En la Gestión de Riesgos de la Información, se comienza por la identificación de riesgos.
Inventariado de Activos de Información
El primer paso consiste en identificar los activos, incluyendo personas, procedimientos, datos, software, hardware, y elementos de red.
Se debe determinar los atributos de cada activo de información para los cuales debe realizarse un seguimiento. Se debe categorizar y clasificar los activos para darle un orden al inventario. Priorizar (según lo que negocio necesita) es importante para atacar lo más prioritario primero.
Se hacen juicios comparativos entre activos para asignar valores relativos. Se pueden usar pesos ponderados para considerar varios criterios.
Cualquiera sea la metodología, el resultado es un listado de los activos de información ordenados según su importancia.
Identificación de Amenazas
Luego se genera una lista de amenazas y riesgos. Se revisa cada amenaza por cada activo de información inventariado. Esta revisión termina con la creación de una lista de las vulnerabilidades que caracterizan los riesgos potenciales. Esta lista sirve como punto de partida para la evaluación del riesgo.
Análisis del Riesgo
Se busca determinar el impacto y probabilidad por activo. Se puede hacer de varias maneras:
- Cualitativo: alto/medio/bajo. Se usa como evaluación inicial. Es fácil pero subjetivo.
- Semicuantitativo: se asignan valores/criterios a las escalas cualitativas.
- Cuantitativo: se usan valores reales de impacto y probabilidad. Hallar esos valores es caro.
Se arma una planilla AVA (TVA, Threat-Vulnerability-Asset) que combina la lista priorizada de activos con sus amenazas. Se busca un método para evaluar el riesgo relativo de cada vulnerabilidad listada.