Primero las reglas, después el riesgo
Antes de valorar nada se acuerdan los criterios: una escala de probabilidad, una de impacto y una matriz que convierte las dos en una zona (Bajo, Moderado, Alto o Extremo). Si dos personas valoran el mismo riesgo con reglas distintas, el resultado no se puede comparar ni defender ante un auditor.
Un riesgo bien escrito responde cinco preguntas
- Qué activo se afecta.
- Qué amenaza actúa.
- Qué debilidad aprovecha.
- Qué se pierde: confidencialidad, integridad o disponibilidad.
- Quién responde por él.
«Ataque informático» no se puede valorar ni tratar. «Toma de control de la consola de la nube con una cuenta de administración robada» sí.
El riesgo inherente: antes de contar los controles
Se mide sin los controles a propósito: así se sabe cuánto aportan y qué hueco queda si uno deja de funcionar. La probabilidad se responde con una frecuencia esperada. El impacto se valora en cuatro dimensiones (financiera, de imagen, legal y operativa) y cuenta la mayor, no el promedio: un riesgo que cuesta poco dinero pero acaba con la reputación sigue siendo grave.
Una empresa de software en la nube valora el robo de una cuenta de administración. Probabilidad 3: puede pasar una vez al año. Impactos: financiero 4, imagen 5, legal 4 y operativo 5, así que el impacto es 5. En su matriz, probabilidad 3 con impacto 5 cae en la zona Extremo.
Los controles se califican, no se cuentan
Un control es algo que la organización ya hace; lo que se planea hacer va en el plan de acción. Los preventivos bajan la probabilidad y los correctivos bajan el impacto. Cada uno se califica con preguntas concretas: cada cuánto se ejecuta, qué parte del riesgo cubre, quién lo ejecuta, si depende de que alguien se acuerde y si deja evidencia. Diez controles débiles pueden reducir menos que uno bien hecho.
Las reglas de acceso (preventivo) obtienen 55,5 puntos y bajan un nivel de probabilidad, de 3 a 2. Las copias de respaldo (correctivo) obtienen 62 puntos y bajan dos niveles de impacto, de 5 a 3.
El residual se calcula
Con los controles calificados, el riesgo se ubica de nuevo en la matriz: probabilidad 2 con impacto 3, zona Moderado. Ese resultado no se escribe a mano. El vicio más común de las matrices en hojas de cálculo es poner un residual bajo porque «se siente» controlado.
La zona decide qué sigue
- Bajo: se asume y se revisa cada seis meses.
- Moderado: se reduce o se asume con seguimiento; revisión cada tres meses.
- Alto: plan de acción o aceptación formal; revisión cada dos meses.
- Extremo: plan de acción o aceptación formal; revisión cada mes.
Una aceptación formal lleva justificación, acta y firmas, y quien la elabora no la aprueba. Un plan de acción dice qué se hace, quién responde y en qué fecha termina.
Este es el recorrido que sigue Riesgos, la herramienta de The Ark of ISO para valorar y tratar riesgos.