Análisis de riesgos

La definición de riesgo según ISO es “potencial de que una amenaza determinada explota las vulnerabilidades de un activo o grupo de activos ocasionando pérdida o daño a la organización”.

Elanálisis de estos riesgos se basa en la detección de las amenazas, las cuales pueden ser operacionales, financieras, del entorno, etcétera. Pero independientemente de su naturaleza, el objetivo seráproteger la confidencialidad, integridad y disponibilidad de la información y de la infraestructura de la organización.

En la identificación de activos se debe incluir:

Hardware.
Software.Empleados.
Servicios.
Imagen/Reputación.
Documentos (en papel y digitales).

Estimación y tratamiento de riesgos

El proceso de administración de riesgos se compone básicamente de 3 fases. La primeraes el análisis de los riesgos en la que se inicia identificando los activos del negocio, sus objetivos y los recursos necesarios para el logro de estos objetivos. El análisis de riesgos se enfoca adetectar cuáles son los activos críticos para lograr los objetivos.


Una vez identificados los activos críticos, la siguiente fase es realizar una evaluación de estos riesgos identificando lasamenazas potenciales para cada uno de los activos. Adicionalmente, se evalúa la probabilidad de que el evento ocurra y en caso de ocurrir, cuál sería el impacto en la empresa.

Los riesgos máscomunes provienen de:

Amenazas físicas y robos.
Errores humanos.
Errores en las aplicaciones.
Fallas en los equipos.
Problemas del medio ambiente (fallas de corriente eléctrica por ejemplo).Software malicioso (virus, spywares, etcétera).
Una vez identificados los riesgos, la siguiente fase es definir los controles que puedan mitigar los riesgos a un nivel aceptable establecido por la altadirección. Recuerda que los controles tienen como propósito reducir la probabilidad de ocurrencia de una amenaza y detectarla de manera oportuna.

A su vez, la evaluación de riesgos identificará y...