Gestión de riesgo y seguridad de la información

Toda estrategia de seguridad debe partir de la adecuada gestión de riesgo, esta será la especialidad que garantice que la gestión de activos informáticos se lleve a cabo de forma apropiada.

Una buena identificación de riesgos debe empezar por la identificación de los activos, las amenazas, los controles existentes, las vulnerabilidades y las consecuencias.

El análisis de riesgos permite a las organizaciones conocer su exposición ante las amenazas. Pretende además determinar de forma cuantitativa, cualitativa y objetiva la identificación de los riesgos, de tal manera que se pueda identificar dónde existiría un mayor impacto y se tomen las decisiones con base en los riesgos organizacionales detectados; es importante determinar el probable tamaño del impacto e identificar los controles o soluciones a implementar en función de los riesgos encontrados.

Quién o quiénes se encargan de identificar una gestión de riesgos es el comité de seguridad o altos ejecutivos por lo que deben considerar las siguientes características:

• Crear valor para el negocio.
• Ser un proceso constante de toma de decisiones; el riesgo está en todas partes por lo que deberá ser identificado en todos los procesos del negocio.
• Estar actualizado constantemente.
• Considerar el factor humano como imperativo.
• Capacidad adaptativa dependiendo de las tendencias del mercado y proyectos corporativos.
• Ser considerado como parte del proceso de mejora continua de la organización y parte integral de toda la corporación.

Para proteger de forma apropiada la información corporativa comenzaremos con 4 preguntas clave: ¿qué?, ¿cómo?, ¿cuándo? y ¿dónde?

Pregunta 1: ¿Qué?

Se entiende a través de la definición de las dimensiones que componen la seguridad de la información, es decir:

• Confidencialidad
• Integridad
• Disponibilidad

También contempla las propiedades de la información que deben ser la autenticidad, la trazabilidad y el no repudio.

Los principales puntos que garantizan el acceso a la información y a su conversación son los temas de dimensionamiento que refieren a la disponibilidad de esta.

Pregunta 2: ¿Cómo?

La utilización de una serie de controles que permitan minimizar la probabilidad de que una amenaza se convierta en un acto facto. De esta forma se puede lograr disminuir los impactos dentro de la corporación en el caso de que una amenaza logre vulnerarnos.

Pregunta 3: ¿Cuándo?

Se resume a todo el ciclo de vida de la información.

Pregunta 4: ¿Dónde?

Se refiere a la gente o partes que estarán involucradas en la gestión de la información:

• Cómo se almacena la información
• Cómo se procesa
• Cómo se transmite

Actualmente existen múltiples organizaciones que han creado marcos de referencia para minimizar el riesgo y gestionarlo; uno de los marcos de referencia más fuertes es el 27005, que es una herramienta que gestiona los riesgos de seguridad de la información y considera:

• Ejemplos de amenazas típicas.
• Vulnerabilidades y manejo de análisis.

Es parte integral del SGSI y por tanto es utilizable para fines de regulación y de auditoría de forma muy apegada.