Probabilidad
Impacto
Severidad Total
Implementar MFA en M365/sistemas críticos, eliminar usuarios compartidos y capacitación express.
Microsoft 365 (Correo/SharePoint), Sabre, Turismatica, TMA y Datos Sensibles de Clientes .
Políticas básicas de contraseñas y soporte reactivo del proveedor IT ante incidentes.
Desvío de atención del equipo comercial a tareas de recuperación en lugar de ventas y captación.
Uso de ingeniería social y suplantación de identidad para capturar credenciales de acceso.
Mitigar: Reducción del riesgo mediante controles técnicos y formación para bajar la exposición.
Alto (3): Afecta sistemas críticos de reservas, datos sensibles y continuidad operativa.
Alta (3): Evento frecuente en el sector con alta exposición diaria vía correo electrónico.
Capturas de MFA habilitado, Registro de Accesos actualizado y actas de capacitación.
CYB-01: Acceso no autorizado mediante phishing y suplantación de identidad en sistemas críticos.
Pérdida directa de facturación por imposibilidad de operar en Sabre o Turismatica durante el incidente.
Pérdida de confianza masiva del cliente y daño a la imagen de la agencia por filtración.
Bloqueo de cuentas por el proveedor e interrupción de la capacidad de atención y reservas.
Potencial incumplimiento de normativas de privacidad (GDPR/LPDP) y contratos por exposición de datos.
Acceso indebido a correo y archivos, fuga o alteración de reservas y datos de pasajeros.
Porcentaje de cuentas críticas con MFA habilitado (Meta: 100%) y reporte de incidentes trimestral.
Ventana de implementación obligatoria de 30 a 60 días.
Proveedor IT (Ejecución técnica) y Administración (Validación y seguimiento).
Estimación de multas legales por brecha de seguridad y costos de remediación técnica/legal.
Riesgo ALTO (9): Nivel máximo que exige mitigación obligatoria y reporte a Dirección.
Ausencia de MFA generalizado, baja capacitación, usuarios genéricos/compartidos y falta de IAM formal.
Implementar MFA en M365/sistemas críticos, eliminar usuarios compartidos y capacitación express.