Una evaluación de riesgos identifica qué podría salir mal, su probabilidad y su coste. Genera una lista de riesgos priorizados para que los recursos se destinen a donde más se necesitan. Sin ella, el gasto en seguridad se basa en conjeturas. Con ella, las decisiones tienen fundamento. Un hospital podría considerar la exposición de datos de pacientes como su principal riesgo. Un fabricante podría priorizar la interrupción de la producción. La priorización depende de la empresa, no de una lista de verificación genérica.

El proceso comienza con la identificación de activos. ¿Qué se está protegiendo? Datos de clientes, propiedad intelectual, sistemas financieros, infraestructura física. Luego, el modelado de amenazas. ¿Quién podría atacar estos activos y cómo? A continuación, el análisis de vulnerabilidades. ¿Qué debilidades existen? Finalmente, la puntuación de impacto y probabilidad. Una evaluación cualitativa utiliza etiquetas como alto, medio y bajo. Una cuantitativa asigna valores monetarios y probabilidades. La mayoría de las organizaciones utilizan una combinación. La cualitativa es más rápida y suficiente para la priorización. La cuantitativa es más defendible al justificar el presupuesto. La evaluación no es un evento único. El negocio cambia. Aparecen nuevos sistemas. Los riesgos antiguos desaparecen. Una evaluación de riesgos de dos años de antigüedad es un documento histórico.

Pasos de evaluación de riesgos

• Identificar los activos y su valor.
• Identificar las amenazas y los actores que las representan.
• Identificar vulnerabilidades
• Evaluar la probabilidad y el impacto
• Priorizar y documentar
• Revisar y actualizar periódicamente

Una evaluación de riesgos en la que nadie actúa es un ejercicio teórico. Su valor reside en las decisiones que fundamenta.