Calcular correctamente la probabilidad de riesgo se está volviendo crítico para las organizaciones. Y no es solo porque sea esencial y fundamental para una buena práctica de gestión de riesgos. Sino también porque nuevas leyes, como la GDPR, lo ordenan.
Las medidas de seguridad deben ser apropiadas para el riesgo. Y el riesgo implica que sufrirás una violación en tus datos personales. Entonces, calcular la probabilidad de que ocurra un hackeo de datos, independientemente del alcance, es vital para determinar las medidas de seguridad apropiadas.
Anteriormente conocida como la Asociación de Auditoría y Control de Sistemas de Información pero ahora solo “ISACA”, se dedica a analizar el tema entre manos. La asociación habla de la probabilidad de riesgo usando la siguiente fórmula:
RIESGO = PROBABILIDAD x IMPACTO
Sin embargo, la palabra probabilidad suele ser reemplazada con frecuencia por la palabra posibilidad. Cabe decir que ambas palabras no tienen el mismo significado inherente. Para empezar, las probabilidades tienen valores numéricos derivados del análisis estadístico.
Desafortunadamente, si le preguntamos a tres expertos sobre la probabilidad de que se produzca una violación grave de datos, obtendremos tres respuestas bastante diferentes. El punto más importante, sin embargo, es que la probabilidad de ser atacado directamente es baja. Aunque no improbable.
La cadena de violación de datos
La probabilidad no está grabada en piedra. La probabilidad es condicional y cambia con las circunstancias y el tiempo. Las probabilidades de ser alcanzado por un rayo son muy bajas, pero cambian si caminas en una tormenta con un poste de cobre de 10 metros en las manos.
La cadena de violación de datos (encuentro> infección> capacidad> persistencia) resalta la secuencia común de eventos que conducen a una violación de datos. El primer eslabón de la cadena es la etapa de encuentro.
Encontramos malware todos los días, a través de correo electrónico, web, dispositivos personales y más. La probabilidad de que un único encuentro conduzca a una violación de datos es baja. Sin embargo, en algún momento, un solo encuentro resultará en una infección de nuestra red interna. Dando paso al segundo evento en la cadena de violación, y por lo tanto, a los demás.
Persistencia
No todas las infecciones son creadas iguales. Algunas infecciones son solo molestias, como el caso de los cryptomineros. Otros, como el malware de punto de venta (POS), tienen un conjunto de capacidades muy diferente y más dañino. Y por lo tanto, un mayor nivel de riesgo.
Entonces, finalmente, está su Persistencia. Que se refiere a durante cuánto tiempo pueden existir amenazas altamente capaces en tu entorno. Cuanto más largas son las amenazas de alta capacidad en tu entorno, mayor es la probabilidad de una violación grave de datos.
Ser capaz de detectar cambios condicionales a través de la cadena de ruptura es la clave para minimizar la probabilidad de que ocurra una violación de datos. En consecuencia, podemos simplificar el cálculo del riesgo para enfocarnos en la cantidad de tiempo que varias amenazas están en tu red.
PROBABILIDAD = CAPACIDAD DE AMENAZA x TIEMPO
Sustituyendo en la versión de ISACA, se convierte en:
RIESGO = CAPACIDAD DE AMENAZA x TIEMPO x IMPACTO
Con esta definición de riesgo, puedes alinear tu organización en torno a la vigilancia continua de toda la cadena de violaciones. Buscando siempre cambios en la probabilidad de que ocurra una violación de datos. En lugar de decir de manera fija que el riesgo de una violación de datos es bajo, ahora puedes saber cómo monitorear los cambios de probabilidad de que ocurran eventos de cadena de violación.