InfoSecMan Blog

Descubro en los últimos días algunos posts interesantes sobre análisis de riesgos, destacando por su síntesis y claras ideas el de Joseba Enjuto titulado “¿Funcionan los Análisis de Riesgos?” que comenta muy bien Javier Cao.

Pues bien, de la mano de mi gran amigo Nacho Paredes (semilla origen de la reflexión) me permito lanzar aquí una cuestión para libre dicusión que quizás cree cierta controversia:

¿Es necesario siempre un Análisis de Riesgos?

Esta cuestión dentro del “pensamiento clásico” puede sonar como una llamada al anticristo, una pregunta de alguien que comienza en esto de la seguridad y no tiene ni idea, o incluso una locura, ya que probablemente la mayoría de los “encuestados” contestaría con un rotundo y sonoro SI, POR SUPUESTO.

Pues bien, permitidme que, ya que siempre me gusta hacer analogías, haga una con algo parecido en medicina. Un análisis de riesgos no deja de ser una especie de diagnóstico médico de un paciente para conocer qué necesidades o problemas tiene y cómo tratarlos de la forma más adecuada. Ante un paciente, probablemente cualquier médico asegure que es totalmente necesario realizar un diagnóstico para poder afrontar un proceso de mejora adecuado.

¿Pero qué pasaría si tenemos un grupo numeroso de pacientes con las mismas carencias que ya conocemos de antemano? Por ejemplo, una vecindad que ha estado bebiendo agua con altos índices de plomo, o un poblado en Africa que lleva en situación de inanición meses o años. ¿La situación de todos esos pacientes no sería muy similar en lo más crítico (sus carencias)? Si esa población es numerosa (por ejemplo de 1000 personas o de 1 millón), ¿qué es más lógico si queremos mejorar el nivel de salud general en el menor tiempo posible (antes de que haya más muertes)?, ¿identificar las carencias comunes a todos los pacientes y quizás hacer un muestreo de la salud de 10 de ellos o realizar un diagnóstico personalizado de los 1000 o del millón?.  Probablemente todos estemos de acuerdo que en este caso, el diagnóstico personalizado de los 1000 pacientes no ofrecería ventajas importantes respecto al otro escenario, sino más bien retrasaría la mejora del nivel global de salud e incurriría en mayores costes (de todo tipo, desde vidas humanas hasta de profesionales de la medicina).

Vayámonos pues ahora a nuestro campo. La seguridad. ¿Existe algún colectivo de organizaciones con carencias comunes y muy identificadas similares a las que planteábamos en la analogía anterior?. Sí, yo creo que sí: las PYMES (y algunas organizaciones con niveles de madurez similares, pero dejemos ese caso para otro día).

Sabemos que más del 95% del tejido empresarial está compuesto por estas empresas, es decir tenemos una cantidad importante y sabemos además cuáles son sus principales carencias. Incluso con un pequeño estudio o muestreo podemos asegurar cuáles son sus carencias con más de un 90% de efectividad por grupos de empresa o nichos (por tamaño, por ejemplo las micropymes, o por sector).

Si queremos mejorar el nivel general de la seguridad en un grupo de este tipo de empresas (por ejemplo de 10.000 ), ¿cómo lo conseguiremos de manera más eficiente? ¿incorporando el proceso de análisis de riesgos en todas y cada una de ellas o identificando de forma previa sus carencias generales (siii, un análisis de riesgos general de aproximación) y dedicando más recursos a elevar su nivel de seguridad… a curarlos?

Dejo abierta la pregunta, mi respuesta ya la intuís.

Por tanto, ¿Es necesario siempre un Análisis de Riesgos? No, no siempre. … al menos como estamos acostumbrados a realizarlos…

Se abre la veda (Gracias Nacho por la idea!)