Comprende
la
identificación de activos informáticos,
sus vulnerabilidades y amenazas a
los que se encuentran expuestos,
así como;
su
probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los
controles adecuados para aceptar, disminuir, transferir o evitar la ocurrencia
del riesgo.
Para adentrarnos en el tema es importante conocer algunos conceptos previos:
Amenaza. Es un evento que puede causar un
incidente de seguridad en una empresa u organización produciendo pérdidas o
daños potenciales en sus activos.
Vulnerabilidad. Es una debilidad que puede ser
explotada con la materialización de una o varias amenazas a un activo.
Riesgo. Es un incidente o situación, que
ocurre en un sitio concreto en un intervalo de tiempo determinado, con
consecuencia negativas o positivas que pueden afectar el cumplimiento de los
objetivos.
Impacto: Es la medición de las consecuencias al materializar las amenazas.
