No se puede proteger todo a la vez. El análisis de riesgo estima qué amenazas importan más para priorizar el esfuerzo. Su base es una idea simple:
Riesgo ≈ Probabilidad × Impacto. Qué tan probable es que algo malo ocurra, por cuánto daño causaría.
Análisis cualitativo
Usa categorías, no números exactos: probabilidad e impacto como baja / media / alta, cruzadas en una matriz de colores (verde / amarillo / rojo).
- Ventajas: rápido, fácil de entender, no necesita datos precisos.
- Desventaja: subjetivo (depende del criterio de quien evalúa).
- Es por donde empiezan la mayoría de las organizaciones.
Análisis cuantitativo
Le pone números y dinero. Estima el costo de cada incidente y su frecuencia para calcular una pérdida anual esperada.
| Concepto | Significado |
|---|---|
| SLE | Pérdida por un único incidente |
| ARO | Veces que se espera al año |
| ALE | Pérdida anual esperada (SLE × ARO) |
- Ventajas: preciso, habla el idioma de la dirección (dinero), justifica inversiones.
- Desventaja: requiere muchos datos confiables y más trabajo.
En la práctica
Suelen combinarse: cualitativo para priorizar rápido todo el panorama, cuantitativo para analizar a fondo los riesgos mayores. Tras analizar, se decide tratar el riesgo: mitigar, transferir (seguro), aceptar o evitar.
Con los riesgos medidos y los controles aplicados, alguien debe verificar que todo funcione. Esa verificación es la auditoría, el próximo tema.