CREA TU MATIZ DE RIESGO
Un elemento indispensable para llevar a cabo un plan de contingencia o continuidad de negocio que nos permita minimizar el impacto de ciberataques es una matriz de riesgos.
Esta matriz nos permitirá adaptar nuestro presupuesto en ciberseguridad a nuestras necesidades reales. Para ello, es necesario poder responder a las siguientes preguntas:
- ¿Cuáles son tus activos digitales? Por ejemplo: una web, correo online, programa de facturación, plataforma de pagos online, etc
- ¿Qué activos digitales en tu empresa son críticos para tu negocio? Por ejemplo: tener una web activa. A través de ella llegan los pedidos.
- ¿Qué tipo de incidencias pueden suceder en ese activo? Por ejemplo: La web de tu empresa está inaccesible y nadie puede navegarla.
- ¿Cómo impacta en tu negocio que sucedan incidencias en ese activo? Por ejemplo: cada hora que la web está inaccesible se dejan de recibir 3 pedidos y además los clientes se van a la competencia suponiendo una pérdida del 10% de mis pedidos recurrentes.
- ¿Cómo de probable es que exista una incidencia en esas actividades? Por ejemplo: una vez al mes.
Con este propósito, el de inventariar y conocer los riesgos tecnológicos de nuestra empresa, es por el que es necesario disponer de una matriz de riesgos como la mostrada a continuación.
Una vez sepamos como nos impactan los riesgos, podremos entender cuánto invertir para mitigarlos:
*Los riesgos pueden incluir riesgos accidentales (inundaciones, pérdidas de un móvil, etc) o riesgos provocados (un robo, una infección por malware, etc)
** Es muy importante entender que dentro del impacto económico de un riesgo no hay que tener en cuenta simplemente el impacto cuantitativo directo. Es importante evaluar el coste cualitativo asociado a situaciones como: la pérdida de rendimiento de los empleados, el coste de la investigación del suceso, el daño a la reputación de la marca y la consiguiente pérdida de clientes por degradación de la confianza, etc.
*Los riesgos pueden incluir riesgos accidentales (inundaciones, pérdidas de un móvil, etc) o riesgos provocados (un robo, una infección por malware, etc)
** Es muy importante entender que dentro del impacto económico de un riesgo no hay que tener en cuenta simplemente el impacto cuantitativo directo. Es importante evaluar el coste cualitativo asociado a situaciones como: la pérdida de rendimiento de los empleados, el coste de la investigación del suceso, el daño a la reputación de la marca y la consiguiente pérdida de clientes por degradación de la confianza, etc.