El riesgo decide qué proteger primero
El riesgo en seguridad informática es la combinación de la probabilidad de que ocurra algo malo y del daño que causaría. Calcularlo sirve para decidir qué proteger primero cuando el dinero y el tiempo no alcanzan para todo.
Una academia de idiomas con 300 estudiantes tiene un servidor de matrículas y una impresora vieja. ¿Cuál merece más cuidado?
Al final de esta lección
Nota
Puedo calcular el riesgo de una amenaza como probabilidad por impacto y ordenar varios riesgos.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Riesgo | la probabilidad de un daño por lo que ese daño cuesta |
| Probabilidad | lo fácil que es que ocurra |
| Impacto | lo grande que sería el daño |
| Puntuación | el número que resume un riesgo |
| Control | una medida que reduce un riesgo |
| Riesgo residual | el riesgo que queda después de un control |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un riesgo es probabilidad por impacto
Para comparar riesgos se da una nota a cada parte. La probabilidad va de 1 (casi nunca) a 5 (casi seguro). El impacto va de 1 (una molestia) a 5 (un desastre).
La puntuación es la probabilidad multiplicada por el impacto, entre 1 y 25. Hasta 5 es un riesgo bajo, de 6 a 12 es medio y de 13 en adelante es alto.
Ejemplo: cuatro riesgos de la academia
| Amenaza | Probabilidad | Impacto | Puntuación | Nivel |
|---|---|---|---|---|
| Se estropea el disco del servidor | 3 | 5 | 15 | Alto |
| Alguien adivina la contraseña de administrador | 2 | 5 | 10 | Medio |
| Un corte de luz de una hora | 3 | 3 | 9 | Medio |
| Se estropea la impresora vieja | 4 | 1 | 4 | Bajo |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Se atienden primero los riesgos de mayor puntuación
Una lista de riesgos se ordena de la puntuación más alta a la más baja. Arriba queda lo que conviene tratar primero.
Cuando dos riesgos empatan, no hay una respuesta única. En la tarea de esta lección se respeta el orden en que llegan en la lista.
Cada activo del servidor tiene su propio riesgo
Para puntuar un riesgo, primero hay que saber qué activo está en juego. En el servidor del laboratorio hay dos scripts, backup.sh y heartbeat.sh. El primero copia la carpeta de proyectos del equipo, que es el activo que alguien querría conservar.
Mira qué hace el script de copia. Es la medida que protege ese activo.
Lee el script de copia
cat /usr/local/bin/backup.shSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Quien puede editar un script cambia su riesgo
El script crea la carpeta de copias, copia en ella el contenido de la carpeta de proyectos y apunta una línea en un registro. Si alguien más pudiera editarlo, root ejecutaría sus órdenes. La probabilidad depende de quién puede escribir en él.
Mira el modo de los dos scripts
stat -c '%a %U:%G' /usr/local/bin/backup.sh /usr/local/bin/heartbeat.shSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Un control reduce el riesgo, no lo elimina
La salida son dos líneas iguales, 755 root:root. Solo root puede escribir en los dos scripts, así que la probabilidad de que alguien los cambie es baja.
Ese permiso es un control. Después de aplicarlo queda un riesgo residual, pequeño pero no cero. Hay cuatro respuestas posibles a un riesgo.
Ejemplo: cuatro respuestas a un riesgo
| Respuesta | Qué hace | Ejemplo |
|---|---|---|
| Reducir | Aplica un control | Una copia diaria del servidor |
| Evitar | Deja de hacer lo arriesgado | No guardar los números de tarjeta |
| Transferir | Pasa el coste a otro | Contratar un seguro |
| Aceptar | Vive con el riesgo | No proteger la impresora vieja |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un error frecuente
Advertencia
Mucha gente cree que un buen control deja el riesgo en cero. Siempre queda un riesgo residual. Lo que se decide es si ese resto es pequeño para quien paga el daño.