Gestión de riesgos de seguridad de la información: Comprensión de los componentes

Definición de riesgo

Según la metodología de evaluación de riesgos OCTAVE, del Instituto de Ingeniería de Software de la Universidad Carnegie Mellon, el riesgo es: "La posibilidad de sufrir daños o pérdidas". La amenaza es un componente del riesgo, y se puede considerar como: Un agente de amenazas, ya sea humano o no humano, toma alguna acción, como identificar y explotar una vulnerabilidad, que da lugar a algún resultado inesperado y no deseado, es decir, pérdida, modificación o divulgación de información, o pérdida de acceso a la información. Estos resultados tienen impactos negativos en la organización. Estos impactos pueden incluir: Pérdida de ingresos o clientes, pérdida de diferenciación de mercado, los costos de respuesta y recuperación por el incidente, y el costo de pagar multas y sanciones regulatorias.

Componentes del riesgo de seguridad de la información

El riesgo de seguridad de la información tiene varios componentes importantes:

• Agente de amenaza: Entidad humana o no humana que explota una vulnerabilidad;
• Vulnerabilidad: Lo que explota el actor de la amenaza;
• Resultados: El resultado de la explotación de una vulnerabilidad; e
• Impacto: Consecuencias de los resultados no deseados. No confunda los resultados con los impactos.

El último y más importante componente del riesgo de seguridad de la información es el activo –información, proceso, tecnología– que fue afectado por el riesgo. Suponiendo que el activo en riesgo no puede ser eliminado, el único componente del riesgo de seguridad de la información que puede ser controlado es la vulnerabilidad. Solo hay algunas cosas que se pueden hacer para controlar una vulnerabilidad:

• Eliminar la vulnerabilidad. Si no existe, entonces no puede ser explotada;

O, si la vulnerabilidad no puede ser eliminada:

• Reducir la probabilidad de explotación de la vulnerabilidad;
• Reducir la gravedad del impacto resultante de la explotación de la vulnerabilidad; o
• No hacer nada, aceptar el riesgo.

Un caso problemático es el de la vulnerabilidad de día cero, pues, por definición, una organización no puede protegerse contra los resultados e impactos específicos de esa vulnerabilidad desconocida, y no tiene la oportunidad de crear estrategias para reducir la probabilidad y el impacto.

Gestión de riesgos

Por lo tanto, la gestión de riesgos de seguridad de la información es el proceso de identificar, comprender, evaluar y mitigar los riesgos –y sus vulnerabilidades subyacentes– y el impacto en la información, los sistemas de información y las organizaciones que dependen de la información para sus operaciones. Además de identificar los riesgos y las medidas de mitigación del riesgo, un método y proceso de gestión del riesgo ayudará a:

• Identificar los activos críticos de información. Un programa de gestión de riesgos puede ampliarse para identificar también a personas críticas, procesos de negocio y tecnología.
• Comprender por qué los activos críticos escogidos son necesarios para las operaciones, la realización de la misión y la continuidad de las operaciones.

Para cumplir con la gestión de riesgos como componente de preparación para la ciberseguridad, una organización debe crear un sólido programa de evaluación y gestión del riesgo de la seguridad de la información. Si ya existe un programa de gestión del riesgo empresarial (ERM), un programa de gestión de riesgos de seguridad de la información puede soportar el proceso de ERM.

Los recursos para la construcción de un programa de gestión de riesgos de seguridad de la información incluyen:

• Publicación Especial NIST 800-39, Gestión del Riesgo de Seguridad de la Información.
• Publicación Especial NIST 800-30, Guía para la Realización de Evaluaciones de Riesgo.

Otros elementos que apoyan un programa de gestión de riesgos de seguridad de la información incluyen:

• Un programa de gestión de activos,
• Un programa de gestión de la configuración, y
• Un programa de gestión del cambio.