Análisis de riesgo aplicado al COVID-19Gabriel Bergel 2 abril, 2020 Durante estas últimas semanas hemos visto todo tipo de análisis y teorías alrededor del Covid-19 pero, probablemente, muchos no se hayan dado cuenta de que podemos aplicar la metodología del análisis de riesgo, tan conocida por nosotros los hackers y por aquellos profesionales que trabajan en ciberseguridad. En la primera temporada de nuestros webinars, #11PathsTalks ya tratamos sobre este tema, sobre todo por la importancia que tiene entender este proceso para poder hacer una adecuada gestión del riesgo tecnológico en nuestras empresas, pero también para entender bien como enfrentar las nuevas amenazas cibernéticas. Este proceso cada vez es más reconocido dentro de la industria, existen muchas metodologías, ISO (ISO 27005) y cada vez se exige en más procesos de certificaciones internacionales, como el caso de PCI DSS que lo incluye como exigencia en el proceso de Ethical Hacking. La situación actual de encierro, cuarentena, tensión, sobreexposición a información, el desafío de una adecuada administración del tiempo en casa, etc. ha hecho que mis niveles de paranoia y escepticismo crezcan y me cuestione todo el doble. Entre esos temas, discutiendo con colegas y no colegas, me di cuenta de que a la mayoría le costaba entender como protegerse de una manera adecuada para enfrentar esta nueva pandemia del COVID-19 y me di cuenta en la call semanal con mis colegas CSA sobre las muchas analogías presentes en el proceso de análisis de riesgo que regularmente ocupamos (espero) para analizar los riesgos presentes en nuestra organización. Análisis de riesgo cualitativo aplicado al COVID-19 Riesgo (RAE): (Del it. risico o rischio, y este del ár. clás. rizq, lo que depara la providencia).1. m. Contingencia (Posibilidad de que algo suceda o no suceda) o proximidad de un daño. El análisis de riesgo es un proceso que busca identificar el riesgo de seguridad de un activo, determinando su probabilidad de ocurrencia, su impacto en el negocio y los controles que mitigan el impacto (o la probabilidad de ocurrencia). Enfoque basado en: Probabilidad – Impacto Tal y como lo haríamos de manera tradicional, pero en este caso centrándonos solamente en el COVID-19 como la amenaza que queremos analizar, identificaremos el o los activos que se podrían ver afectados por dicha amenaza, las vulnerabilidades presentes que pueden permitir que dicha amenaza afecte al activo, la probabilidad de ocurrencia de que esa amenaza -considerando las vulnerabilidades- afecte al activo y el impacto asociado a que esa amenaza -a través de las vulnerabilidades- afecte al activo. Como siempre, uno de los objetivos es definir qué controles minimizan la probabilidad de ocurrencia o el impacto. Recordemos el contexto general: Figura 1: Contexto general de la seguridad de la información Amenaza: un evento con el potencial de afectar negativamente a la confidencialidad, integridad o disponibilidad de los activos de información. En este caso se trata de un evento con el potencial de afectar nuestra salud (integridad), el COVID-19.Activo: cualquier cosa que tenga valor para la organización. En nuestro caso, el activo a proteger son las personas.Vulnerabilidad: una debilidad que facilita la materialización de una amenaza. En nuestro caso serían:Tener más 80 añosTener mala salud o estado físicoPadecer enfermedades crónicasTener necesidades especiales (discapacidad)Tener malos hábitos (no lavarse las manos, toser sin taparse la boca)No seguir las recomendaciones. (usar mascarilla, respetar cuarentena)Probabilidad del riesgo: es la frecuencia con que se podría producir el riesgo en un plazo determinado de tiempo. Niveles de probabilidad de ocurrencia (del contagio en este caso):AltaMediaBajaImpacto: son las consecuencias que habría si un determinado activo ve afectada su confidencialidad, integridad o disponibilidad. En nuestro caso son las consecuencias que habría si un activo (persona) ve afectada su salud. Posible impacto:Bajo: contagiarse con el