Amenazas, vulnerabilidades y riesgo

A menudo se confunden tres palabras. Si las mantienes separadas, el resto de la seguridad se vuelve más fácil.

• Una amenaza es algo que podría causar daño: un criminal, un error por descuido, una tormenta, un corte de luz, una inundación.
• Una vulnerabilidad es una debilidad que una amenaza podría aprovechar: una puerta sin cerrar, un software sin actualizar, una contraseña escrita en un papel.
• El riesgo es la probabilidad de que una amenaza aproveche una debilidad, multiplicada por lo grave que sería el resultado.

Un ejemplo. Un río es una amenaza para una casa (puede inundarla). Vivir en el fondo del valle es la vulnerabilidad. El riesgo es lo probable que es una inundación, combinado con el daño que causaría. Mover los muebles a la planta superior no elimina el río. Elimina parte del impacto.

Puntuar el riesgo. Los equipos suelen dar a cada riesgo dos puntuaciones en una escala simple, como del 1 (bajo) al 5 (alto):

• Probabilidad: ¿qué tan probable es que ocurra en el próximo año?
• Impacto: ¿qué tan grave sería si ocurriera?

Luego, riesgo = probabilidad × impacto. Coloca cada riesgo en una matriz de 5 × 5 (la matriz de riesgos) y la esquina superior derecha contendrá tus problemas más urgentes. Un ejemplo inventado:

Estas puntuaciones son juicios en una escala ordinal (ordenada, pero no exacta). Una puntuación de 12 no es "el doble de real" que una de 6. La matriz es una forma de ordenar y discutir, no una medición de una cantidad física. Trátala como un buen punto de partida para la conversación y sé honesto sobre sus limitaciones.

¿Qué puedes hacer con un riesgo? Hay cuatro respuestas estándar:

• Reducirlo: añadir una protección que baje la probabilidad, el impacto, o ambos (actualizaciones, copias de seguridad, candados, formación).
• Aceptarlo: decidir que es lo suficientemente pequeño, o que cuesta demasiado arreglarlo, y vivir con él de forma consciente.
• Transferirlo: dejar que otra persona asuma parte del costo, por ejemplo mediante un seguro o un proveedor de servicios de confianza.
• Evitarlo: dejar de hacer lo que conlleva el riesgo (no recopilar datos que no necesitas).

Una protección que añades se llama control. Cada control tiene un costo (dinero, tiempo, comodidad), por lo que el trabajo real de un defensor es obtener la mayor reducción de riesgo posible con el presupuesto.

El riesgo cero no existe. Incluso una computadora apagada en una habitación cerrada puede ser robada o fallar. El objetivo es un riesgo que sea comprendido y aceptable, no cero.