Escenarios por activo y por evento

La guía ISO/IEC 27005 describe dos enfoques para identificar riesgos. El enfoque por activo parte del inventario: para cada activo se preguntan las amenazas que lo rondan y las debilidades que las hacen posibles. El enfoque por evento parte de lo que podría ocurrirle a la organización: una fuente de riesgo, un evento y una consecuencia sobre los objetivos, y de ahí se pregunta qué activos toca.

Ninguno es mejor por sí solo. El primero es exhaustivo pero puede perder de vista el efecto en el negocio; el segundo capta efectos de negocio pero puede olvidar activos de soporte. Las organizaciones suelen combinarlos.

Un escenario bien escrito tiene tres partes: fuente (quién o qué lo origina), evento (qué ocurre) y consecuencia (qué le pasa a la organización). Un error muy común es escribir en la consecuencia una causa o una debilidad: «servidores sin actualizar» es una condición que facilita un incidente, no un efecto sobre el negocio. Un escenario así no se puede valorar, porque no dice qué se pierde.

Lee la columna de consecuencia de los cinco escenarios por evento y busca el que describe un estado de cosas en lugar de un efecto.

Cuando se combinan los dos enfoques, la prueba de cobertura es sencilla: cada activo importante debe aparecer al menos una vez, ya sea en una fila por activo o entre los activos afectados de un escenario por evento. Un activo crítico que no aparece en ninguna parte no está libre de riesgo: está sin analizar.

Cruza el inventario con las dos listas de escenarios y fíjate solo en los activos de criticidad Alta.

Algunos activos no producen ventas por sí mismos pero sostienen a los que sí: la red, la identidad de los usuarios, la energía. Su falla se propaga hacia los activos que dependen de ellos, y por eso un activo de soporte de criticidad alta es probablemente más importante de lo que su nombre sugiere. La tabla de dependencias dice qué activo necesita a cuál.

Cuenta cuántos activos del inventario dependen del activo que quedó sin escenarios.

El equipo discute qué hacer con las dos listas. Una propuesta es dejar cada lista en su hoja, otra es descartar la de eventos por ser menos técnica, y otra es fusionarlas. La cláusula 6.1.2 pide identificar los riesgos de pérdida de confidencialidad, integridad y disponibilidad dentro del alcance e identificar a los dueños de los riesgos; un registro único lo facilita porque cada escenario queda ligado a sus activos y a su dueño.