Análisis de riesgos

El análisis de riesgos es la evaluación estructurada de los riesgos que afectan a los activos, los sistemas y las operaciones de una organización, para que las decisiones sobre ellos se tomen con pruebas y no por instinto.

Su propósito es identificar, evaluar y ordenar por prioridad las amenazas y las vulnerabilidades que podrían afectar a la confidencialidad, la integridad o la disponibilidad de la información, y producir algo a partir de lo cual se pueda tomar una decisión: qué se mitiga, qué se acepta y qué se transfiere.

Es un ejercicio continuo, y no anual. Los sistemas cambian, las amenazas cambian, y un análisis describe la organización tal y como era el día en que se hizo.

Las etapas

Identificar activos y amenazas. De qué depende de verdad el negocio, y qué podría salir mal de forma plausible en cada una de esas cosas, tanto desde dentro como desde fuera.

Evaluar las vulnerabilidades. Dónde el diseño, la implementación o la configuración dejarían que una de esas amenazas saliera adelante.

Estimar el riesgo. Probabilidad e impacto, en términos cuantitativos o cualitativos, hasta llegar a una magnitud que se pueda comparar con otra. Lo que importa es que sean comparables; la precisión no está disponible, y fingir lo contrario es la manera en que estos ejercicios pierden credibilidad.

Ordenar. Para que un dinero finito y una atención finita vayan a la parte alta de la lista, y no a lo último que alguien haya planteado.

Decidir el tratamiento. Controles que implantar, políticas que cambiar, tecnología que adoptar, y los riesgos que la organización decide asumir a sabiendas. Esa última categoría tiene que estar por escrito y tener a alguien como dueño, o no es una decisión.

Un ejemplo

Una empresa de servicios financieros hace un análisis sobre su sistema de clientes en línea.

Identifica una amenaza: phishing dirigido a sus clientes. Identifica la vulnerabilidad que hace que la amenaza funcione: una autenticación que se apoya solo en una contraseña.

Estima el riesgo a partir de lo probable que es una campaña así y de lo que costaría una que tuviera éxito, en datos de clientes y en reputación.

Tras situarlo cerca de la cabeza de la lista, la empresa implanta autenticación multifactor, hace formación de concienciación para los clientes y empieza a monitorizar las señales de un intento en curso.

El valor del ejercicio no es el número que produjo. Es que el control se eligió por lo que resolvía, y que esa elección se puede explicar después.

Análisis de riesgos, modelo de riesgo y las tres fichas que lo rodean

Conviene empezar por la confusión de casa. Esta ficha y la de modelo de riesgo describen el mismo territorio con distinto grano, y así están escritas: el modelo es la estructura con la que se mide (qué cuenta como activo, qué escalas de probabilidad e impacto, qué umbral de aceptación), y el análisis es la pasada de aplicarlo a un alcance definido y salir con una lista ordenada.

Un sistema de gestión de la seguridad de la información (SGSI) está por encima de los dos. Fija el alcance, recoge las decisiones de tratamiento en una declaración de aplicabilidad y las revisa. La norma no certifica una lista de controles, certifica que ese sistema funciona, y el análisis de riesgos es su entrada principal.

El modelado de amenazas mira un sistema concreto en su diseño, en vez de una cartera de activos. Es un método vecino y no un sustituto: responde a cómo podría fallar esto, no a cuánto nos costaría.

La gestión de la exposición es el bucle operativo del otro extremo: qué es alcanzable hoy, qué de eso es explotable de verdad, y en qué orden se arregla. El análisis de riesgos ordena por probabilidad e impacto estimados; la gestión de la exposición ordena por lo que se ha demostrado que funciona. Las dos listas no salen iguales, y esa diferencia es información, no una contradicción.

Y el fallo que hace que el ejercicio entero no valga de nada: hacerlo una vez para el certificado y no volver. Un análisis del año pasado describe una organización que ya no existe, y el certificado sigue siendo válido todo ese tiempo.