Gestión de Riesgos

La Gestión de Riesgos (del inglés Risk Management) es el proceso continuo de identificar, evaluar, priorizar y mitigar los riesgos que podrían afectar a los activos, operaciones u objetivos de una organización.

En ciberseguridad, la gestión de riesgos ayuda a responder preguntas clave:

¿Qué podría salir mal?
¿Qué probabilidad hay de que ocurra?
¿Qué impacto tendría?
¿Qué podemos hacer para prevenirlo o minimizarlo?

¿Qué es un riesgo?

Para entender la gestión de riesgos, primero debemos definir claramente los conceptos clave:

Activo: Cualquier cosa que tenga valor para la organización (datos, sistemas, personas, reputación, etc.).
Amenaza: Un evento o agente que puede causar daño (ej: un hacker, un malware, un desastre natural). Ver Categoría:Amenazas y Ataques.
Vulnerabilidad: Una debilidad en un activo que puede ser explotada por una amenaza (ej: un sistema sin parchear, una contraseña débil). Ver Gestión de Vulnerabilidades.
Riesgo: La combinación de la probabilidad de que una amenaza explote una vulnerabilidad y el impacto que tendría en la organización.

Fórmula del riesgo