Aspectos económicos de la seguridad

Introducción.

La seguridad de la información es hoy en día, uno de los temas de mayor relevancia dentro de la comunidad informática, sea debido a los cambios a los que nos hemos visto obligados a tomar por causa de la pandemia que azota al mundo actualmente, o bien, por cuestiones legales, o profesionales, el hecho es que el tema debe estar en la mesa principal de los desarrolladores y usuarios de las tecnologías de la información. ¿Estaban los sistemas de información preparados para afrontar esta situación?, ¿Cuál ha sido el impacto económico que han sufrido las empresas ante las vulnerabilidades en sus sistemas de información? Para las empresas que contaban con un SGSI, probablemente la transición fue sencilla, y los costos insignificantes, para el resto, lo más probable es que la respuesta sea no y los costos asociados hayan significado un fuerte golpe a la economía de la empresa

La economía de las vulnerabilidades nos ayuda a dar respuesta a preguntas como las anteriores, debido a que, en gran medida, el comportamiento de la economía dicta también el comportamiento de las empresas en diversos ámbitos, entre ellos, el tecnológico. Ante un panorama cambiante en el que nos tenemos que ajustar a una “nueva normalidad” en la que el teletrabajo, la educación en línea y las compras de canasta básica, por mencionar algunas, pasan a ser una necesidad tecnológica; la seguridad de información se coloca en el reflector, y principal héroe o villano de la historia de éxito de las actividades esenciales de los seres humanos ante situaciones críticas.

Desarrollo.

Documentos de estudio:

Underground Economics for Vulnerability Risk – Luca Allodi

Good Practice Guide on Vulnerability Disclosure – European Union Agency for Network and Information Security

Economic Factors of Vulnerability Trade and Exploitation – Luca Allodi

Nobody Sells Gold for the Price of Silver: Dishonesty, Uncertainty and the Underground Economy – Cormac Herley, Dinei Florencio

La economía de las vulnerabilidades nos pide analizar incluso aspectos de razón social y psicológica, puesto que gran parte de las vulnerabilidades radican en el factor humano, siendo el aspecto económico uno de los principales motores de comportamiento, no sólo del lado de los usuarios, sino también de las empresas, los profesionales de IT, las aseguradoras y demás involucrados en el tema.

Las vulnerabilidades de los sistemas de información son una de las principales debilidades de los sistemas de información, y a su vez son el arma principal de los atacantes.  

La economía de las vulnerabilidades, nos explica desde los aspectos raíz de la existencia de las vulnerabilidades, hasta los aspectos a considerar en los usuarios y atacantes. Uno de los aspectos que mas nos pueden ayudar a mejorar nuestros números, incrementando el nivel de seguridad y minimizando el costo de la misma es la categorización. La categorización de riesgos, para saber como y qué tan rápido debemos actuar, la categorización de recursos para conocer el nivel de conocimientos y la criticidad de información a la que cada uno de ellos tiene acceso, e incluso, la categorización de atacantes, puesto que, algunos de ellos no buscan un beneficio económico, ni siquiera una afección a la reputación de la empresa, sino simplemente la satisfacción personal de haber vulnerado la seguridad de la misma.

Conclusiones.

Hoy mas que nunca tener un buen modelo de seguridad basado en metodologías y buenas prácticas es la base para mantener la seguridad de nuestros sistemas, de nuestros usuarios y de nuestras empresas. Los costos de seguridad no son necesariamente mas altos que los de asumir los riesgos, un buen sistema de gestión de seguridad permite a las empresas visualizar todo el contexto, conocer sus puntos débiles y decidir en donde y de qué manera es necesario actuar. El uso y la promoción de las buenas prácticas entre los empleados, no sólo los del área de sistemas, nos ayuda a mejorar nuestros niveles de seguridad. Para finalizar me gustaría enfatizar en el aspecto psicológico de los involucrados en los procesos y entender que el elemento humano es no sólo el elemento mas débil, sino el más complicado de entender y mejorar, por lo que considero que hay que darle un peso adecuado a la capacitación y compromiso del mismo en función a su rol.

...