ESTRATEGIA DE SEGURIDAD

 

Una estrategia de seguridad delineada por decisiones basadas en riesgos le permite a una compañía desarrollar metas de seguridad más prácticas y realistas y emplear sus recursos de una manera más efectiva. También brinda cumplimiento, no como un fin en sí mismo, sino como una consecuencia natural de un planteamiento de seguridad fuerte y optimizado.

Aunque una estrategia de seguridad basada en riesgos requiere de una planeación minuciosa, así como de monitoreo y evaluación permanentes, no tiene por qué ser un proceso complejo en demasía. Hay cinco pasos clave para implementar la seguridad basada en riesgos y, aunque consumen cierto tiempo, alinearán la seguridad con las metas de la compañía.

 

Paso 1: Avalúo de los activos

Determine cuáles son los activos de información clave de la compañía, dónde están y quién los tiene. Mire más allá de las características materiales para determinar su valor. Incluya cualquier impacto al negocio y costos asociados con la confidencialidad, integridad o disponibilidad de un activo comprometido dentro de una evaluación, tales como una ganancia perdida por el colapso del sistema de registro de pedidos o el daño en la reputación causado por el hackeo de un sitio web.

Evaluar los activos de esta manera asegura que a aquéllos que son los más importantes para la continuidad diaria de la empresa se les dé la máxima prioridad cuando se trate de seguridad.

Paso 2: Identificación de amenazas

A continuación, identifique quién podría querer robar o dañar los activos identificados en el paso uno, así como por qué y cómo podrían hacerlo. Esto puede incluir competidores, naciones hostiles, empleados molestos o clientes inconformes o descontentos, terroristas y activistas, así como amenazas no hostiles, tales como un empleado sin pericia. También considere la amenaza que representan los desastres naturales como inundaciones e incendios.

Cada amenaza identificada precisa que le sea asignado un nivel de amenaza basado en la probabilidad de que ocurra. La probabilidad de que un escenario en particular ocurra requerirá aportaciones por parte de los administradores del negocio para proveer conocimiento específico del sector que añadir a las propias evaluaciones de amenazas del equipo de seguridad.

 

Paso 3: Identificación de vulnerabilidades

Una vulnerabilidad es una debilidad que una amenaza puede explotar para abrir una brecha en la seguridad y robar o dañar activos clave. Durante este paso, las pruebas de penetración y las herramientas automatizadas de escaneo de vulnerabilidad pueden ayudar a identificar las vulnerabilidades en los programas y la red de trabajo.

Note que las vulnerabilidades físicas también deben ser tomadas en cuenta. ¿Se encuentran patrullados y seguros los perímetros? ¿Son revisados los extintores contra incendios periódicamente? ¿Se prueban los sistemas del generador de emergencia?

Las vulnerabilidades asociadas con los empleados, contratistas y proveedores también deben ser consideradas –ya que estos grupos son susceptibles a los ataques de ingeniería social.

 

Paso 4: Perfil de riesgo

Una vez que los activos de una organización, las amenazas y las vulnerabilidades han sido identificados, el perfil de riesgo puede comenzar. El riesgo puede ser considerado como la probabilidad de que una amenaza aproveche una vulnerabilidad, resultando así en un impacto al negocio. El proceso de perfil de riesgo evalúa los controles y protecciones existentes y mide el riesgo para cada combinación de activo-amenaza-vulnerabilidad y luego le asigna un puntaje de riesgo. Estos puntajes están basados en el nivel de amenaza y el impacto en la compañía si el riesgo de verdad ocurriese.

El enfoque basado en riesgos le permite a una empresa priorizar correctamente las vulnerabilidades que ha identificado y concentrar sus esfuerzos en los riesgos que son más significativos para sus operaciones.

 

Paso 5: Tratamiento de riesgos

Los riesgos van desde aquéllos lo suficientemente bajos como para que una compañía pueda admitirlos sin un impacto adverso hasta aquéllos tan severos que deben ser evitados a toda costa. Una vez que cada riesgo ha sido evaluado, una decisión debe ser tomada para tratarlo, transferirlo, tolerarlo o eliminarlo. Cada decisión debe ser documentada junto con las razones que llevaron a ella. Repita el proceso para cada escenario de amenaza de tal suerte que los recursos puedan ser aplicados a los riesgos que probablemente tendrán el efecto más significativo en el negocio. Una vez que estas decisiones han sido implementadas, lleve a cabo simulacros de amenazas clave para asegurarse de que los nuevos controles de seguridad realmente mitiguen los riesgos más peligrosos.