El riesgo es la probabilidad de que ocurra algo malo y la magnitud de sus consecuencias. En seguridad, el riesgo combina tres elementos: una amenaza, una vulnerabilidad y un impacto. Un grupo de ransomware es la amenaza. Un servidor sin parchear es la vulnerabilidad. La pérdida de ingresos y el tiempo de inactividad son el impacto. Si se elimina cualquiera de estos tres elementos, el riesgo desaparece. Si se actualiza el servidor, la vulnerabilidad desaparece. Si se bloquea la infraestructura del grupo de ransomware, la amenaza se reduce. Si se desconectan los datos críticos, el impacto disminuye.

El riesgo no es binario. Existe en un espectro. Algunos riesgos son aceptables. Una pequeña empresa podría tolerar el riesgo de que su sitio web sea alterado. No puede tolerar el riesgo de perder los datos de pago de sus clientes. La diferencia radica en el impacto. La evaluación de riesgos cuantifica esa diferencia. Se pregunta qué podría salir mal, cuál es la probabilidad y cuál sería el costo. Luego, compara el costo del riesgo con el costo de mitigarlo. Gastar $100,000 para proteger un activo de $10,000 no es una buena gestión de riesgos. Gastar $10,000 para proteger un activo de $1 millón sí lo es. Los cálculos rara vez son precisos, pero el ejercicio obliga a priorizar. No todos los riesgos pueden eliminarse. El objetivo es comprender cuáles son los más importantes.

Componentes de riesgo

• Amenaza: quién o qué podría causar daño.
• Vulnerabilidad: la debilidad que podrían explotar.
• Impacto: el daño si tienen éxito.
• Probabilidad: la probabilidad de que ocurra

El riesgo es el lenguaje de los negocios. Los equipos de seguridad que lo dominan obtienen presupuestos. Los que solo hablan de amenazas, no.