Comprende los riesgos, las amenazas y las vulnerabilidades Por Google

Comprende los riesgos, las amenazas y las vulnerabilidades

Cuando ocurran eventos de seguridad, necesitarás trabajar en estrecha coordinación con otras personas para solucionar el problema. Hacerlo rápidamente requiere una comunicación clara entre tú y tu equipo para realizar el trabajo.

Anteriormente, aprendiste sobre tres términos de seguridad fundamentales:

• Riesgo: Cualquier hecho que pueda afectar la confidencialidad, integridad o disponibilidad de un activo.

• Amenaza: Cualquier circunstancia o evento que pueda afectar negativamente a los activos.

• Vulnerabilidad: Debilidad que puede ser aprovechada por una amenaza.

Estas palabras suelen utilizarse indistintamente en la vida cotidiana. Sin embargo, en el ámbito de la seguridad, se emplean para describir conceptos muy específicos relacionados con la respuesta y planificación de eventos de seguridad. En esta lectura, aprenderás qué representa cada término y cómo están relacionados.

Riesgo de seguridad

Los planes de seguridad se basan en la forma en que una organización define el riesgo. Sin embargo, esta definición puede variar ampliamente según la organización. Como recordarás, un riesgo es todo aquello que puede afectar la confidencialidad, integridad o disponibilidad de un activo. Dado que cada empresa valora activos específicos, tienden a diferir en el modo en que interpretan y abordan el riesgo.

Una manera de interpretar el riesgo es considerar los posibles efectos que los eventos negativos pueden tener en una empresa. Otra forma de presentar esta idea es con el siguiente cálculo:

Probabilidad x Impacto = Riesgo

Por ejemplo, corres el riesgo de llegar tarde cuando conduces un automóvil al trabajo. Este evento negativo es más probable que suceda si se pincha un neumático en el camino. Y el impacto podría ser grave, como perder tu empleo. Todos estos factores influyen en cómo abordas el desplazamiento al trabajo todos los días. Lo mismo ocurre con la manera en que las empresas manejan los riesgos de seguridad.

En general, en este campo calculamos el riesgo para ayudar a:

• Prevenir eventos costosos y perjudiciales

• Identificar mejoras que se pueden realizar en sistemas y procesos

• Determinar qué riesgos se pueden tolerar

• Priorizar los activos críticos que requieren atención

El impacto comercial de un evento negativo siempre dependerá del activo y la situación. Como profesional de seguridad, tu enfoque principal será centrarte en el lado de la probabilidad, abordando ciertos factores que aumentan las posibilidades de que ocurra un problema.

Factores de riesgo

A lo largo de este curso, descubrirás que en este campo existen dos amplios factores de riesgo de los que deberás preocuparte:

• Amenazas

• Vulnerabilidades 

El riesgo de que un activo sufra daños o se vea perjudicado depende en gran medida de si una amenaza aprovecha las vulnerabilidades.

Aplicándolo al riesgo de llegar tarde al trabajo, una amenaza sería un clavo que perfora tu neumático, ya que los neumáticos son vulnerables a objetos afilados en la carretera. En términos de planificación de seguridad, podrías reducir la probabilidad de este riesgo conduciendo por una carretera limpia.

Categorías de amenazas

Las amenazas son circunstancias o eventos que pueden tener un impacto negativo en los activos. Existen muchos tipos diferentes de amenazas, pero generalmente se clasifican en dos categorías: intencionales e involuntarias.

Por ejemplo, una amenaza intencional podría ser un hacker malicioso que obtiene acceso a información confidencial al atacar una aplicación mal configurada. En cambio, una amenaza involuntaria podría ser un empleado que sostiene la puerta abierta para una persona desconocida y le otorga acceso a un área restringida. Ambas situaciones pueden dar lugar a un evento que requiere una respuesta adecuada.

Categorías de vulnerabilidad

Las vulnerabilidades son debilidades que pueden ser aprovechadas por las amenazas. Existen diversas vulnerabilidades, pero se pueden clasificar en dos categorías: técnicas y humanas.

Por ejemplo, una vulnerabilidad técnica podría ser un software mal configurado que permita a una persona no autorizada acceder a datos importantes. Mientras tanto, una vulnerabilidad humana podría ser un empleado olvidadizo que pierde su tarjeta de acceso en el estacionamiento. Cualquiera de estas dos situaciones puede generar riesgos.

Conclusiones clave

Los riesgos, las amenazas y las vulnerabilidades tienen significados muy específicos en el ámbito de la seguridad. Comprender la relación entre ellos te permitirá construir una sólida base mientras desarrollas habilidades y conocimientos esenciales como analista de seguridad. Esto te ayudará a ganar credibilidad en la industria al demostrar que posees un conocimiento práctico en el campo y también señalará a tus futuros colegas que eres parte de la comunidad global de seguridad.

