¿Cómo evalúas riesgo de seguridad?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

Una evaluación de riesgos produce una lista ordenada y con dueños de lo que podría dañar a la organización y qué se está haciendo al respecto. Parte de los activos y su valor, identifica las amenazas relevantes para cada uno y las vulnerabilidades que permitirían que esas amenazas tuvieran éxito, y tiene en cuenta los controles existentes. La probabilidad y el impacto se estiman con evidencia e incertidumbre declaradas y no con falsa precisión, dando un riesgo residual que se puede ordenar. Para cada riesgo por encima del apetito se elige el tratamiento: mitigar con un control, transferir mediante seguro o proveedor, evitar no haciendo la actividad, o aceptar con firma. Cada entrada tiene dueño y fecha de revisión para que el registro siga vivo.

Ejemplo

Al evaluar un nuevo warehouse de datos de clientes, el equipo calificó la exposición del conjunto completo como impacto alto y, dado el amplio acceso de lectura interno y la ausencia de registro de consultas, probabilidad moderada. Tratamiento: enmascaramiento a nivel de columna para identificadores directos, acceso por roles revisado cada trimestre y logs de auditoría de consultas, lo que llevó la probabilidad residual a baja. El riesgo restante de un administrador privilegiado lo aceptó el dueño de los datos con revisión a seis meses.

Errores frecuentes

• Calificar todos los riesgos como altos, de modo que la lista no orienta.
• Ignorar los controles existentes y contar dos veces la exposición.
• Registrar riesgos sin dueño ni fecha de revisión, de modo que el registro se pudre.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.