Gestión estratégica de seguridad en la empresa - Anetcom

34
¿Por qué incluir en un inventario de activos los servicios y procesos de negocio
de la organización? El modelo de análisis y gestión de riesgos es capaz de
identificar las amenazas y vulnerabilidades a las que se encuentran sometidos
los activos de información. En caso de materializarse una determinada
amenaza en forma de un incidente de seguridad, el impacto tendrá una doble
vertiente:
• En primer lugar, afectará al propio activo de información, en forma de
degradación o pérdida del mismo.
• En segundo lugar, la degradación o pérdida de un activo afectará a los
procesos de negocio que lo utilizaban y, por ende, a los servicios proporcionados
por la organización.
Es decir, las amenazas se materializan, explotando las vulnerabilidades, en
los activos de información, mientras que el impacto repercute en los servicios
y procesos de negocio.
Un enfoque alternativo es pensar que los activos de información tienen asociado
un determinado valor. ¿De qué depende el valor de un activo? Fundamentalmente
de su importancia desde la perspectiva de los servicios y procesos
de negocio de la organización. Así, un activo de escasa relevancia desde la
perspectiva de los procesos de negocio tiene poco valor para la organización.
2.2.2. Amenazas de seguridad y vulnerabilidades
Establecido el mapa o inventario de activos de información de la organización,
el análisis de riesgos prosigue con la identificación de las amenazas y
vulnerabilidades.
Por amenaza debe entenderse cualquier escenario o situación que potencialmente
puede materializarse como un incidente de seguridad. El abanico de
amenazas al que se encuentra sometido el inventario o mapa de activos de la
organización es variado:
• Desastres naturales: terremotos, huracanes, etc.
• Siniestros: inundaciones, incendios, etc.
• Accidentes.