🔍 1. Análisis del entorno (macro y micro)
En seguridad de la información, esto implica evaluar el ecosistema donde se almacenan, procesan o transmiten los datos:
- Macroentorno:
- Marco legal (GDPR, LOPD, ISO 27001)
- Nivel de amenazas cibernéticas en el país o sector
- Casos recientes de ataques (phishing, ransomware, filtraciones)
- Microentorno:
- Infraestructura tecnológica (servidores, redes, dispositivos)
- Entornos de trabajo (oficinas, teletrabajo, BYOD)
- Acceso físico a los dispositivos
🧠 Objetivo: Entender desde qué condiciones o lugares podrían originarse brechas.
🧠 2. Perfil del activo a proteger
En este caso, no es una persona sino la información sensible:
- ¿Qué tipo de datos manejamos? (personales, financieros, estratégicos)
- ¿Dónde están almacenados? (nube, local, servidores externos)
- ¿Quiénes acceden a ellos? (usuarios internos, proveedores, clientes)
- ¿Cuánto daño causaría su pérdida, modificación o divulgación?
💡 Se clasifican los activos por confidencialidad, integridad y disponibilidad (la famosa triada CIA de la seguridad).
🕵️ 3. Identificación de amenazas
Se analizan las fuentes de amenazas a la información:
Internas:
- Empleados descontentos o mal capacitados
- Accesos excesivos o no controlados
- Uso indebido de dispositivos o contraseñas
Externas:
- Hackers, malware, ransomware, ataques DDoS.
- Ingeniería social (phishing, vishing).
- Espionaje industrial.
Naturales o accidentales:
- Fallos eléctricos, incendios, pérdida de hardware
- Eliminación accidental de datos
🧠 Objetivo: Saber de dónde vendrá el golpe, físico o digital.
📊 4. Evaluación de vulnerabilidades
Aquí se detectan los puntos débiles del sistema:
- Falta de autenticación fuerte (2FA, biometría)
- Equipos sin parches de seguridad
- Software desactualizado o sin licencias
- Falta de segmentación en la red
- Contraseñas débiles o compartidas
- Uso de dispositivos personales (BYOD) sin controles
- Formación insuficiente del personal sobre ciberseguridad
💡 Se cruzan las vulnerabilidades con las amenazas detectadas para priorizar riesgos.
⚖️ 5. Valoración del riesgo
Se combinan:
- Probabilidad de que un incidente ocurra (por ejemplo, riesgo alto si usamos software sin actualizar)
- Impacto que tendría (robo de identidad, multas, pérdida de confianza, parálisis operativa)
📌 Se elabora una matriz de riesgos, donde cada riesgo se clasifica por colores o niveles (bajo, medio, alto, crítico).
🧩 6. Análisis de escenarios
Ejemplos aplicables:
- ¿Qué pasa si un empleado cae en un ataque de phishing?
- ¿Qué sucede si se filtra una base de datos con información personal?
- ¿Y si un proveedor externo tiene acceso y es comprometido?
Estos escenarios permiten definir planes de respuesta (incident response), planes de continuidad y protocolos de recuperación ante desastres (DRP).
🔄 7. Revisión constante
El entorno digital cambia a diario: nuevas vulnerabilidades, amenazas emergentes, tecnologías nuevas.
Por eso es clave:
- Realizar auditorías periódicas
- Mantener actualizado el análisis de riesgos
- Adaptar los protocolos de seguridad al crecimiento o cambios de la empresa
💡 En entornos serios, esto se formaliza con sistemas de gestión de seguridad de la información (SGSI) como el que define la norma ISO/IEC 27001.