Con carácter previo, y en función de lo comentado en entradas anteriores, podemos clasificar los riesgos según la existencia o no con carácter previo de salvaguardas o controles dentro de la organización:

• Riesgo intrínseco: evaluado antes de aplicar las salvaguardas y existente, por tanto, en todas las organizaciones con independencia del sector en el que operen.
• Riesgo Residual: evaluado después de aplicar las salvaguardas. Es el riesgo que siempre subsiste dado que no existe la Seguridad Total o Perfecta (que, sin embargo, puede ser cubierta económicamente mediante una póliza de seguro de riesgo electrónico)

Una vez identificados los riesgos, el siguiente paso es decidir qué tipo de análisis de riesgos elegir, según la posibilidad o no de cuantificar económicamente los daños producidos en una organización tras producirse un impacto. Esta aproximación nos ofrece dos vías:

1. Análisis de riesgo cuantitativo: Las métricas asociadas con el impacto causado por la materialización de las amenazas se valoran en cifras concretas de forma objetiva. Un modelo cuantitativo habitual es aquel en el que las consecuencias de la materialización de amenazas se asocian a un determinado nivel de impacto, en función de la estimación del coste económico que supone para la organización. Tienen la ventaja de aportar una mayor precisión empresarial al dar como resultado una valoración numérica, que puede ser calculable en el tiempo y como inconveniente principal, la complejidad de su cálculo, especialmente en el caso de los activos intangibles (¿cómo valorar la pérdida de imagen como consecuencia de un incidente de seguridad que ha aparecido en los periódicos ?)
2. Análisis de riesgos cualitativo: Las métricas asociadas con el impacto causado por la materialización de las amenazas se valoran en términos subjetivos (Impacto Muy Alto, Alto, Medio, Bajo o Muy Bajo). Las consecuencias de la materialización de amenazas se asocian a un determinado nivel de impacto en función de multitud de factores (pérdidas económicas efectivas, pérdida de conocimiento, pérdida de competitividad, interrupción de negocio, pérdida de imagen, etc). Tiene como ventaja principal su mayor facilidad de cálculo al no implicar una valoración económica y como inconveniente su carácter de apreciación subjetiva.

Fuente: Comentarios sobre Riesgo Electrónico