Requisitos comunes de clasificación

La gestión de activos es el proceso de realizar un seguimiento de los activos y los riesgos que los afectan. La premisa detrás de este proceso es simple: solo puedes proteger lo que sabes que tienes.

Previamente, aprendiste que identificar, seguir y clasificar los activos son partes fundamentales de la gestión de activos. En esta lectura, profundizarás en el propósito y los beneficios de la clasificación de activos, incluyendo los niveles comunes de clasificación.

Por qué es importante la gestión de los activos

Mantener los activos seguros requiere de un sistema eficiente que permita a las empresas operar sin inconvenientes. Establecer estos sistemas requiere contar con un conocimiento detallado de los activos de un entorno determinado. Por ejemplo, un banco necesita tener dinero disponible diariamente para atender a sus clientes, por lo que debe implementar equipos, dispositivos y procesos que garanticen la disponibilidad del dinero y su seguridad contra accesos no autorizados.

Las organizaciones protegen diversos tipos de activos. Algunos ejemplos podrían incluir:

• Activos digitales como datos de clientes o registros financieros.

• Sistemas de información que procesan datos, como redes o software.

• Activos físicos que pueden incluir instalaciones, equipos o suministros.

• Activos intangibles como la reputación de la marca o la propiedad intelectual.

Independientemente de su tipo, es crucial que cada activo sea clasificado y contabilizado. Como recordarás, la clasificación de activos es la práctica de etiquetarlos según cuán sensibles e importantes son para una organización. Determinar estos factores puede variar, pero evaluar cuán sensible e importante es un activo generalmente requieren conocer la siguiente información:

• Lo que tienes (qué tipo de activo es)

• Dónde se encuentra ubicado

• Quién es el propietario

• Cuál es su nivel de importancia para la organización

Una organización que clasifica sus activos lo hace en función de estas características. Esto les ayuda a determinar cuán sensible es un activo y su valor.

Las clasificaciones comunes de los activos

La clasificación de activos ayuda a las organizaciones a implementar una estrategia efectiva de gestión de riesgos. También les permite priorizar los recursos de seguridad, reducir los costos de TI y cumplir con las regulaciones legales.

El esquema de clasificación más común consta de cuatro niveles: restringido, confidencial, solo interno y público.

• Restringido es el nivel más alto. Esta categoría está reservada a activos muy sensibles, como la información que solo se proporciona a quienes necesitan conocerla..

• El nivel confidencial se refiere a los activos cuya divulgación puede provocar un impacto negativo significativo en una organización.

• El nivel solo interno describe activos disponibles para el personal de una empresa y socios comerciales.

• Público es el nivel más bajo de clasificación. Estos activos no tienen consecuencias negativas para la organización si se divulgan.

La forma en que se aplica este esquema depende en gran medida de las características de un activo. Puede sorprenderte saber que identificar al propietario de un activo es a veces la característica más complicada de determinar.

Desafíos de la clasificación de la información

Identificar al propietario de ciertos activos es sencillo, como en el caso de un edificio. Sin embargo, otros tipos de activos pueden ser más complicados de identificar, especialmente cuando se trata de información.

Por ejemplo, una empresa podría proporcionar una laptop a uno de sus empleados para que trabaje de forma remota. En esta situación, podríamos asumir que la organización es la propietaria del activo. Pero, ¿qué sucede si el empleado utiliza la laptop para asuntos personales, como guardar sus fotos?

La propiedad es solo una de las características que hacen que la clasificación de la información sea un desafío. Otra preocupación es que la información puede tener múltiples valores de clasificación al mismo tiempo. Por ejemplo, piensa en una carta que te envían por correo. La carta puede contener información pública que está bien compartir, como tu nombre. Sin embargo, también puede incluir información bastante confidencial que preferirías que solo estuviera disponible para ciertas personas, como tu dirección. A medida que avances en el programa, aprenderás más sobre cómo abordar estos desafíos.

Conclusiones clave

Cada empresa es única, y cada una tiene requisitos específicos que deben abordarse al diseñar su estrategia de seguridad. Como profesional de seguridad, conocer las razones y el método por el cual las empresas clasifican sus activos es una habilidad esencial. La información es uno de los activos más importantes en el mundo actual, y tu rol será protegerla de daños, divulgación y uso indebido. Comprender los desafíos que  enfrentan las empresas al clasificar este tipo de activos es clave para ayudarlas a satisfacer sus necesidades de seguridad de manera efectiva.