Entender la diferencia entre amenaza, vulnerabilidad y riesgo es hoy uno de los pasos más importantes para proteger cualquier negocio. Cuando un sistema informático cae en malas manos o sufre un ataque, el golpe puede ser muy duro. Se pierden datos confidenciales, se interrumpe el servicio, la imagen pública queda dañada y, encima, pueden llegar multas enormes por no cuidar la privacidad de la información. Y aunque en el mundo de la ciberseguridad se hable todo el tiempo de estos tres términos, mucha gente los mezcla como si fueran lo mismo. No lo son, aunque siempre vayan juntos.
Qué es una vulnerabilidad y por qué importa
Una vulnerabilidad es, en pocas palabras, una debilidad propia de un sistema que deja la puerta abierta para que alguien haga daño. No es el ataque, sino el fallo que lo permite. En informática esto suele venir de no actualizar el software, de errores de programación o simplemente de una protección demasiado floja. También se les llama agujeros de seguridad y la buena noticia es que, una vez detectados, se pueden arreglar.
Piensa en una casa. Una ventana que no cierra bien o una alarma que se apaga si cortan la luz son vulnerabilidades claras. En lo digital, un plugin sin actualizar en una web equivale a dejar la puerta de calle abierta de par en par. Estas brechas ponen en jaque la integridad y disponibilidad de la información.
La amenaza y el punto donde nace el riesgo
La amenaza es otra cosa. Es la posibilidad de que ese sistema sea atacado, el agente externo o el evento que puede aprovecharse del fallo. Pueden venir de muchos sitios: un hacker lanzando malware, ataques de denegación de servicio o alguien que engaña a un empleado con phishing. El ransomware es hoy una de las más peligrosas, porque secuestra la información y pide un rescate. También cuentan los errores humanos y sucesos como un incendio o el robo físico de servidores. La amenaza siempre está ahí, seamos vulnerables o no.
Link affiliatoEl riesgo es donde todo converge. Es la probabilidad de que una amenaza se materialice aprovechando una vulnerabilidad concreta y cause un daño real. Si hay un fallo pero ninguna amenaza que lo explote, el riesgo baja. Si hay amenazas pero el sistema es sólido, también. En protección civil pasa lo mismo, relacionando la probabilidad de un evento como un terremoto con la predisposición de la población a sufrir daños, algo muy ligado a la vulnerabilidad social.
Para bajar el nivel de peligro hay que atacar los dos frentes. Por un lado, auditorías para identificar y parchear fallos, actualizar sistemas y cifrar datos. Por otro, formación del personal, porque un equipo concienciado es la mejor barrera. En la gestión de territorios se usan cuatro etapas: intervención prospectiva, correctiva, protección financiera mediante seguros y gestión comunitaria. Invertir en prevención siempre sale más barato que reparar después. Para blindar una infraestructura IT resulta vital contar con firewalls, doble autenticación y herramientas de monitorización en tiempo real, buscando siempre un nivel de riesgo aceptable, ya que eliminar el peligro al 100% es imposible.
Fuente
Imagen: androidayuda.com