Gestión estratégica de seguridad en la empresa - Anetcom

40
Cuando se aborda la determinación del impacto relacionado con la confidencialidad
y/o integridad, la valoración se complica más aún. Cuánto vale la información
que tiene una entidad o qué impacto supone su revelación pública.
Esta pregunta me la formuló en su momento un cliente, lo cierto es que es una
pregunta bastante complicada. Sin embargo, la respuesta formulada a la gallega
fue prácticamente inmediata. En el supuesto caso de que pudieseis, y que esto
no fuese ilícito, cuánto estaría dispuesto a pagar vuestro departamento comercial
por disponer de esa misma información de vuestra feroz competencia.
Pensemos en un gran banco y en lo que le sucedería si sus sistemas no estuviesen
disponibles durante 9 horas laborables. Posiblemente las pérdidas serían
considerables. Ahora, valoremos la posibilidad de que toda la información
relacionada con sus clientes fuese repentinamente publicada en medios alternativos,
posiblemente el banco las pasaría canutas. Por último, pensemos que
todos los datos de sus clientes y que las transacciones realizadas durante el
último mes fuesen erróneas. Lo cierto es que es difícil escoger joyas entre estas
posibilidades. Sin embargo, si se le pregunta a un banco o se analizan los
escenarios propuestos, posiblemente se concluirá que los impactos son
importantes, pero que la probabilidad de ocurrencia no es la misma.
Como entidad privada, un banco puede tener más o menos clara la valoración
de su información. Sin embargo, siendo aún más quisquilloso, cómo se valorarían
los riesgos enumerados en los tres escenarios anteriores en una Administración
Pública. Qué ocurriría si esto le sucediese a la Agencia Tributaria.
Básicamente, estos son los ejercicios que hay que realizar a la hora de abordar
un análisis de riesgos de los sistemas de información. Obviamente, es
complejo determinar el impacto económico en cualquiera de los casos. Sin
embargo, es relativamente sencillo llevar a cabo estudios cualitativos basados
en las premisas enumeradas en los capítulos anteriores.
En cualquier caso, a la hora de abordar un análisis de riesgos hay que tener
tres consideraciones adicionales. La primera consideración es ser metódico
para poder realizar el análisis tantas veces como sea necesario a lo largo del
tiempo. La segunda consideración es ser realista, el análisis de riesgos será
tan bueno como la información disponible. Adicionalmente, hay que ser riguroso,
y justificar los impactos. Para los responsables de servicios, los suyos
son siempre los más críticos.