Detalle: R-04

Acción Prioritaria / Recomendada

Implementar cifrado/MDM, política de reporte inmediato y revocación rápida de todas las sesiones activas.

Activos Críticos en Riesgo

Tecnología (Notebooks/Celulares) y Datos (correo, SharePoint y datos de pasajeros).

Controles Existentes

Credenciales por usuario en algunos sistemas y capacidad de bloqueo manual tras la detección del incidente.

Costos de Oportunidad

Ventas no concretadas durante el periodo de incomunicación del empleado tras el robo del dispositivo.

Descripción de la Amenaza

Sustracción o extravío de equipos con sesiones activas que permiten el acceso a la infraestructura cloud de la agencia.

Dimensión de Seguridad

Confidencialidad: El riesgo principal es la exposición de información sensible de clientes a terceros no autorizados.

Disparador (Trigger)

Comunicación inmediata del empleado o detección de geolocalización inusual fuera de horario laboral.

Estrategia de Tratamiento

Mitigar: Reducción del impacto mediante controles técnicos (cifrado) y procedimentales (reporte rápido).

Evidencias de Control

Inventario básico de equipos, capturas de pantalla de cifrado activo y acta de notificación de la política.

Identificación del Riesgo

FIS-04: Robo, vandalismo o pérdida física de dispositivos móviles corporativos.

Impacto Financiero (Ventas)

Costo de reposición inmediata del hardware y pérdida de productividad del vendedor/administrativo afectado.

Impacto Reputacional

Daño a la imagen de la agencia por la percepción de descuido en el manejo de dispositivos con datos privados.

Impacto en Continuidad

Afectación puntual del colaborador y demoras operativas mientras se repone el equipo y se bloquean accesos.

Impacto en Cumplimiento

Riesgo legal y contractual por exposición de datos sensibles protegidos por la PSI y normativas vigentes.

Impacto en Datos

Acceso indebido a correo institucional, archivos de clientes en SharePoint y potencial fuga de información.

Mecanismos de Mitigación

Técnico: Cifrado de disco (Bitlocker) y MDM. Administrativo: Inventario de equipos y política de uso.

Métrica de Seguimiento (KPI)

Porcentaje de equipos móviles con cifrado habilitado (Meta: 100%) y tiempo de respuesta ante reportes.

Plazo de Ejecución

Ventana de implementación obligatoria definida entre 30 y 60 días.

Responsables (Owners)

Administración (gestión de política) y Proveedor IT (ejecución técnica de cifrado y bloqueos).

Riesgo Material (Cuantificar)

Gastos por gestión de crisis, potenciales multas de protección de datos y costos de licencias de seguridad MDM.

Severidad (Exposición)

Riesgo MODERADO (3): Requiere medidas preventivas y seguimiento regular.

Vulnerabilidades Detectadas

Dispositivos sin cifrado obligatorio, ausencia de MDM, falta de inventario y sesiones activas persistentes.

R-04