A continuación hemos elegido 10 de los que consideramos riesgos potenciales para nuestro negocio (la empresa de reformas) y los hemos clasificado en función de su impacto y su probabilidad, tal y como ya hemos descrito. El resultado ha sido el siguiente diagrama de burbujas que explicaremos ahora.
Como podemos observar, he estimado que el menor riesgo junto a la menor probabilidad de impacto es la desmotivación, ya que la desmotivación de uno de nuestros empleados no siempre va a implicar un fallo a nivel mayor en todo el proceso en su conjunto. Por su parte, a pesar de que los malos resultados generarían un gran impacto en nuestro negocio, consideramos que su probabilidad es baja ya que confiamos en nuestra empresa. A nivel medio de probabilidad y de impacto nos encontramos con el fallo de los servicios y los accidentes laborales. En un nivel medio-bajo de probabilidad pero medio-alto de impacto encontramos los robos, y en un nivel medio-alto de impacto y medio-bajo de probabilidad hemos situado al hackeo. Hemos considerado que la afectación de virus o malware tendría tanto una probabilidad como un impacto medio-alto, y la pérdida de la información creemos que implica una probabilidad media-baja pero con un impacto muy alto, igual que los fallos de los empleados. Por último vemos con un gran impacto (medio-alto) y con una alta probabilidad el riesgo de una mala salud física y mental de los RR.HH., debido a la situación de pandemia en la que nos encontramos, es probable que uno de nuestros empleados coja el virus o que anímicamente se vea afectado, lo que afectará a nuestro negocio.
El INCIBE es el Instituto Nacional de Ciberseguridad que pertenece al Ministerio de Industria, Turismo y Comercio, y hoy vamos a utilizar la plantilla que nos facilita este mismo para poder hablar del análisis de riesgos. Esta plantilla se incluye dentro del Plan Director de Seguridad, que establece que es necesario contar con el compromiso de la dirección de la organización demandante de este plan, así como establecer cuáles son las prioridades de nuestro plan, los recursos que vamos a utilizar y cuáles van a ser los responsables de intentar asegurar al máximo nuestros datos en el ciberespacio. Para esto es muy importante analizar cuáles son los riesgos principales que acechan a nuestra empresa, cuáles son las amenazas más preocupantes para desarrollar correctamente nuestra actividad.
Entre las hojas de excel que nos ofrece la plataforma INCIBE podemos destacar una tabla de ejemplos de análisis que nos ayuda a determinar la amenaza correspondiente a cada activo, así como el impacto y la probabilidad asociados a cada amenaza y el riesgo que estos suponen. Las tablas AR nos orientan a estimar la probabilidad de que se cumpla la amenaza, el impacto que podría causar y los criterios para aceptar el riesgo. El catálogo de amenazas nos habla de cuales son las más relevantes a considerar a la hora de llevar a cabo un análisis de riesgos. La lista de activos nos ayuda a visualizar cuáles son las posesiones más relevantes de la organización que merecen ser protegidas, mientras que la tabla de cruces activo-amenaza nos ayuda a ver de manera gráfica la relación que se establece entre estos dos. Por último encontramos la tabla de análisis de riesgos, que de nuevo nos permite observar gráficamente cuáles son nuestros activos, amenazas, la probabilidad de que se cumplan, el impacto que tendrían y el riesgo real.
Enlazando esto con la siguiente cuestión, vamos a considerar algunos de los activos relativos a nuestra empresa de reformas. Teniendo en cuenta que el valor máximo que le podemos otorgar a una amenaza es 6, y el mínimo es 2, y sabiendo que el riesgo resulta de la multiplicación de la probabilidad por el impacto, consideraremos que un riesgo inaceptable sería una puntuación superior a 30 (el máximo sería 36); un riesgo medianamente asumible oscilaría entre 12 y 30, mientras que un riesgo aceptable se encontrará desde el 2 al 4.
Como podemos observar, el único riesgo residual asumible con el que nos encontramos es la desmotivación de nuestros trabajadores, que mientras sea individual no tiene por qué afectar al resto de la cadena productiva. El resto de los activos suponen un riesgo residual que podríamos aceptar, excepto una mala salud física y mental de nuestros trabajadores, lo que sería inaceptable para poder llevar nuestro negocio con éxito.
Comentarios
Publicar un comentario