Evaluaciones de riesgos de seguridad
Una evaluación de riesgos que no cambie lo que va a hacer a continuación no merece la pena. He visto demasiadas evaluaciones de riesgos que, en realidad, no son más que un mero trámite de cumplimiento normativo: una plantilla genérica que se rellena una vez al año, se puntúa según un marco de referencia, se archiva y se olvida hasta el siguiente ciclo de auditoría. Una verdadera evaluación de riesgos debería indicarle, de forma concreta, qué es lo que tiene más probabilidades de perjudicarle y qué medidas debe tomar al respecto, y en qué orden.
¿Qué hace que una evaluación resulte útil?
Lo primero es comprender qué es lo que realmente tiene que proteger y cuál es su valor real: qué sistemas y datos son los más importantes, qué le sucedería realmente a la empresa si cada uno de ellos se viera comprometido, y quién o qué los amenaza de forma realista, teniendo en cuenta su sector, su presencia pública y los incidentes que ha sufrido en el pasado. Una evaluación de riesgos basada en listas genéricas de amenazas del sector, en lugar de en su entorno real, arroja conclusiones genéricas que no ayudan a nadie a tomar una decisión concreta.
Cómo lo gestiono
Comienzo por identificar sus activos y datos críticos, y a continuación analizo escenarios de amenazas realistas que puedan afectarles; no se trata de un catálogo exhaustivo de todos los ataques teóricos, sino de aquellos que realmente se ajustan a su entorno y al perfil de sus atacantes. Para cada riesgo significativo, analizo conjuntamente la probabilidad y el impacto, teniendo en cuenta los controles de los que ya dispone y siendo sincero sobre si dichos controles funcionan realmente o si solo están documentados como tales. El resultado no es un mapa de riesgo por el simple hecho de serlo; se trata de una lista priorizada de lo que hay que corregir en primer lugar, con suficiente detalle como para que alguien pueda actuar en consecuencia sin necesidad de una reunión de seguimiento para aclarar lo que he querido decir.
En función de sus necesidades, esto puede ajustarse a un marco específico —NIST, ISO 27001 o cualquier otro que espere un cliente o un organismo regulador— o bien puede tratarse de un ejercicio independiente centrado exclusivamente en reducir su riesgo real, al margen de cualquier adaptación a requisitos de cumplimiento. Le diré con toda sinceridad qué enfoque se adapta mejor a su situación, en lugar de optar por el que me resulte más fácil de llevar a cabo.
A quién va dirigido
Las organizaciones que llevan años sin analizar con sinceridad sus riesgos, las empresas que están a punto de tomar una decisión importante —una adquisición, un nuevo producto, un nuevo mercado— y que desean comprender primero las implicaciones en materia de seguridad, y cualquier persona cuya última evaluación de riesgos se haya percibido más como una mera formalidad que como un análisis real.
Si desea obtener una visión realista de cuál es su situación actual, contacte conmigo.