Gestión estratégica de seguridad en la empresa - Anetcom

Por el contrario, qué ocurre cuando le haces esta pregunta al responsable de
sistemas sobre el servicio de correo electrónico o navegación en Internet. En
estos casos, lo habitual es que el responsable de sistemas conteste que no lo
sabe; sin embargo, es capaz de asegurar el alto número de incidencias y/o el
número de coscorrones que le llegarían.
Obviamente, si se hablase sobre aspectos relacionados con la confidencialidad
o integridad, las discrepancias o la complejidad serían aún mayores.
Aun contemplando únicamente la característica de disponibilidad, es complicado
patrocinar la implantación de salvaguardas globales. Puesto que
influyen a la totalidad de la entidad, estos análisis y selección de contramedidas
deben ser patrocinados y financiados desde los estamentos más altos de
la organización.
Adicionalmente, los requisitos de seguridad son bastante particulares según
el sector y relativamente dinámicos. Consecuentemente, puesto que uno de
los aspectos de mayor consideración a la hora de cuantificar el riesgo es la
valoración del activo o del impacto. Algo que antes era considerado de bajo
riesgo puede haber evolucionado hasta considerarse en la actualidad como
crítico. Con el fin de evitar falsas sensaciones de seguridad es importante
mantenerlo actualizado.
Paralelamente, a la hora de abordar un análisis de riesgos es fácil caer en la
tentación de considerar la disponibilidad como la característica principal de
la seguridad. La disponibilidad es un concepto que prácticamente todos
conocen, que han sufrido en alguna ocasión y que fácilmente es asociado a
pérdidas. Seguro que para muchas entidades la disponibilidad de sus sistemas
es la piedra filosofal; sin embargo, teóricamente hablando es cuestionable
abordar el Plan de Continuidad de un CPD valorado en 10 millones de
euros con un 0,1% de probabilidad de que un desastre natural lo inutilice. A
menos, claro está, que dicho CDP dé soporte al negocio de una cantidad
nada despreciable de euros anuales.
Tal y como se ha mencionado con anterioridad, la valoración del riesgo relacionado
con la disponibilidad de los sistemas de información es relativamente
sencilla. Sin embargo, ¿Qué ocurre cuando se tratan las otras dos dimensiones
de la seguridad?
39