Activos, amenazas y elección de controles en proporción

El esfuerzo de seguridad es finito: tiempo, dinero y cuánta fricción tolerarán usted y sus colegas antes de renunciar a una protección. La publicación especial 800-30 del NIST, la guía de evaluación de riesgos del gobierno de EE. UU., existe para hacer que ese esfuerzo aterrice donde importa. Define la evaluación de riesgos como “el proceso de identificar, estimar y priorizar los riesgos”, y su idea central se reduce fácilmente: una ONG de dos personas puede responder las mismas cuatro preguntas que hace una agencia grande, solo que más rápido y con menos papeleo.

Los cuatro términos que hacen que la evaluación de riesgos funcione

Un ejemplo trabajado: la lista de donantes

Tomemos como ejemplo la hoja de cálculo de donantes de una pequeña ONG, guardada en una carpeta compartida en la nube. El activo son los nombres, los correos electrónicos y los montos de las donaciones de los donantes. Una amenaza plausible es un correo electrónico de phishing dirigido a quien tenga acceso de edición, con el objetivo de robar su inicio de sesión. La vulnerabilidad es que el enlace de la carpeta sólo necesita una contraseña, no un segundo factor, y esa contraseña se reutiliza en otro lugar. La probabilidad es significativa (el phishing es común, según la lección anterior) y el impacto es real pero no catastrófico: vergüenza, posiblemente alguna preocupación de los donantes, no peligro físico. Esa combinación apunta a controles proporcionados: autenticación multifactor en la cuenta, una contraseña única y limitar el acceso de edición a las personas que realmente lo necesitan; no, por ejemplo, desconectar la lista por completo o comprar software de seguridad empresarial que la organización no puede mantener.

Un ejemplo trabajado: la identidad de la fuente

Tomemos ahora el conocimiento que tiene un periodista de una fuente confidencial dentro de una agencia gubernamental. El activo es la identidad de la fuente. La amenaza es un actor estatal con poder legal para exigir registros y suficiente motivación para usarlos (recordemos el modelo del adversario de la primera lección: este actor tiene recursos reales y baja aversión al riesgo). La vulnerabilidad podría ser que el operador telefónico del periodista registre quién llamó a quién, o que las notas existan en una aplicación de notas normal y sin cifrar. La probabilidad puede ser menor que en el caso de phishing, pero el impacto es grave: la fuente podría perder su trabajo, su libertad o su seguridad. Esa combinación justifica controles desproporcionados con respecto al ejemplo de la lista de donantes: dispositivos separados para informes confidenciales, comunicación a través de Signal en lugar de simples llamadas o mensajes de texto y, según la próxima lección, tratar esto como un caso para la ayuda de expertos en lugar de defensas autodidactas.

Emparejar esfuerzo con arriesgar, no con miedo

NIST 800-30 encuadra esto como una evaluación del riesgo “con respecto a la tecnología, los procesos, los individuos [y] la empresa” y elegir una respuesta: aceptar un pequeño riesgo, reducirlo con un control o, en casos excepcionales, transferirlo o evitarlo por completo (por ejemplo, simplemente no conservar ninguna información). La disciplina se resiste a dos errores opuestos: tratar cada riesgo como catastrófico, lo que agota a las personas y los presupuestos en controles que nadie mantiene, y tratar cada riesgo como aceptable, lo que deja sin abordar la única amenaza real. Una versión de cinco minutos de este análisis, escrita y revisada cuando las circunstancias cambian, vence la sensación no escrita de que "probablemente deberíamos ser más cuidadosos".

Una breve lista de verificación para reutilizar

• Enumere las dos o tres cosas que menos le gustaría que quedaran expuestas, perdidas o destruidas.
• Para cada uno, nombra al adversario realista de la primera lección, no el más aterrador que puedas imaginar.
• Mencione una debilidad concreta que el adversario realmente podría aprovechar.
• Califique la probabilidad y el impacto honestamente, luego elija un control del tamaño de esa calificación.
• Escriba la decisión; Vuelva a visitarlo si su trabajo, sus datos o el adversario cambian.