Gestionando con controles

Hoy toca la tercera (y última) entrega de la serie. Después de revisar las tres dimensiones de un SGSI, y analizar las dependencias entre el alcance y el SoA, hoy toca reflexionar sobre la relación entre la tercera dimensión, la profundidad, y las dos anteriores.

La relación entre la aplicación o no de los controles y su intensidad es obvia. Evidentemente, sólo hablaremos de la intensidad con la que se aplican los controles que sí están aplicados. Aunque también sería posible hablar de la intensidad de todos, si definimos como “intensidad 0” todos los no aplicados. Así podríamos “comernos” una de las dimensiones, y facilitar la representación gráfica…

La relación entre la fortaleza de cada control y el alcance no es directa, y sin embargo es clave en todo SGSI. Esta relación viene a través de una “segunda derivada”: el análisis y la gestión de los riesgos. Es evidente que el análisis de riesgos se va a llevar a cabo dentro del entorno definido por el alcance. Y su resultado son los riesgos que es necesario gestionar. Ahora bien: cómo se deben gestionar dichos riesgos?

En primer lugar, debemos tener claro cual es el máximo nivel de riesgo que admite nuestra organización. A partir de ahí, si existen riesgos que superen dicho umbral, tendremos que seleccionar los controles a aplicar para reducirlos. Estos controles, por supuesto, pueden ser “nuevos” (previamente no estaban aplicados) o pueden estar ya aplicados. Diferencia entre ambos casos? A nivel teórico, ninguna: en las dos situaciones se trata de intensificar un control (de nivel 0 a nivel x o de nivel y a nivel y+x), con el fin de que la reducción del nivel de riesgo sea tal que el riesgo residual quede por debajo del umbral máximo definido.

Cuál es, entonces, la clave para seleccionar una u otra opción? La eficiencia y eficacia de cada una de ellas. De entre todas las opciones (aplicar un nuevo control a, intensificar otro b, o modificar un tercero c, por ejemplo) siempre va a haber una que sea la más barata, y una cuyos resultados sean los mejores. Y lo más habitual es que nunca coincidan. Así que habrá que valorar tanto el nivel de beneficio (reducción de riesgos) obtenido como los costes (inicial, de mantenimiento, de intensificación del control en caso de que se decidiera, …) asociados a cada uno de ellos.

Respecto a la selección de controles, un consejillo. En muchos casos suele ser más barato (y más sencillo) adoptar un nuevo control con “poca profundidad” (de forma manual en muchos casos y/o artesana en la mayoría) que intensificar uno ya aplicado (que habitualmente pasa por la adopción o mejora de soluciones tecnológicas, normalmente más caras). Y en muchos casos puede ser suficiente, sobre todo si tenemos en cuenta que el objetivo debe ser reducir el nivel de riesgo, no “eliminarlo”.

En resumen, vemos que una pieza clave sobre la que se articula la relación entre las dimensiones de un SGSI es el análisis de riesgos, y que su adecuada gestión va a ser un punto clave para conseguir un SGSI que se adecue a nuestras expectativas. No es una conclusión sorprendente, verdad? Al fin y al cabo, por algo es uno de los requisitos de la ISO 27001.

Y es que, en el fondo, todo se resume en lo mismo: conoce tu entorno, analiza y gestiona sus riesgos, y aplica el sentido común.