Gestión estratégica de seguridad en la empresa - Anetcom

Realmente, los objetivos fundamentales de un análisis de riesgos son conocer
mejor los sistemas de información y sus dependencias con el negocio, y
poder establecer las contramedidas apropiadas acorde al nivel de riesgo que
se está dispuesto a aceptar.
En consecuencia, la Gestión del Riesgo deberá incluir por un lado el propio
análisis de riesgos, idealmente actualizado, y por otro una planificación de
acciones, tareas y proyectos que permitan a la Entidad alcanzar y mantener el
nivel de riesgo que está dispuesto a asumir.
De este modo, se parte del riesgo intrínseco, que equivale al riesgo de una
entidad sin la implantación de contramedidas, y, conforme se van aplicando
las contramedidas se podrá ir viendo cómo el riesgo efectivo disminuye.
Obviamente, para gestionar el riesgo se implantarán distintos tipos de medidas
que debieran disminuirlo. De este modo, existirán medidas técnicas,
documentales, procedimentales, funcionales, etc.
Al final, lo importante es sentirse razonablemente a gusto con el resultado del
análisis de riesgos. Dicho análisis siempre será mejorable, se podrá entrar en
mayor detalle. Se podrán incluir nuevas funcionalidades e incluso valoraciones
económicas. Sin embargo, en la elaboración del primer análisis de riesgos
es aconsejable delimitar el alcance y evitar en gran medida el detalle.
De hecho, el propio análisis nos indicará aquellos aspectos sobre los que se
deberá profundizar. Del mismo modo, si a la hora de realizar el análisis de
riesgos no se encuentra algo sorprendente, puede ser porque se conozca
demasiado bien el negocio o porque no se haya realizado con la rigurosidad
oportuna.
Si por el contrario, uno se encuentra con que la práctica totalidad de activos
de los sistemas de información tienen consideración muy crítica para las tres
dimensiones de seguridad, es que no se ha entendido correctamente el espíritu
del propio análisis o que se tiene un gran desconocimiento del negocio.
En sí, abordar la realización de un análisis de riesgos es una experiencia enriquecedora
y si hay una participación generalizada por parte de la entidad
puede ser una actividad divertida. En cualquiera de los casos, el resultado de
41