La gestión en el riesgo es el proceso de identificar, analizar y cuantificar las probabilidades de pérdidas y efectos secundarios que se desprenden de los desastres, así como de las acciones preventivas, correctivas y reductivas correspondientes que deben emprenderse. La vulnerabilidad o las amenazas, por separado, no representan un peligro. Pero si se juntan, se convierten en un riesgo, es decir, en la probabilidad de que ocurra un desastre.
Uno de los pilares de la gestión de la seguridad de la información se encuentra en la gestión en el riesgo, que, del mismo modo, también se trata de unas de las actividades básicas que son establecidas en los estándares de seguridad.
De esta forma, una suma importante de esfuerzos enfocados en la protección de la información, los activos y el negocio, deriva de los resultados obtenidos de la valoración y priorización que se realiza a los riesgos de seguridad, y estos pueden ser utilizados para la toma de decisiones.
¿Riesgos o amenazas?
Como punto de partida, podemos identificar un riesgo como una “contingencia o la proximidad de un daño”, ya que, por el contrario, si el daño no está “próximo”, se habla de una amenaza. Así, un riesgo puede ser expresado como el efecto de la incertidumbre sobre los objetivos de seguridad de la información; y pueden estar asociados a la causa potencial de que una amenaza pueda incidir en una o más vulnerabilidades de un activo o grupo de activos de información, teniendo como consecuencia algún tipo de daño.
En términos generales, los riesgos se pueden expresar a partir de la combinación de la posibilidad de ocurrencia de un evento no deseado (probabilidad) y sus consecuencias (impacto), razón por la cual, las medidas de seguridad están orientadas a reducir alguna de estas dos variables, o en el mejor de los casos, a ambas.
Gestión en el riesgo de la seguridad de la información
En materia de seguridad, la gestión consiste en la supervisión y toma de decisiones orientadas a lograr los objetivos de la empresa en el ámbito de la seguridad de la información.
La gestión en el riesgo tiene como propósito principal mitigar la materialización de amenazas, y para ello se realizan distintas actividades (identificación, análisis y evaluación de riesgos) y fases (valoración, tratamiento y aceptación de los mismos).
Una vez han sido evaluados y priorizados los riesgos, la siguiente fase tiene como propósito tomar alguna acción para su tratamiento: mitigar, eliminar, transferir o aceptar, y definir la aplicación de controles de seguridad.
- Mitigar. Consiste en minimizar el impacto del riesgo, o reducir las posibilidades de que ocurra.
- Transferir. Ocurre cuando se delega la acción de mitigación a un tercero.
- Aceptar. Se presenta cuando el impacto es suficientemente bajo para que la organización decida no tomar ninguna acción de mitigación o cuando el costo de la aplicación de un control supera el valor del activo.
- Eliminar. Es una actividad ideal, ya que difícilmente se puede reducir un riesgo a cero, por lo que los riesgos asociados pueden ser descartados.
Cuando se ha definido una acción para cada riesgo valorado, es necesario que los resultados sean aceptados y las medidas de seguridad aplicadas. Esto se vuelve necesario ya que, al aplicar una contramedida o control, todavía se cuenta con un riesgo denominado residual, es decir, un remanente que debe ser aprobado.
¿Por qué es importante la gestión en el riesgo para la seguridad de la información?
La seguridad de la información es una pieza fundamental para que la empresa pueda llevar a cabo sus operaciones sin asumir demasiados riesgos, puesto que los datos que se manejan son esenciales para el devenir del negocio. Además, también hay que tener en cuenta que la seguridad de la información debe hacer frente a los riesgos, analizarlos, prevenirlos y encontrar soluciones rápidas para eliminarlos si se diera el caso.
Su objetivo es proteger los activos de información: Los equipos, ya sea hardware o software, los usuarios y la información. Estas medidas de protección aportan beneficios a las organizaciones fomentando las ventas, la confianza de clientes en los servicios ofrecidos, y ofreciendo una imagen de empresa segura.
La protección de la información se puede llevar a cabo a través de barreras y procedimientos que restringirán el acceso sólo a personas autorizadas.
Novaseguridad lo protege de amenazas y debe proteger sus instalaciones, ya sea comercial o industrial, con herramientas como el control de acceso pudiendo detectar alguna vulnerabilidad o intrusión en el sistema. Nuestro servicio es 100% profesional realizado una gestión muy eficiente. Llevamos en la industria muchos años. Somos una compañía reconocida en el mercado. Realizamos evaluaciones de riesgo. Contamos con personal de seguridad experimentado. Contacta con NOVASEP,
