Para toda empresa, es necesario hacer una adecuada gestión de riesgos que le permita saber cuáles son las principales vulnerabilidades de sus activos de información y cuáles son las amenazas que podrían explotar las vulnerabilidades. En la medida que la empresa tenga clara esta identificación de riesgos podrá establecer las medidas preventivas y correctivas viables que garanticen mayores niveles de seguridad en su información. Para ello, la mejor opción es buscar expertos en análisis de riesgos y seguridad.
¿Por qué hacer un análisis de riesgos y seguridad?
Una amenaza se puede definir como un evento que puede afectar los activos de información y están relacionadas con el recurso humano, eventos naturales o fallas técnicas. Algunos ejemplos pueden ser ataques informáticos externos, errores u omisiones del personal de la empresa, infecciones con malware, terremotos, tormentas eléctricas o sobrecargas en el fluido eléctrico.
Por otra parte, una vulnerabilidad es una característica de un activo de información y que representa un riesgo para la seguridad de la información. Cuando se materializa una amenaza y hay una vulnerabilidad que pueda ser aprovechada hay una exposición a que se presente algún tipo de pérdida para la empresa. Por ejemplo, el hecho de tener contraseñas débiles en los sistemas y que la red de datos no esté correctamente protegida puede ser aprovechado para los ataques informáticos externos.
Para el análisis, debemos escoger entre dos tipos:
- Cualitativos: la prioridad de cada riesgo será calculada en base a diferentes variables como: probabilidad de ocurrencia, frecuencia de ocurrencia, disponibilidad, integridad, confidencialidad, autenticidad, trazabilidad, entre otros. Este método de análisis de riesgos es uno de los más utilizado en la toma de decisiones en proyectos empresariales, los empleados se apoyan en su juicio, experiencia e intuición para la toma de decisiones.
- Cuantitativos: se realizan sobre riesgos que han sido catalogados como prioritarios durante la etapa de análisis cualitativo. Este proceso asignará un valor numérico.
Cabe destacar que, dependiendo de la metodología escogida para realizar el análisis de riesgo, existen diferentes fases o etapas a realizar. Acá definiremos un proceso estándar realizado por expertos en análisis de riesgos y seguridad:
- Definir el Alcance: en esta primera fase se debe definir el alcance del estudio. Es una tarea bastante importante ya que de ello se seleccionarán las áreas estratégicas para mejorar la seguridad en los sistemas, procesos y elementos dentro del alcance del plan. Por ejemplo: Realizar un Análisis de riesgo en el entorno o análisis de riesgo sobre los procesos de Desarrollo.
- Identificación de activos: se debe definir los activos involucrados en el estudio, por ejemplo: Hardware, software, sistemas de comunicación, aplicaciones, instalaciones, personal, proveedores, servicios subcontratados, entre otros.
- Identificación de amenazas: se deben identificar las amenazas a las que se encuentran expuestos cada uno de ellos. El catálogo es sumamente amplio, pero se debe enfocar para cada caso, por ejemplo: si se quiere evaluar las amenazas dirigidas a un servidor físico, se puede considerar daños por fuego, por agua, averías de origen físico o lógicos, errores del administrador, denegación de servicios, robo de equipos, entre otros.
- Identificación de las salvaguardas: En esta fase se debe estudiar las características de nuestros activos para buscar los puntos más vulnerables y conseguir una posible solución para solventar los riesgos a los que se encuentran expuestos y/o limitar el daño causado. Por ejemplo: Si se encuentran con servidores que tienen el software desactualizado y no tienen antivirus instalado, entonces debe considerarse como salvaguardas: actualizar el software del servidor, configurar el servidor para alertas a las nuevas actualizaciones e instalar un antivirus.
- Evaluación del riesgo: Ya teniendo las primeras cuatro fases detalladas anteriormente, podremos calcular el riesgo, en base a la probabilidad de que la amenaza se materialice y el impacto que pueda causar en el negocio.
Ahora, para que la empresa pueda tomar decisiones sobre cómo actuar ante los diferentes riesgos es necesario hacer un análisis de riesgos y seguridad para determinar cuáles son los más críticos para la empresa. Esta valoración suele hacerse en términos de la posibilidad de ocurrencia del riesgo y del impacto que tenga la materialización del riesgo. La valoración del impacto puede medirse en función de varios factores: la pérdida económica si es posible cuantificar la cantidad de dinero que se pierde, la reputación de la empresa dependiendo si el riesgo pueda afectar la imagen de la empresa en el mercado o de acuerdo al nivel de afectación por la pérdida o daño de la información.
En este punto se deberían tener identificados y valorados los principales riesgos que pueden afectar los activos de información de la empresa. Pero, ¿es suficiente con saber qué puede pasar? La respuesta es no. Una vez identificadas las amenazas, lo más importante del análisis de riesgos es la identificación de controles ya sea para mitigar la posibilidad de ocurrencia de la amenaza o para mitigar su impacto. Las medidas de control que puede asumir una empresa van a estar relacionadas con el tipo de amenaza y el nivel de exposición que represente para la información corporativa.
Contacte con Novasep, expertos en análisis de riesgos y seguridad.
Una empresa puede afrontar un riesgo de cuatro formas diferentes: aceptarlo, transferirlo, mitigarlo o evitarlo. Si un riesgo no es lo suficientemente crítico para la empresa la medida de control puede ser Aceptarlo, es decir, ser consciente de que el riesgo existe y hacer un monitoreo sobre él. Si el riesgo representa una amenaza importante para la seguridad de la información se puede tomar la decisión de Transferir o Mitigar el riesgo.
La primera opción en el análisis de riesgos y seguridad está relacionada con tomar algún tipo de seguro que reduzca el monto de una eventual pérdida, y la segunda tiene que ver con la implementación de medidas preventivas o correctivas para reducir la posibilidad de ocurrencia o el impacto del riesgo. Finalmente, si el nivel de riesgo es demasiado alto para que la empresa lo asuma, puede optar por evitar el riesgo, eliminando los activos de información o la actividad asociada.
El análisis de riesgos y seguridad debe garantizarle a la empresa la tranquilidad de tener identificados sus riesgos y los controles que le van a permitir actuar ante una eventual materialización o simplemente evitar que se presenten. Esta gestión debe mantener el equilibrio entre el costo que tiene una actividad de control, la importancia del activo de información para los procesos de la empresa y el nivel de criticidad del riesgo.
Si necesita expertos en análisis de riesgos y seguridad, no dude en contactar con NOVASEP, seguridad privada.
