Probabilidad
Impacto
Severidad Total
Implementar cifrado/MDM, política de reporte inmediato y revocación rápida de todas las sesiones activas.
Tecnología (Notebooks/Celulares) y Datos (correo, SharePoint y datos de pasajeros).
Credenciales por usuario en algunos sistemas y capacidad de bloqueo manual tras la detección del incidente.
Ventas no concretadas durante el periodo de incomunicación del empleado tras el robo del dispositivo.
Sustracción o extravío de equipos con sesiones activas que permiten el acceso a la infraestructura cloud de la agencia.
Confidencialidad: El riesgo principal es la exposición de información sensible de clientes a terceros no autorizados.
Comunicación inmediata del empleado o detección de geolocalización inusual fuera de horario laboral.
Mitigar: Reducción del impacto mediante controles técnicos (cifrado) y procedimentales (reporte rápido).
Alto (3): El acceso a datos de clientes y sistemas de reserva genera un impacto legal y reputacional severo.
Media (2): Existe una posibilidad real debido a la movilidad del personal y antecedentes de inseguridad urbana.
Inventario básico de equipos, capturas de pantalla de cifrado activo y acta de notificación de la política.
FIS-04: Robo, vandalismo o pérdida física de dispositivos móviles corporativos.
Costo de reposición inmediata del hardware y pérdida de productividad del vendedor/administrativo afectado.
Daño a la imagen de la agencia por la percepción de descuido en el manejo de dispositivos con datos privados.
Afectación puntual del colaborador y demoras operativas mientras se repone el equipo y se bloquean accesos.
Riesgo legal y contractual por exposición de datos sensibles protegidos por la PSI y normativas vigentes.
Acceso indebido a correo institucional, archivos de clientes en SharePoint y potencial fuga de información.
Técnico: Cifrado de disco (Bitlocker) y MDM. Administrativo: Inventario de equipos y política de uso.
Porcentaje de equipos móviles con cifrado habilitado (Meta: 100%) y tiempo de respuesta ante reportes.
Ventana de implementación obligatoria definida entre 30 y 60 días.
Administración (gestión de política) y Proveedor IT (ejecución técnica de cifrado y bloqueos).
Gastos por gestión de crisis, potenciales multas de protección de datos y costos de licencias de seguridad MDM.
Riesgo ALTO (6): Resultado de Probabilidad (2) x Impacto (3). Exige acciones urgentes y seguimiento activo.
Dispositivos sin cifrado obligatorio, ausencia de MDM, falta de inventario y sesiones activas persistentes.
Implementar cifrado/MDM, política de reporte inmediato y revocación rápida de todas las sesiones activas.