A veces, aquello que nos parece más obvio es precisamente en lo que hace falta incidir. Al menos, a mí en ocasiones me ocurre que tiendo a presuponer unos ciertos conceptos de partida que utilizo para mis exposiciones, y más de una vez he caído en la cuenta de que los problemas de la audiencia son precisamente que no poseen esos conceptos, o que no los han entendido correctamente.
Uno de los casos más repetidos, y no sólo entre los profanos en materia de seguridad, es el de tratar de encontrar algún tipo de criterio estándar para priorizar unos controles sobre otros. Evidentemente, la ISO 27002 (antigua ISO 17799, guía de buenas prácticas en seguridad también conocida como catálogo de controles) tiene un listado extenso de controles de seguridad, y encontrar algún criterio (o alguna guía o ranking, a poder ser) para priorizar unos sobre otros sería una magnífica ayuda. ¿Cuál es el problema?
El problema es que cualquier guía estandarizada va a ser incorrecta. Es completamente imposible dar una respuesta universal a qué controles son más importantes que otros. Es cierto que el sentido común nos puede ayudar a encontrar algunos controles "prioritarios" desde un punto de vista genérico, y la propia ISO 27001 exige una serie de cumplimientos cuya traducción a controles de la ISO 27002 nos puede ayudar a encontrar un subconjunto de controles "preferentes", pero... Un ranking estándar? Imposible.
La razón es muy sencilla. El criterio para priorizar controles de seguridad debe ser el resultado del análisis de riesgos. Será en base a las principales carencias identificadas en materia de seguridad como tendremos que identificar aquellos controles que son prioritarios, ya que serán los que mitiguen los mayores riesgos identificados. Y lamentablemente los análisis de riesgos son distintos en cada organización, ya que los requerimientos y necesidades de seguridad varían enormemente. Por lo tanto, nunca encontraremos una regla general para priorizar los controles, ya que el criterio de priorización varía con cada organización.
Evidentemente, el resultado del análisis de riesgos no es el único criterio a aplicar. Para mitigar un riesgo concreto puede haber más de un control a aplicar. ¿Se puede en este caso usar una regla genérica de priorización? Pues me temo que tampoco, ya que tendremos que tener en cuenta la eficiencia y la eficacia de cada uno de ellos (o, dicho de otra forma, el coste y la disminución de riesgos que produce cada uno de ellos). De nuevo cada organización es quien va a determinar cuánto necesita reducir su riesgo y cuánta inversión está dispuesta a realizar para ello. Es más, un mismo riesgo puede ser mitigado por distintos controles que actúan en distintos ámbitos, y por lo tanto será cada organización quien decida en cuál de esos ámbitos prefiere actuar. Y eso por no hablar de que cada control puede ser implementado de múltiples formas (las que propone la ISO 27002 y muchas otras más), y que por lo tanto la eficiencia y eficacia de cada uno va a depender también del método de implementación que elijamos...
En definitiva, no podemos decir que exista ninguna regla general para priorizar unos controles sobre otros. Tiene que ser cada organización quien seleccione los que más le convienen, llegando a un compromiso final entre riesgo resultante e inversión requerida. Y más allá de la pura lógica sólo nos encontraremos con propuestas más o menos orientadas que lo único que nos garantizan es simplificar y reducir el trabajo de gestión de riesgos a costa de perder efectividad en nuestra gestión de riesgos. Y no querremos descubrir, después de haber hecho un determinado gasto en seguridad, que no hemos sido capaces de mitigar nuestros riesgos, verdad?
