datos o las definiciones de datos se aplican de forma diferente o el proceso subyacente de generación o cambio de los datos es distinto. Falta de disponibilidad de servicios críticos de TIC, | • • • | Desarrolladores o administradores de bases de datos que acceden directamente y cambian los datos en los sistemas de TIC de producción de una manera no controlada, por ejemplo, en el caso de un incidente de TIC La existencia de diferentes bases de datos de clientes por producto o unidad de negocio con diferentes definiciones de datos y campos, lo que da lugar a problemas de conciliación y a dificultades de comparación a la hora de integrar los datos de clientes a nivel de toda la entidad financiera o grupo. Falta de disponibilidad de servicios básicos como |
| Categorías de riesgo de TIC | Riesgos de TIC (detalle no exhaustivo10 ) | Descripción del riesgo | Ejemplos | |
| externalización insuficiente de las TIC servicios proporcionados por otra grupo Gestión inadecuada externalización | de terceros o por entidad del de la | servicios de telecomunicaciones y servicios de electricidad externalizados. Pérdida o corrupción de datos críticos/sensibles confiados al proveedor de servicios Importantes deterioros o fallos del servicio debido a que la preparación o los procesos de control del proveedor de los servicios externalizados son ineficientes. Una gestión ineficaz de la externalización puede traducirse en una falta de habilidades y capacidades apropiadas para identificar, evaluar, mitigar y seguir íntegramente los riesgos de TIC y puede limitar las capacidades operacionales de las entidades. | • • • • | consecuencia de fallos en los sistemas o aplicaciones de TIC de los proveedores (externalizados). Interrupción de los enlaces de telecomunicaciones. Falta de suministro eléctrico. Los procedimientos de gestión de incidentes, los mecanismos de control contractuales y las garantías incorporadas en el acuerdo con el proveedor de servicios son deficientes e incrementan la dependencia de personas clave de terceros y proveedores. Unos controles inadecuados de la gestión del cambio en relación con el entorno de TIC de los proveedores de servicios pueden causar deterioros o fallos importantes en el servicio. |
| Seguridad insuficiente terceros entidad | de o de otra del grupo | Pirateo de los sistemas de TIC de proveedores de servicios, con un impacto directo en los servicios externalizados o en los datos críticos/confidenciales almacenados en el proveedor de servicios. El personal del proveedor de servicios obtiene acceso no autorizado a datos críticos/sensibles almacenados en el proveedor de servicios. | • • | Pirateo de proveedores de servicios por parte de delincuentes o terroristas, como punto de entrada a los sistemas de TIC de las entidades o para acceder/destruir datos críticos o sensibles almacenados en el proveedor de servicios. Personal malicioso en el proveedor de servicios intenta robar y vender datos sensibles. |