Fuentes y eventos de amenaza

La guía SP 800-30 clasifica las fuentes de amenaza en cuatro tipos. Adversarias: personas, grupos u organizaciones que buscan aprovechar la dependencia de la organización de sus recursos digitales. Accidentales: errores de personas en su trabajo cotidiano. Estructurales: fallas de equipos, controles del entorno o programas por desgaste o condiciones fuera de lo previsto. Ambientales: desastres naturales y fallas de infraestructuras críticas, fuera del control de la organización.

Cada tipo se caracteriza distinto. A una fuente adversaria se le valora su capacidad, su intención y su orientación (cuánto apunta a esta organización). A las demás se les valora el rango de efectos: cuánto daño puede causar si ocurre.

Lo que separa a las estructurales de las ambientales es el control: si la falla está en un equipo o en un servicio que la organización opera, es estructural; si viene de una infraestructura de la que depende y que no controla, o de un fenómeno natural, es ambiental. Ese matiz decide quién responde y qué medida cabe.

El taller asignó un tipo a cada una de sus seis fuentes. Revísalas.

Una fuente sin caracterizar no se puede comparar con las demás. En la tabla de caracterización, una raya significa que esa característica no aplica al tipo de fuente; un valor «sin valorar» significa que alguien se saltó el paso. Las fuentes adversarias deben llevar sus tres valores.

Un evento de amenaza es lo que una fuente puede provocar, descrito de forma general: «cifrado de servidores con exigencia de rescate», no el paso a paso. Cada evento lleva su relevancia: Confirmado si la organización ya lo vivió, Esperado si lo vivieron sus pares o socios, Anticipado si una fuente confiable lo reportó, Previsto si una fuente confiable lo predijo, Posible si lo describe una fuente algo creíble. Lo que ya ocurrió pesa más que lo que solo se imagina.

Cada evento debe poder rastrearse hasta una fuente de la tabla de fuentes. Un evento que apunta a una fuente que no existe es un riesgo que nadie ha caracterizado: no se sabe quién o qué lo provoca ni cuánto puede dañar.