Las necesidades de protección de un sistema informático formado por diferentes departamentos con puestos de trabajo tanto presencial como teletrabajo, se establecen mediante la realización de un análisis de riesgos.
Dicho de otro modo, es determinar en qué consiste el nivel de riesgo que la empresa está soportando.
* Análisis de riesgos: Es el proceso dirigido a determinar la probabilidad de materialización de las amenazas sobre los bienes informáticos e implica la identificación de los bienes a proteger, las amenazas que actúan sobre ellos, su probabilidad de ocurrencia y el impacto que dichas amenazas puedan causar sobre los bienes.
* La realización del análisis de riesgos debe contener:
* En el proceso de análisis de riesgos se pueden diferenciar dos aspectos:
La gestión de riesgos implica la clasificación de las alternativas para manejar los riesgos en los que puede estar sometido un bien informático dentro de los procesos de una empresa. Implica una estructura bien definida, con controles adecuados y su conducción mediante acciones factibles y efectivas.
Estas medidas se denominan generalmente tratamiento de riesgos. Para ello se cuenta con las técnicas de manejo del riesgo que se enumeran a continuación:
* Evitar:
Impedir el riesgo con cambios significativos por mejoramiento, rediseño o eliminación en los procesos, siendo el resultado de adecuados controles y acciones realizadas. Por ejemplo, sustituyendo el activo por otro que no se vea afectado por la amenaza o eliminando la actividad que lo produce.
* Reducir:
Cuando el riesgo no puede evitarse por dificultades de tipo operacional, la alternativa puede ser su reducción hasta el nivel más bajo posible. Esta opción es la más económica y sencilla y se consigue optimizando los procedimientos y con la implementación de controles. Para conseguir reducir el riesgo se puede:
* Transferir, compartir o asignar a terceros:
En ocasiones la empresa no tiene la capacidad de tratamiento y precisa la contratación de un tercero con capacidad para reducir y gestionar el riesgo dejándolo por debajo del umbral. Se trata de buscar un respaldo contractual para compartir el riesgo con otras entidades, por ejemplo, alojamiento, hospedaje, externalización de servicios, entre otros.
* Retener:
Cuando se reduce el impacto de los riesgos pueden aparecer riesgos residuales. Dentro de las estrategias de gestión de riesgos de la entidad se debe plantear cómo manejarlos para mantenerlos en un nivel mínimo.
* Aceptar:
Se asume el riesgo, bien porque está debajo del umbral aceptable de riesgo bien en situaciones en las que los costes de su tratamiento son elevados y aun siendo riesgos de impacto alto su probabilidad de ocurrencia es baja o porque aun a pesar del riesgo la empresa no quiere dejar de aprovechar la oportunidad que para su negocio supone esa actividad arriesgada.
Centrándonos en la propia información y qué riesgos podemos tener en la empresa, para poder realizar las medidas de análisis y tratamiento anteriormente mencionadas, podemos inicialmente determinar las propiedades de la información en una empresa:
* Confidencialidad: La información sólo tiene que ser accesible o divulgada a las personas que tengan autorización para recibirla.
* Integridad: La información debe tener el contenido íntegro y tal y como se generó por parte del emisor sin manipulación de terceros.
* Disponibilidad: La información debe estar accesible de forma sencilla para las personas que tengan autorización.
En materia de ciberseguridad, debes tener clara la relación entre tres conceptos muy vinculados pero que tienen connotaciones diferentes:
* Vulnerabilidad: Aquella debilidad o fallo en un sistema de información que pone en riesgo la seguridad de nuestros activos de información. Existen vulnerabilidades técnicas, referidas a los fallos en el hardware o software informático y humanas (ausencia de protocolos, equipos inexpertos, instalaciones de quipo poco seguras,...).
Ejemplo: La falta de formación de las personas que tratan con información confidencial de clientes, sería una vulnerabilidad del sistema de gestión de la información de la empresa.
* Amenaza: Cualquier elemento que aprovecha una vulnerabilidad para atentar contra la seguridad de un activo de información. Cuando una amenaza aprovecha la debilidad de un sistema de información se habla de "incidente de seguridad". Algunos ejemplos:
* Riesgo: Según la normativa aplicable a este ámbito (ISO/IEC 27005 sobre Gestión de riesgos de la Seguridad de la Información), un riesgo se define como: la posibilidad de que una amenaza concreta pueda aprovechar una vulnerabilidad para causar una pérdida o daño en un activo de información.
¿Qué tipo de amenazas y vulnerabilidades podemos encontrarnos en una empresa relativas a la seguridad de la información?
Podemos diferenciarlas entre amenazas y vulnerabilidades:
Amenazas:
Vulnerabilidades: