Amenaza, vulnerabilidad y riesgo son tres conceptos distintos que juntos explican por qué y cuánto nos preocupa un problema de seguridad. Confundirlos lleva a tomar malas decisiones de protección.
Una forma simple de recordarlos: la vulnerabilidad es la debilidad, la amenaza es lo que puede explotarla, y el riesgo es la probabilidad e impacto de que eso pase.
Vulnerabilidad → una debilidad o fallo que puede ser aprovechado.
- Ejemplos: una contraseña débil, un software desactualizado, falta de cifrado, un empleado sin formación.
Amenaza → cualquier cosa (persona, evento o software) con el potencial de causar daño aprovechando una vulnerabilidad.
- Ejemplos: un atacante, un malware, un error humano, un desastre natural.
Riesgo → la combinación de la probabilidad de que una amenaza explote una vulnerabilidad y el impacto resultante.
- Se suele resumir como: Riesgo = Amenaza × Vulnerabilidad × Impacto.
Ejemplo integrador (la casa):
| Concepto | En el ejemplo |
|---|---|
| Vulnerabilidad | Una ventana sin seguro |
| Amenaza | Un ladrón en el barrio |
| Riesgo | La probabilidad de que entren por esa ventana y lo que perderías |
Si eliminás la vulnerabilidad (poné seguro a la ventana), el riesgo baja aunque la amenaza (el ladrón) siga existiendo. Por eso, en seguridad, gran parte del trabajo consiste en reducir vulnerabilidades, ya que las amenazas muchas veces no las podemos controlar.
Gestionar la seguridad es, en el fondo, gestionar el riesgo: identificarlo, medirlo y decidir si lo reducimos, lo aceptamos, lo transferimos o lo evitamos.