By 5 min read

Cuando se habla de ciberseguridad, el análisis de riesgos informáticos es la evaluación de los distintos peligros que afectan a nivel informático y que pueden producir situaciones de amenaza al negocio, como robos o intrusiones que comprometan los datos o ataques externos que impidan el funcionamiento de los sistemas propiciando periodos de inactividad empresarial. 

El análisis y gestión de los riesgos previene a las empresas de este tipo de situaciones negativas para su actividad y recoge una serie de factores fundamentales para su consecución. 

Identificación de activos

Para realizar un análisis de riesgos efectivo, el primer paso es identificar todos los activos de la empresa. Estos activos incluyen todos losrecursos relacionados con la gestión e intercambio de información de la empresa, como software, hardware, vías de comunicación, documentación digital y manual e incluso de recursos humanos. 

Una vez se identifiquen todos los activos de información que componen la empresa, deben definirse las amenazas a las que pueden estar expuestos. Estas amenazas pueden ser de diferente índole, como ataques externos, desastres naturales o errores humanos.  

Los riesgos se producen al existir una amenaza que tenga consecuencias negativas para los sistemas de información de la empresa. El análisis de riesgos debe recoger información detallada de todos los riesgos a los que se ve expuestos y cómo afectan a la empresa. 

En esta fase del análisis de riesgos hay que priorizar cada uno de estos riesgos, siendo preciso consultar datos estadísticos sobre incidentes pasados en materia de seguridad. 

Detectar vulnerabilidades

Las vulnerabilidades se presentan en activos informáticos y presentan un riesgo para la información. Dos ejemplos de vulnerabilidades que suelen encontrarse en el análisis de riesgos informáticos son la falta de actualización de los sistemas operativos (por lo tanto, no incluyen los últimos parches en materia de seguridad) y el uso de contraseñas de acceso débiles (contraseñas cortas que no utilizan combinaciones de letras, números, símbolos y mayúsculas/minúsculas, y que son fácilmente descifrables con procesos automáticos). 

Medidas de prevención y control

Una vez se tengan identificadas las amenazas y vulnerabilidades de los sistemas y se tengan definidos todos los riesgos y sus consecuencias, deben establecerse una serie de medidas y tratamientos de riesgo con dos objetivos claros: evitar que se produzca el riesgo o minimizar su impacto en caso de que llegue a producirse. 

 

 

Dentro de este tipo de medidas podemos destacar: 

  • Instalación de software de seguridad y cortafuegos (por software o hardware). 
  • Implementación de sistemas de seguridad en la nube automatizados y planes de Disaster Recovery. 
  • Añadir protocolos de seguridad para reforzar la seguridad de las contraseñas. 
  • Revisión de los roles y privilegios de los usuarios (con especial cuidado en la asignación de los roles con mayores privilegios, como los administradores). 
  • Contratación de un seguro que cubra los daños ocasionados. 
  • Implementación de sistemas alternativos o duplicados para asegurar la disponibilidad del sistema (high availability). 

El análisis de riesgos requiere de la elaboración y consolidación de informes sobre la ciberseguridad y las distintas medidas aplicadas. Estos informes sirven para medir el grado de éxito que se está obteniendo en la prevención y mitigación, a la vez que permite detectar puntos débiles o errores que requieran de la aplicación de medidas correctoras. 

 

Fuente: https://www.ambit-bst.com/blog/an%C3%A1lisis-de-riesgos-inform%C3%A1ticos-y-ciberseguridad