En este Blog N°10 analizaremos la relación existente entre una vulnerabilidad y una amenaza, en sí mismo, la presencia de una vulnerabilidad no produce daño por si sola, debe existir una amenaza para explotarla.

Una vulnerabilidad que no se corresponde con una amenaza puede no requerir la puesta en marcha de un control, pero debe ser identificada y controlada en caso de que se produzcan cambios.

Tener en cuenta que la aplicación incorrecta, uso de software pirata, el uso o el mal funcionamiento de un control, por sí mismo, podrían representar una amenaza. Un control puede ser eficaz o ineficaz en función del entorno en el que opera. Por otro lado, una amenaza que no es vulnerable no puede representar un riesgo.

La presencia de una vulnerabilidad no produce daño por si sola, debe existir una amenaza para explotarla …

Relación existente:

 Algunos ejemplos de Vulnerabilidad y Amenaza para lograr una mayor claridad, uno apunta al ¿Por qué? y el otro al ¿Qué?

Una vulnerabilidad es una debilidad o fallo en un “sistema de información” que pone en riesgo la “seguridad de la información” pudiendo permitir que un atacante pueda comprometer la “triada CID” integridad, disponibilidad o confidencialidad de esta, por lo que es necesario encontrarlas y eliminarlas lo antes posible. Estos «agujeros» pueden tener distintos orígenes, por ejemplo: fallos de diseño, errores de configuración o carencias de procedimientos y controles.

Las vulnerabilidades son “las condiciones y características propias de los sistemas” de una organización que la hacen susceptible a las amenazas.

La amenaza aprovecha esta vulnerabilidad para atentar contra la “seguridad de un sistema de información”. Es decir, que podría tener un potencial efecto negativo sobre algún elemento de nuestros sistemas. Las amenazas pueden proceder de ataques (fraude, robo, virus), sucesos físicos (incendios, inundaciones) o negligencia y decisiones institucionales (mal manejo de contraseñas, no usar cifrado).

Estas amenazas pueden venir desde el exterior o interior de la organización. El problema es que, en el mundo real, si existe una vulnerabilidad, siempre existirá alguien que intentará explotarla, es decir, sacar provecho de su existencia a través de una amenaza.

Por otro lado, el riesgo es la probabilidad de que se produzca un incidente de seguridad, materializándose una amenaza y causando pérdidas o daños.

Se mide asumiendo que existe una cierta vulnerabilidad frente a una determinada amenaza, como puede ser un hacker, un ataque de denegación de servicios, un virus.

El riesgo depende entonces de los siguientes factores: la probabilidad de que la amenaza se materialice aprovechando una vulnerabilidad y produciendo un daño o impacto en los SIA.

Si necesitas más información al respeto ponte en contacto con nosotros y te explicaremos más en detalle:

Página web: www.INCIBChile.cl
WhatsApp Business: +56 9 6587 4587
Mail: contacto@incibchile.cl