Gestión estratégica de seguridad en la empresa - Anetcom

• Agresiones.
• Etc.
Toda organización debe elaborar una lista exhaustiva de las amenazas a las
que pueda estar sometida para, posteriormente, evaluar la probabilidad de
que dicha amenaza se materialice sobre los activos de información.
Por ejemplo, al considerar como posible amenaza un terremoto, la organización
debe analizar la probabilidad de ocurrencia a partir de los informes de
actividad sísmica de la zona en la que se ubiquen los activos de información
en cuestión.
En ocasiones, como el caso de la amenaza por terremoto, la probabilidad
puede calcularse a partir de información estadística existente. En otras ocasiones,
esto no será posible, por lo que tendremos que recurrir a estimaciones
y aproximación.
A la hora de estimar la probabilidad de materialización de una amenaza, es
necesario tener en consideración si el activo de información es vulnerable o
no ante dicha amenaza.
Veámoslo con un ejemplo: el virus del sarampión. ¿Cuál será la probabilidad
de materialización de esta amenaza? Pues dependerá de si nos hemos vacunado
o no contra dicho virus. Toda persona vacunada contra el virus del
sarampión será inmune a dicho virus, es decir, no será vulnerable ante el
virus. La probabilidad de contraer el virus es cero. Sin embargo, una persona
que no haya sido vacunada contra el virus tendrá una cierta probabilidad,
mayor que cero, de contraer la enfermedad.
En el caso de las amenazas y activos de información, estamos ante el mismo
caso. La pregunta a hacerse para estimar la probabilidad de materialización
es, en primer lugar, si el activo es o no vulnerable ante determinada
amenaza.
Existen amenazas ante las cuales todos lo activos son vulnerables: desastres,
siniestros y accidentes. Existen otras antes las cuales, dependiendo de las
medidas y controles de seguridad adoptados por la organización, se puede o
no ser vulnerable: las agresiones y actos intencionados.
35