Metodologías de evaluación de riesgos
Adoptar un proceso formal de evaluación de riesgos ofrece la información que se necesita para establecer prioridades. Hay muchas formas de realizar una evaluación de riesgos, cada una con sus propios beneficios e inconvenientes.
Las organizaciones pueden adoptar varios enfoques para evaluar los riesgos: cuantitativos, cualitativos, semi-cuantitativos, basados en activos, basados en vulnerabilidades o basados en amenazas. Cada metodología puede evaluar la postura de riesgo de la organización.
Cuantitativo
Los métodos cuantitativos aportan rigor analítico al proceso. Los activos y riesgos reciben valores económicos por lo que cuando se presenta la evaluación ante un comité de dirección en términos financieros es más fácilmente comprensible. Sin embargo, una metodología cuantitativa, además de ser más compleja, puede no ser apropiada ya que existen activos o riesgos difícilmente cuantificables y adoptar este enfoque numérico requiere decisiones de juicio que no son objetivas.
Cualitativo
Los métodos cualitativos adoptan un enfoque más empírico. Los evaluadores se reúnen con personas de toda la organización. Los empleados comparten cómo realizarían su trabajo, o como lo harían si se produce una interrupción. Los evaluadores utilizan esta información para categorizar los riesgos en escalas aproximadas como Alto, Medio o Bajo. Una evaluación de riesgos cualitativa proporciona una imagen general de cómo los riesgos afectan las operaciones de una organización y es probable que todas las personas comprendan las evaluaciones de riesgos, pero el problema radica en que estos enfoques son inherentemente subjetivos.
Semicuantitativo
En algunos casos se combinarán las metodologías cuantitativa y cualitativa para crear evaluaciones de riesgos semicuantitativas. Con este enfoque, se utiliza una escala numérica, como 1-10 o 1-100, para asignar un valor de riesgo numérico. Los elementos de riesgo se agrupan como riesgo bajo, riesgo medio y como riesgo alto en base a esta escala. Las metodologías semicuantitativas pueden ser más objetivas y proporcionar una base sólida para priorizar los elementos de riesgo.
Basado en activos
Tradicionalmente, las organizaciones adoptan un enfoque basado en activos para evaluar el riesgo de TI. Los activos se componen del hardware, el software y las redes que manejan la información de una organización, además de la información misma. Una evaluación basada en activos generalmente sigue un proceso de cuatro pasos:
- Inventario de todos los activos.
- Evaluar la efectividad de los controles existentes.
- Identificar las amenazas y vulnerabilidades de cada activo.
- Evaluar el impacto potencial de cada riesgo.
Basado en vulnerabilidad
Las metodologías basadas en vulnerabilidades amplían el alcance de las evaluaciones de riesgos más allá de los activos de una organización. Este proceso comienza con un examen de las debilidades y deficiencias conocidas dentro de los sistemas organizacionales o los entornos en los que operan esos sistemas. A partir de ahí, los evaluadores identifican las posibles amenazas que podrían explotar estas vulnerabilidades, junto con las posibles consecuencias de los exploits.
Aunque este enfoque captura más riesgos que una evaluación puramente basada en activos, se basa en vulnerabilidades conocidas y es posible que no capture toda la gama de amenazas a las que se enfrenta una organización.
Basado en amenazas
Los métodos basados en amenazas pueden proporcionar una evaluación más completa de la postura general de riesgo de una organización. Este enfoque evalúa las condiciones que crean riesgo. Una auditoría de activos será parte de la evaluación ya que los activos y sus controles contribuyen a estas condiciones.
Por ejemplo, la formación en ciberseguridad mitiga los ataques de ingeniería social. Una evaluación basada en activos puede priorizar los controles sistémicos sobre la capacitación de los empleados. Por otro lado, una evaluación basada en amenazas puede encontrar que aumentar la frecuencia de la capacitación en ciberseguridad reduce el riesgo a un costo menor.
Como hemos visto, la elección de una metodología para la evaluación de riesgos debe basarse en las necesidades específicas de cada organización y en el contexto en el que opera. Adoptar un proceso de evaluación de riesgos formal y adaptado a la realidad de la compañía es crucial para establecer prioridades efectivas y mejorar la gestión del riesgo en un entorno en constante cambio.
José Antonio Sánchez Durán, Senior Consultant & Advisor
Govertis, parte de Telefónica Tech
