Cuando una persona amenaza a otra, lo que hace es anunciarle un mal futuro (generalmente el origen es ilícito), este mal augurio es posible de realizar y su finalidad es causar inquietud o miedo sobre quien recibe la amenaza.

Es por esto y para diferenciar claramente este articulo que vamos a compartir un poco acerca de las amenazas en Seguridad Física y de la Información, anteriormente nos referimos a las vulnerabilidades dentro del proceso de análisis de riesgo. Nuestro objetivo, repito, es brindar información a quien lidera el equipo de seguridad en la empresa para que pueda tomar las mejores decisiones con la información disponible pero sobre todo con el conocimiento básico pero profesional de qué debe y no debe hacerse para tener éxito y no fracasar en el cumplimiento del plan estratégico de la organización desde su área de competencia.

La amenaza es la combinación de capacidades del adversario: equipamiento, motivación, intención y probabilidad de ataque, debemos dejar en claro que como gerentes de seguridad nuestro radio de acción en términos de prevención lo debemos de encuadrar en la probabilidad de ataque, en ninguna otra capacidad tendremos la competencia suficiente para neutralizar o minimizar su efecto.

Usualmente en Seguridad Física el término amenaza nace cuando llevamos a cabo la evaluación de riesgo y empezamos a reunir información valiosa acerca de nuestros adversarios, los cuales pueden ser: externos, internos o externos coludidos con internos. Cada uno de estos adversarios empleará una gama de tácticas características para cumplir su cometido, estas pueden ser:

• Emplear el engaño para cumplir su cometido
• Utilizar la fuerza para abrirse paso a través de las barreras dispuestas
• Ser sigiloso y actuar en previsión a ser descubierto

El espectro de amenaza entonces nos permitirá, de acuerdo con las características de la amenaza clasificarla en grupos diferenciados, a continuación, explicaremos estos grupos no sin antes mencionar que las características de cada uno de ellos no son excluyentes, pero si muy particulares:

• Vándalos, generalmente actúan en pequeños grupos y su intención de daño es sobre activos de bajo valor, pueden estar bajo la influencia del alcohol y/o drogas pero rara vez cuentan con ayuda desde el interior, generalmente no están motivados y tenderán a huir antes de ser capturados.
• Empleados descontentos, normalmente actúan en solitario por temor a ser descubiertos o denunciados, a veces están sometidos a cuadros de estrés emocional lo cual los hace mentalmente inestables y su deseo es atacar a alguna persona en la organización y/o hacer daño al equipo u activos, quienes componen este grupo si se encuentran altamente motivados y no esperan ser sorprendidos por que cuentan con acceso autorizado.
• Criminales, su objetivo es robar activos u equipos de valor en la instalación y así obtener un beneficio económico por la venta de lo robado, este grupo planifica el ataque y sí puede tener ayuda desde el interior, sin embargo, toman la determinación de detener el ataque si son detectados.
• Grupos extremistas, no nos referimos a grupos terroristas ni a movimientos ideológicos que fomentan el terror, nos referimos a grupos que tienen como objetivo luchar contra prácticas de la industria que consideran que atentan contra el libre derecho, el ambiente, el mundo animal, etc. Su objetivo es atraer la atención sobre el blanco escogido incitando al publico y acudiendo a los medios de comunicación, no son en gran medida violentos, pero se resisten a cumplir las ordenes de desalojo o retiro del sitio.

Como mencionamos anteriormente, debemos estimar la probabilidad de ataque y para ello nos podemos agenciar de información de diferentes fuentes que nos permitan determinar:

• La frecuencia, empleando datos respaldados en estadísticas producto del registro de incidentes pasados
• La probabilidad, al igual que la frecuencia, crear escenarios con la información disponible empleando supuestos
• Estimar cualitativamente un futuro incidente tomando como base la información pertinente asignándole valores de probable o improbable.

Ampliando un poco más el panorama en beneficio del lector, cuando nos referimos a las amenazas que atentan contra la seguridad de la Información las clasificamos en tres grupos claramente definidos:

• Amenazas intencionales, se determinan luego de identificar los potenciales adversarios y evaluar sus capacidades e intenciones hacia los activos de información clave de la organización, se consideran potenciales adversarios a gobiernos extranjeros, grupos activistas, grupos terroristas, competidores, agencias de información, etc
• Amenazas naturales, en previsión a ellas se recomienda mantener permanentemente el respaldo de la información crítica fuera de la instalación como parte del plan de continuidad del negocio
• Amenazas involuntarias, Estas generalmente se pasan por alto pues son las más difíciles de identificar y evaluar, generalmente son ejecutadas por personas que cometen errores o accidentes en el manejo, procesamiento, gestión y protección de la información.

También existen otras amenazas especificas que atentan contra la seguridad de la información como, por ejemplo:

• La Minería de Datos o recopilación de información de fuentes abiertas e información pública.
• Los Insiders, son personas que explotan relaciones de confianza con clientes, proveedores, socios en su propio beneficio.
• La Falsificación y la Piratería, las cuales tienen implicancias económicas y afectan el sistema de seguridad siendo perjudicadas letalmente en su continuidad las pequeñas y medianas empresas.

Para finalizar, sería un ejercicio práctico muy útil que el lector efectuara un análisis rápido de sus activos VS. sus amenazas contrastando el resultado obtenido con las contramedidas existentes en su organización y su posible consecuencia.

Los invito a comentar este articulo y a enriquecer con su experiencia y conocimiento este blog.