Riesgos e Incidentes

Si en mi anterior artículo introduje los conceptos de Amenaza y Vulnerabilidad, hoy voy a hacer lo propio con los conceptos de Riesgo e Incidente. Para ello, al igual que en la ocasión anterior voy a recurrir a las definiciones que para estos conceptos dan el diccionario de la RAE y el glosario de ITIL.

El diccionario de la RAE (entre paréntesis el número de la definición tomada) define:

Riesgo (1). Contingencia o proximidad de un daño.

Incidente (1). Que sobreviene en el curso de un asunto o negocio y tiene con este algún enlace.

Ambas definiciones son extremadamente amplias y ambiguas para nuestro propósito. En el glosario de ITIL tenemos:

Riesgo. Un posible Evento que podría causar daño o pérdidas, o afectar lahabilidad de alcanzar Objetivos. Un Riesgo es medido por la probabilidad de una Amenaza, la Vulnerabilidad del Activo a esa Amenaza, y por el Impacto que tendría en caso que ocurriera.

Incidente. (Operación del Servicio) Interrupción no planificada de un Servicio de TI o reducción en la Calidad de un Servicio de TI. También lo es el Fallo de un Elemento de Configuración que no ha impactado todavía en el Servicio. Por ejemplo el Fallo de uno de los discos de un “mirror”.

ITIL se centra en la operación de servicios y su definición de incidente tiene claramente esta orientación. Más apropiada es la definición que nos da la norma ISO 27001:

Incidente de seguridad. Un único evento o una serie de eventos de seguridad de la información, inesperados o no deseados, que tienen una probabilidad significativa de comprometer las operaciones empresariales y de amenazar la seguridad de la información.

Con estos cuatro conceptos básicos podemos ya dar una definición de seguridad de la información:

La seguridad de la información es una disciplina que mediante el conocimiento de las amenazas que hay en nuestro entorno y nuestra vulnerabilidad a ellas trata de gestionar el riesgo de que se produzca un incidente que comprometa seriamente nuestras operaciones e información.

La foto por cortesía de Burningwell.org