Riesgo de seguridad de la información es la probabilidad de que un evento negativo cause daño a una organización o individuo. En relación al campo de la seguridad de la información (SI), se distinguen las siguientes consecuencias:
- Fuga de datos confidenciales en la organización
- Ataques externos a los sistemas de información de la empresa
- Acciones de empleados poco confiables (factor humano)
- Acceso a objetos potencialmente peligrosos en la red externa
- Obtención de información mediante medios técnicos
- Malware (Troyanos, puertas traseras, bloqueadores, codificadores, etc.)
- El uso de soluciones de software sin licencia, que a menudo contienen características no declaradas.
Auditoría de seguridad de la información
La fuga de datos en la mayoría de los casos está asociada con la incomprensión de los empleados sobre las posibles consecuencias de violar las reglas de seguridad de la información. Ejemplo: envío de información comercial a través de un canal de comunicación no seguro.
Los ataques a la red generalmente se llevan a cabo con el propósito de robar secretos comerciales, espiar a los competidores, deshabilitar recursos críticos para la víctima, etc.
El factor humano incluye no solo los errores de los empleados, sino también las acciones deliberadas que conducen a la difusión de información confidencial.
Los objetos peligrosos incluyen sitios que contienen scripts de phishing, software malicioso u otros medios que violan la seguridad de la información de una persona física o jurídica. Por ejemplo, un empleado inició sesión en un recurso web creado por estafadores y dejó datos de autenticación que luego se utilizarán para chantajear.
Uno de los tipos más peligrosos de software antivirus son los criptógrafos. Por ejemplo, pueden cifrar todos los datos comerciales importantes en las computadoras de los empleados. Los atacantes suelen exigir un rescate por el descifrado. No todos los productos antivirus son capaces de detectar un cifrador y más aún de descifrar los archivos infectados.
Los incidentes de seguridad de la información pueden dañar gravemente el presupuesto y la reputación de una empresa, hasta la quiebra. Con el fin de minimizar la probabilidad de incidentes, se lleva a cabo un conjunto de medidas preventivas destinadas a reducir los riesgos: una seguridad de la información auditoría.
Una auditoría implica analizar la situación actual de la empresa e identificar vulnerabilidades en la infraestructura de TI. Se está desarrollando el concepto de seguridad de la información de la instalación. Incluye documentos regulatorios, política de seguridad de la información y priorización de riesgos. Se utilizan medios organizativos y técnicos para aumentar el nivel de seguridad de la información.