Identificar por activo y por evento

ISO/IEC 27005 describe dos enfoques para identificar riesgos y permite usar uno, el otro o los dos. El enfoque por activo parte del inventario: para cada activo se buscan las amenazas que lo rondan y las vulnerabilidades que las dejarían pasar. Es exhaustivo y ordenado, pero produce listas largas y se ata al inventario. El enfoque por evento parte de los escenarios: se imagina qué podría ocurrir (una fuente de riesgo que provoca un evento con una consecuencia para la organización) y luego se miran los activos que toca. Es más corto y más cercano al lenguaje de la dirección, pero depende de la imaginación del taller.

En la edición de 2022 el concepto central es el escenario de riesgo: una fuente, un evento y una consecuencia. Un escenario al que le falta la consecuencia no se puede analizar.

El enfoque por activo solo vale si cada activo del inventario recibe su turno. Un activo sin una sola pareja de amenaza y vulnerabilidad no está libre de riesgo: está sin analizar. Cruza el inventario con el resultado del taller por activo. La columna que une las dos tablas es el identificador del activo.

Un escenario por evento se escribe con tres piezas: quién o qué lo origina, qué ocurre y qué le pasa a la organización. Sin la tercera pieza no hay forma de valorar la consecuencia después, y el riesgo se queda sin nivel o, peor, con uno que alguien pone a ojo.

Revisa la hoja del taller con la dirección fila por fila.

Los dos enfoques se cruzan: todo escenario por evento apunta a un activo, y ese activo debe estar en el inventario. Si apunta a uno que no está, hay dos explicaciones: el inventario está incompleto o el escenario se escribió sobre algo que no corresponde al alcance. En ambos casos se corrige antes de analizar, porque un activo sin dueño no tiene a quién comunicarle el riesgo.

El taller dejó tres defectos: un activo sin analizar, un escenario sin consecuencia y un activo fuera del inventario. Quien valora el riesgo no los arregla escribiendo lo que le parece razonable: son datos que pertenecen a otros y se devuelven a su fuente.