De la amenaza al riesgo del negocio

Una amenaza describe lo que un actor puede hacer: entrar con credenciales robadas, cifrar servidores, borrar copias. Es el lenguaje del informe técnico y es correcto para quien defiende. Un riesgo para el negocio describe lo que le pasa a la empresa si eso ocurre: qué proceso se detiene, durante cuánto tiempo y con qué efecto en dinero, y con qué probabilidad.

La traducción siempre hace la misma pregunta: «¿y eso qué detiene, cuánto y cuánto cuesta?». Mientras no se contesta, el comité escucha una amenaza; cuando se contesta, escucha un riesgo que puede aceptar, reducir o transferir.

Compara tres formas de decir lo mismo. Una habla de técnicas («usa cuentas válidas y cifra servidores»), y el comité no sabe qué hacer con ella. Otra habla de miedo («estamos expuestos al ransomware y hay que tomarlo muy en serio»), y no se puede decidir nada con ella. La buena nombra un proceso del negocio, un efecto y un orden de magnitud que se puede comparar con un presupuesto.

Un riesgo bien dicho tiene sujeto de negocio, no de informática: se detienen los despachos, no se cifra un volumen.

Consulta las dos tablas con SELECT * FROM amenaza y SELECT * FROM procesos. La primera dice qué sistemas toca el actor; la segunda, de qué sistema depende cada proceso del negocio. Cruzarlas separa lo que está en juego de lo que no, y eso también le sirve al comité: saber qué no se detiene tranquiliza tanto como saber qué sí.

Un buen informe no infla el riesgo metiendo todos los procesos. Muestra solo los que dependen de un sistema que el comportamiento del actor realmente alcanza.

La pérdida de ingreso de un proceso detenido se estima multiplicando lo que ese proceso factura por día por los días que tarda en recuperarse. No es una predicción exacta, es un orden de magnitud con supuestos escritos a la vista, que es exactamente lo que un comité necesita para comparar el riesgo con el costo de reducirlo.

Calcula el escenario en que el actor cifra el sistema de almacén y los despachos a panaderías quedan detenidos hasta que se recupera. Usa los datos de la tabla de procesos.

Con el escenario y su impacto en pesos ya hay algo que el comité entiende. Pero todavía no es un riesgo completo, porque un impacto grande y casi imposible pesa distinto que uno mediano y casi seguro. La pieza que falta es cuán probable es que ocurra en un plazo dado, expresada con el lenguaje de estimación que la casa haya acordado y con la confianza que merece la evidencia.

La próxima sala se dedica a esa pieza. Aquí basta con reconocer que sin ella el informe cuenta solo la mitad de la historia.