Identificación de riesgos y registro de riesgos

El riesgo es la posibilidad de sufrir una pérdida o un daño como consecuencia de que una amenaza aproveche una vulnerabilidad. En seguridad de la información, el riesgo se expresa como la combinación de la probabilidad (qué posibilidades hay de que ocurra el evento) y el impacto (qué gravedad tendría el daño). Comprender el riesgo permite a las organizaciones tomar decisiones de seguridad informadas y rentables, en lugar de intentar eliminar todas las amenazas posibles.

La identificación de riesgos comienza con tres elementos fundamentales. Un activo es cualquier cosa de valor: servidores, bases de datos, propiedad intelectual o reputación. Una amenaza es cualquier evento potencial que podría dañar un activo, como un ataque de ransomware o un empleado descontento. Una vulnerabilidad es una debilidad que una amenaza puede aprovechar, como un sistema sin parches o una política de contraseñas débil. El riesgo existe cuando las amenazas se encuentran con activos desprotegidos.

La identificación sistemática de riesgos sigue un proceso estructurado: primero, el inventario de activos cataloga todo lo que tiene valor; después, el modelado de amenazas identifica quién podría atacar y cómo; a continuación, la evaluación de vulnerabilidades encuentra debilidades en los sistemas y procesos. Por último, los analistas relacionan las amenazas con las vulnerabilidades para determinar qué activos están realmente expuestos. Este proceso suele repetirse anualmente o después de cambios importantes.

Asignar un valor a los activos permite establecer prioridades. Los activos tangibles (hardware y licencias de software) tienen valores de mercado claros. Los activos intangibles (la reputación de la marca y los datos de clientes) requieren aplicar criterios de juicio; los organismos reguladores pueden asignar un valor por registro a la PII. El método del coste de sustitución pregunta cuánto costaría recrear el activo; el impacto empresarial pregunta qué pérdida de ingresos se produciría si el activo no estuviera disponible durante 1 hora, 1 día o 1 semana.

Un registro de riesgos es un documento vivo que recoge todos los riesgos identificados en un formato estructurado y consultable. Cada entrada suele incluir: descripción del riesgo, activos afectados, origen de la amenaza, vulnerabilidad aprovechada, valoración de la probabilidad, valoración del impacto, puntuación de riesgo, controles actuales y propietario del riesgo asignado. Los registros de riesgos sirven como referencia central para las actividades de gobierno, auditoría y seguimiento de la corrección.

La columna de probabilidad valora la probabilidad de explotación (1=Rara a 5=Casi segura). La columna de impacto valora las consecuencias en términos de pérdida económica, sanción regulatoria o tiempo de inactividad operativa (1=Insignificante a 5=Catastrófico). La multiplicación de estos valores produce una puntuación de riesgo que se utiliza para establecer prioridades. El campo de riesgo residual registra el riesgo restante después de aplicar los controles, garantizando que no se dé por supuesto que llegará a cero.

Cada riesgo del registro debe tener un propietario del riesgo designado, normalmente un responsable de negocio o el propietario del sistema, no el equipo de seguridad. El propietario del riesgo es responsable de garantizar que se implementen los controles y que el riesgo residual se mantenga dentro de los umbrales aceptables. El equipo de seguridad asesora y supervisa, pero no puede ser propietario de todos los riesgos, ya que eso crearía una responsabilidad centralizada que no se puede ampliar eficazmente en toda una empresa.

Varios marcos ayudan a estructurar la identificación de amenazas. STRIDE (suplantación de identidad, manipulación, repudio, divulgación de información, denegación de servicio y elevación de privilegios) categoriza las amenazas contra cada componente del sistema. PASTA (Process for Attack Simulation and Threat Analysis) es una metodología centrada en el riesgo que relaciona los objetivos de los atacantes. DREAD puntúa las amenazas según el daño, la reproducibilidad, la explotabilidad, los usuarios afectados y la facilidad de descubrimiento, aunque DREAD es menos común en la práctica moderna.

Los riesgos no pueden identificarse sin encontrar primero las vulnerabilidades. Entre las fuentes principales se incluyen: escáneres de vulnerabilidades (Nessus, OpenVAS), que prueban los sistemas frente a CVE conocidas; informes de pruebas de penetración, que validan la explotabilidad; auditorías de configuración, que comparan los ajustes con las referencias de CIS; y fuentes de inteligencia sobre amenazas, que destacan las debilidades explotadas activamente. Los informes de auditoría interna y las autoevaluaciones también permiten detectar vulnerabilidades a nivel de procesos que los análisis técnicos no identifican.

Los registros de riesgos deben tener en cuenta tanto las amenazas internas (empleados, contratistas y sistemas mal configurados) como las amenazas externas (hackers, actores estatales y compromisos de la cadena de suministro). Las amenazas internas suelen tener un impacto mayor porque las personas internas ya disponen de acceso: un empleado descontento puede exfiltrar datos sin activar los controles perimetrales. Los programas contra amenazas internas que supervisan anomalías de comportamiento abordan una categoría de riesgo que los controles técnicos por sí solos no pueden mitigar.

Un registro de riesgos no es un entregable único: debe revisarse y actualizarse cada vez que se producen cambios importantes, como nuevas implementaciones de sistemas, reestructuraciones organizativas, CVE divulgadas recientemente o conclusiones posteriores a un incidente. La mayoría de las organizaciones vincula las revisiones formales del registro de riesgos con las revisiones anuales de seguridad, los procesos de gestión de cambios y las auditorías de cumplimiento. Los registros de riesgos obsoletos generan una falsa sensación de confianza y pueden provocar que no se asignen recursos para abordar exposiciones durante cambios rápidos en la infraestructura.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que el riesgo combina la probabilidad y el impacto para priorizar las decisiones de seguridad; que los registros de riesgos documentan los activos, las amenazas, las vulnerabilidades, las puntuaciones, los responsables y el riesgo residual; y que las técnicas de modelado de amenazas, como STRIDE, ayudan a identificar sistemáticamente qué podría salir mal. A continuación, exploraremos los métodos de análisis de riesgos cualitativo y cuantitativo.