COVID-19 y no tener secuelas.Medio: contagiarse con el COVID-19 y quedar con secuelas.Alto: morir a causa del COVID-19. Matriz Análisis de Riesgo simplificada – COVID-19 – Riesgo Inherente El riesgo absoluto o inherente es el riesgo que no considera los controles. Matriz Análisis de Riesgo simplificada – COVID-19 – Riesgo Residual El riesgo residual es el riesgo resultante posterior a la aplicación de controles. Resultado del Análisis de Riesgo Figura 2: Matriz de calor de los riesgos identificados Resultado del Análisis de Riesgo al COVID-19 – Riesgo Inherente Figura 3: Matriz de calor de los riesgos inherentes Resultado del Análisis de Riesgo al COVID-19 – Riesgo Residual Figura 4: Matriz de calor de los riesgos residuales Conclusiones Como se puede comprobar, el proceso del análisis de riesgo tiene por objetivo identificar y aplicar controles para disminuir la probabilidad de ocurrencia o el impacto asociado o ambos en el mejor de los casos. En la Figura 3 se puede observar que los riesgos se encuentran todos en niveles medio y alto, por lo que se deben gestionar aplicando los controles identificados. De esta forma, en la Figura 4 se puede observar cómo la aplicación de los controles disminuyó la probabilidad de ocurrencia o el impacto asociado y por ende los riesgos disminuyeron. Lo más importante que debemos entender en este caso del COVID-19 es que al aplicar todos estos controles o recomendaciones de expertos no estamos eliminando el virus, sólo estamos disminuyendo la probabilidad de contagio. Sin embargo, al aplicar estas recomendaciones también disminuimos el impacto, porque si no nos contagiamos, no corremos el riesgo de morir a raíz del virus (impacto más alto de esta amenaza). ¿Quieres saber más detalles sobre la COVID-19? Consulta el resto de artículos sobre el coronavirus escritos por nuestros expertos: Decepticons vs. Covid-19: la batalla definitiva La seguridad detrás de la API de Apple y Google para el seguimiento de contagios de la COVID-19 20 preguntas sobre las apps de rastreo de contagios del Covid-19 DataCOVID-19: luchando contra el coronavirus con los datos de posición aproximada de tu móvil Iniciativa solidaria Covid-19: recargando IFEMA de energía para los enfermos Las 10 mejores charlas TED para aprender sobre ciberseguridad¿Qué tipo de profesionales trabajan en el Security Operations Center (SOC)?
Telefónica Tech El poder de la digitalización sostenible en la lucha contra el cambio climático El cambio climático es considerado el mayor desafío de nuestro tiempo. Sus efectos abarcan desde la desertización y sequías hasta inundaciones y aumento del nivel del mar. Algunas de...
Telefónica Tech Boletín semanal de Ciberseguridad, 27 de mayo – 2 de junio Descubierta puerta trasera en cientos de placas base Gigabyte Investigadores de ciberseguridad de Eclypsium descubrieron una puerta trasera secreta en el firmware de cientos de modelos de placas base Gigabyte,...
Nacho Palou Cómo el lenguaje pone en riesgo la Ciberseguridad de las empresas La Ciberseguridad es un asunto fundamental para las empresas y organizaciones, de cualquier tamaño y sector. Los ciberataques pueden tener consecuencias graves o muy graves —incluso fatales— para los...
Carlos Rebato Criptografía, una herramienta para proteger los datos compartidos en la red Actualmente, la Ciberseguridad representa un aspecto primordial en las empresas. No obstante, cada día surgen nuevos modos de atentar contra ella. Muchos se han preguntado: ¿de qué manera las...
Roberto García Esteban ChatGPT y Cloud Computing: un matrimonio bien avenido ChatGPT (quizá no sepas que son las siglas de Chat Generative Pre-Trained Transformer) está en boca de todos por su impresionante habilidad para generar textos que parecen escritos por...
David Prieto Marqués La importancia del control de acceso: ¿está tu empresa protegida? Por David Prieto y Rodrigo Rojas En un mundo cada vez más digitalizado y complejo, la seguridad de la información es fundamental para las empresas. A medida que las empresas...