Cómo evaluar el riesgo de la seguridad informática de una empresa

Toda empresa cuenta, o al menos debería contar, con un área de gestión del riesgo. Este equipo debe ser capaz de:

• Determinar,
• Analizar,
• Valorar y
• Clasificar el riesgo en la seguridad informática.

Una vez procesada esa información se podrá conocer con certeza cuáles son esos datos cuya vulneración provocaría un mayor impacto. Conocer y poder acotar ese área de información es la única forma de poder llevar un control sobre ella, y para lograrlo es necesario:

• Implementar mecanismos de control de la información: eligiendo el método adecuado según las necesidades reales de la empresa.
• Gestionar esos mecanismos: apoyándose en una regulación, como es el marco normativo que se detallaba en el punto anterior; ya que sólo así se puede acotar el riesgo y tenerlo bajo control, evitando fugas.

La gestión del riesgo en el tiempo

Hay que tener en cuenta que la gestión del riesgo no debe plantearse como una acción puntual, sino como un proceso que requiere adaptabilidad para garantizar la corrección de conductas que puedan poner en peligro la integridad de los datos y, al mismo tiempo, la imagen de la compañía, tanto de cara al exterior como frente al cliente interno.

En definitiva, el propósito de un área de control de riesgo es, no sólo identificar y tratar la información, sino también hacer los ajustes convenientes para facilitar la toma de decisiones en este sentido. Y no hay que confundir su misión con la de seguridad informática, que es responsabilidad del Departamento de Informática, aunque ambas estén íntimamente relacionadas; ya que mientras que estos últimos protegen la estructura de la información y lo hacen mediante antivirus, firewalls, etc., el área de control de riesgo por lo que vela es por la integridad del contenido, de los datos en sí (para lo que se puede contar con proyectos de Enmascaramiento de Datos, por ejemplo).