Estos días se vienen hablando mucho, debido a la tragedia acontecida en Japón, sobre la preparación de las infraestructuras para resistir ante sucesos de la gravedad de los acontecidos allí. Y es que, como reza la frase «la realidad supera la ficción«, lo que ocurra o pueda ocurrir dificilmente podremos haberlo llegado a imaginar antes, bien porque no tengamos esa capacidad de previsión, bien porque sea un auténtico «cisne negro«.

Por eso,  cada vez que nos planteamos realizar un análisis de riesgos, debemos preguntarnos primero por la finalidad que perseguimos:

• Si estamos en el típico proceso de un SGSI, pues bien, es lo normal: identificación y valoración de activos, identificación de amenazas, de vulnerabilidades, estimación de probabilidades e impactos y ya está… De la coctelera, obtendremos el nivel de riesgo.
• Ahora bien, cuando lo que queremos es garantizar el funcionamiento de una infraestructura, me temo que el análisis de riesgos es una segunda etapa: No es lo mismo gestionar para la robustez que para la resiliencia. Cuando lo que nos preocupa es esto último, el análisis de probabilidades típico es irrelevante… ¿Qué más da lo poco probable que sea un terremoto de 8.9? ¿Qué importa lo poco probable que sea que además, a los pocos minutos, un tsunami afecte a la misma zona? En estos casos, lo que debe guiar nuestra gestión son los activos críticos (aka. infraestructuras críticas) porque, normalmente, es materialmente imposible dotar a toda mi infraestructura de los mecanismos necesarios para resistir cualquier tipo de incidente y nos deberemos centrar en los más críticos. Es más, como bien comenta Nassim Taleb en su obra, es probable que nos tachen de locos para proponer medidas contra eventos totalmente poco posibles, pero es lo que ahí, si queremos «garantizar» la resiliencia deberemos incluir medidas para sucesos totalmente irracionales (a simple vista). Y lo peor no es esto, lo peor es que nunca sabremos si nos hemos excedido en la implantación de medidas porque esos sucesos son eso, ridículamente posibles.

… ¿Todavía no nos sigues en twitter.com/enplusone?