Detalle: R-01

Acción Prioritaria / Recomendada

Implementar MFA en M365/sistemas críticos, eliminar usuarios compartidos y capacitación express.

Activos Críticos en Riesgo

Microsoft 365 (Correo/SharePoint), Sabre, Turismatica, TMA y Datos Sensibles de Clientes .

Controles Existentes

Políticas básicas de contraseñas y soporte reactivo del proveedor IT ante incidentes.

Costos de Oportunidad

Desvío de atención del equipo comercial a tareas de recuperación en lugar de ventas y captación.

Descripción de la Amenaza

Uso de ingeniería social y suplantación de identidad para capturar credenciales de acceso.

Estrategia de Tratamiento

Mitigar: Reducción del riesgo mediante controles técnicos y formación para bajar la exposición.

Evidencias de Control

Capturas de MFA habilitado, Registro de Accesos actualizado y actas de capacitación.

Identificación del Riesgo

CYB-01: Acceso no autorizado mediante phishing y suplantación de identidad en sistemas críticos.

Impacto Financiero (Ventas)

Pérdida directa de facturación por imposibilidad de operar en Sabre o Turismatica durante el incidente.

Impacto Reputacional

Pérdida de confianza masiva del cliente y daño a la imagen de la agencia por filtración.

Impacto en Continuidad

Bloqueo de cuentas por el proveedor e interrupción de la capacidad de atención y reservas.

Impacto en Cumplimiento

Potencial incumplimiento de normativas de privacidad (GDPR/LPDP) y contratos por exposición de datos.

Impacto en Datos

Acceso indebido a correo y archivos, fuga o alteración de reservas y datos de pasajeros.

Métrica de Seguimiento (KPI)

Porcentaje de cuentas críticas con MFA habilitado (Meta: 100%) y reporte de incidentes trimestral.

Plazo de Ejecución

Ventana de implementación obligatoria de 30 a 60 días.

Responsables (Owners)

Proveedor IT (Ejecución técnica) y Administración (Validación y seguimiento).

Riesgo Material (Cuantificar)

Estimación de multas legales por brecha de seguridad y costos de remediación técnica/legal.

Severidad (Exposición)

Riesgo ALTO (6): Requiere plan de mitigación y atención prioritaria.

Vulnerabilidades Detectadas

Ausencia de MFA generalizado, baja capacitación, usuarios genéricos/compartidos y falta de IAM formal.

R-01