Cómo elaborar un plan de riesgos de ciberseguridad
28/01/2020

Cómo elaborar un plan de riesgos de ciberseguridad

Las empresas y principalmente las pymes están expuestas a innumerables amenazas proveniente de ataques muchas veces poco sofisticados, siendo el más común el correo electrónico. Los ataques por correo electrónicos tienen un gran éxito por su sencillez, solamente utilizando el nombre de algún compañero de tu oficina y un titulo de mensaje como puede ser: Factura impagada, URGENTE, puede hacer que el nerviosismo del momento nos haga abrir ese correo.

Ya estamos infectados, de nada sirve lamentarse, si hemos hecho bien los deberes, actuaremos según nuestro plan, y lo que para muchas organizaciones sin plan podría ser un día entero o días, para nosotros puede ser cuestión de horas. Pero ¿En qué consiste un buen plan de riesgos?

 

Definir el alcance

Cuando se plantea un plan de riesgos, si pudiéramos preguntar al responsable de la compañía sobre que habría que proteger, seguramente todos dirían todo. Pero abarcar mucho viene seguido de una factura mucho más grande solo permitida por compañías que no pueden estar ni un minuto sin dar servicio (Entidades financieras, gobiernos, etc.), para el resto de las compañías hay que tener un alcance más realista, como puede ser que sería lo imprescindible que no fallará, o que debería de ser de lo primero en volver a estar operativos. Tener claro esto es una de las tareas más complicadas que se enfrentan tanto la empresa como quien ofrece los servicios de ciberseguridad. Por ende, se suele utilizar un plan de riesgos departamental, por ejemplo, que en el departamento de administración el programa que emite y paga facturas sea de lo primero en funcionar, en el departamento de informática que los servidores que dan acceso a internet y a los ordenadores estén operativos lo antes posible, etc.

 

Identificar los activos.

En esta fase se debe de identificar los activos más importantes que guardan relación con cada departamento o proceso que se está evaluando. Podemos utilizar una hoja de Excel donde apuntar los activos y procesos que hace cada departamento, quien es su responsable, su localización y si es crítico o no, con ello la persona encargada de volver a hacer funcionar ese activo o proceso, tendrá muy claro donde se encuentra y hacer una lista del orden de prioridades.

 

Identificar las amenazas

Identificar las amenazas para una persona experta es de las tareas más complicadas, ya que es muy amplio el abanico de posibilidades, pero hay que hacer un esfuerzo y reducir ese abanico en lo más práctico. Por ejemplo, si de repente la empresa no puede acceder a los archivos que tienen en el servidor, y se concluye que es a causa del servidor, en nuestra lista de posibles amenazas deberían de ser: Se ha roto una cañería en la sala de servidores, un golpe o fuego a causa del calor, pero en nuestra lista de amenazas no podemos poner cosas imposibles. Ya que al ser una lista de posibles causas se ha tenido que hacer un plan para prevenirlas, cuanta más haya el plan será más costoso.

Identificar vulnerabilidades

Una de las fases más importantes es identificar los puntos débiles de nuestro sistema. Justamente lo que se quiere hacer en un plan de riesgos es minimizar cualquier riesgo y la entrada de estos siempre será por las vulnerabilidades. Por ejemplo, tener un ordenador sin la última versión del sistema operativo o sin un antivirus es una vulnerabilidad que hay que solventar. Por otra parte, es importante que igual que se identifican las vulnerabilidades es importante también tener documentado las medidas de seguridad de las cuales la empresa ya dispone, como puede ser la documentación del Firewall, sais, etc.

 

Evaluar el riesgo

Con toda la información anterior ya somos capaces de evaluar el riesgo. Para cada amenaza se debe de estimar la probabilidad que existe de que esta se materialice y el impacto que supondrá al negocio. Este cálculo se puede hacer de forma cualitativa (Baja, Media, Alta) o de forma cuantitativa (1, 2, 3). Si se utiliza un método cuantitativo para poder calcular el riesgo puedes usar la siguiente fórmula:

    RIESGO=PROBABILIDAD x IMPACTO

 

Vamos a ver un ejemplo:

Supongamos que nuestro servidor central alimenta todo el core de nuestro negocio, si a este le pasase algo seguramente estaríamos muchas horas sin poder trabajar, además la sala del servidor es una sala sin las condiciones más adecuadas, con ello tenemos un riesgo alto y con probabilidad alta por lo tanto el impacto será alto. Ahora imaginemos que acondicionamos la sala de forma más adecuada quizás el riesgo sea medio pero el impacto en el caso que suceda sigue siendo alto. Para ello podemos optar por tener un servidor replicado que en el caso que a este le pasase algo se activara un secundario, con estas medidas hemos conseguido que un evento muy peligroso pase a ser de impacto bajo.

Tratar el riesgo

La última fase del plan es después de evaluar todos los riesgos, será llegar a un acuerdo de que riesgos con cierto nivel se van a tratar, por ejemplo, aquellos que tengan un nivel 3 o más, se van a solventar por tener un impacto en la organización más alto.

 

Tener un buen plan de riesgo será una de las tareas de muchas empresas para el 2020, la ciberseguridad es algo que ya todos conocemos y cada día se registran cientos de ataques de formas totalmente diversas. ¿Este año, tu también harás tu plan?

Comparte en:

¿Qué formación necesitas para ser community manager?
18/02/2020
Raquel Solana

¿Qué formación necesitas para ser community manager?

El community manager es el responsable de gestionar la comunidad online alrededor de una marca a través de redes sociales, creando y manteniendo relaciones estables c...

rebranding
17/02/2020

Cómo hacer un rebranding

El rebranding es un camino de obstáculos y fases que será todo un reto para los más valientes diseñadores, no dudes en utilizar este post para ayudarte, ¡vamos a...

¿Qué es la API de lenguaje natural de Google?
14/02/2020
Carlos Yañez

¿Qué es la API de lenguaje natural de Google?

En el post de hoy hablaremos de la API de lenguaje natural desarrollada por Google, veremos de que se trata y mostraremos sus posibilidades y ventajas que puede ofrece...