SYSTEMS SECURITY

INTRODUCCIN

SYSTEMS SECURITY

NDICE
Gestin de Seguridad

Definicines bsicas
Gestin del Riesgo y Gobernanza
Tipos de Riesgo y origen

Anlisis de Riesgos. Modelo y valoracin

INTRODUCCIN

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- GESTIN DE SEGURIDAD

Gestin de la Seguridad de la Informacin: proceso por el cual la Organizacin define, alcanza y mantiene
unos niveles apropiados de confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad para la
informacin que necesita para operar.
Aspectos principales:

Determinar los objetivos, estrategias y polticas de Seguridad de la Informacin.

Determinar los requerimientos de Seguridad de la Informacin.

Identificar y analizar las amenazas y las vulnerabilidades de los Activos de Informacin.

Identificar y analizar los riesgos de seguridad.

Especificar salvaguardas adecuadas teniendo en cuenta las amenazas, vulnerabilidades y riesgos identificados.

Supervisar la implementacin y el funcionamiento de las salvaguardas especificadas.

Asegurar la concienciacin de todo el personal en materia de Seguridad de la Informacin.

Detectar los posibles incidentes de seguridad y reaccionar ante ellos.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- GESTIN DE SEGURIDAD

Resultados encuestas/tendencias::

Crecimiento de los incidentes provocados por el propio personal de la Organizacin, no por externos, que hacen ineficaces las medidas
establecidas para proteger de los ataques procedentes del exterior por s solas.

Crecimiento de los ataques con motivacin puramente econmica, que conduce a una profesionalizacin de los atacantes, cada ver ms
organizados con personas especializadas en la ejecucin de las diferentes fases y tareas.

Los ataques se vuelven con ello ms complejos abarcando el aprovechamiento de debilidades no slo tecnolgicas, sino tambin operativas,
ingeniera social, etc.

Crecimiento de los ataques diseados especficamente para atacar objetivos determinados. La difusin de kits que permiten realizar ataques
sofisticados a personas sin conocimientos tecnolgicos elevados permite que el nmero de ataques dirigidos aumente.

Un volumen significativo de prdidas se debe a debilidades no tecnolgicas, como el robo o la prdida de soportes de informacin o el abuso de
privilegios por parte de usuarios de sistemas de informacin.

Aproximadamente la mitad de las Organizaciones encuestadas indica que ha sufrido al menos un incidente de seguridad de la informacin durante
el ltimo ao.

Aumenta el nmero de ataques de da 0, que se producen antes de que se publique la existencia de la debilidad explotada. Esto supone la
necesidad de establecer una disciplina de seguridad que proteja no slo de las debilidades conocidas, sino tambin de las que puedan existir sin
conocerse. Asimismo, supone la necesidad de reaccionar con presteza ante la publicacin de nuevas debilidades, puesto que podran estar ya
siendo explotadas en ese momento.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- RIESGO

RIESGO
El riesgo se define como la combinacin de la probabilidad de que se
produzca un evento y sus consecuencias negativas.
Medida de la magnitud de los daos frente a una situacin peligrosa
Consecuencias:
Prdida de ingresos

Prdida de ventaja competitiva

Penalizaciones legales

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- RIESGO

Componentes del RIESGO

Amenaza es un fenmeno, sustancia, actividad humana o condicin peligrosa que puede

ocasionar la muerte, lesiones u otros impactos a la salud, al igual que daos a la propiedad, la
prdida de medios de sustento y de servicios, trastornos sociales y econmicos, o daos
ambientales. La amenaza se determina en funcin de la intensidad y la frecuencia.

Vulnerabilidad son las caractersticas y las circunstancias de una comunidad, sistema o

bien que los hacen susceptibles a los efectos dainos de una amenaza.

RIESGO = AMENAZA x VULNERABILIDAD

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- RIESGO

Factores que componen la VULNERABILIDAD
Exposicin es la condicin de desventaja debido a la ubicacin, posicin o localizacin de un
sujeto, objeto o sistema expuesto al riesgo.
Susceptibilidad es el grado de fragilidad interna de un sujeto, objeto o sistema para enfrentar
una amenaza y recibir un posible impacto debido a la ocurrencia de un evento adverso.
Resiliencia es la capacidad de un sistema, comunidad o sociedad expuestos a una amenaza
para resistir, absorber, adaptarse y recuperarse de sus efectos de manera oportuna y eficaz, lo
que incluye la preservacin y la restauracin de sus estructuras y funciones bsicas.
VULNERABILIDAD = EXPOSICIN x SUSCEPTIBILIDAD / RESILIENCIA

SYSTEMS SECURITY

INTRODUCCIN

DEFINICIONES BSICAS.- RIESGO

DISTINCIONES IMPORTANTES
RIESGO vs PELIGRO
RIESGO vs AMENAZA
SUSCEPTIBILIDAD vs PROBABILIDAD
RIESGO NO IMPLICA NECESARIAMENTE PERDIDA

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- RIESGO

Universo de riesgos existente: virtualmente infinito
Consecuencia: infinitas medidas de proteccin

IMPOSIBLE!!
Necesidad de herramientas que posibiliten seleccionar y mitigar un
conjunto limitado de riesgos

CONFIABILIDAD

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- RIESGO

Esta herramienta es el ANALISIS DE RIESGOS, permite
Identificar
Clasificar y
Valorar
los eventos que pueden amenazar la consecucin de los objetivos de la Organizacin y
establecer las medidas oportunas para reducir el impacto esperable hasta un nivel tolerable.
tolerancia al riesgo: cantidad de riesgo que una Organizacin es capaz de gestionar.
apetito de riesgo: cantidad de riesgo que una Organizacin est dispuesta a gestionar para

lograr los objetivos establecidos.

Simplificando el escenario: LINEA BASE DE SEGURIDAD

SYSTEMS SECURITY

DEFINICIONES BSICAS.- RIESGO

INTRODUCCIN

PAG.

SYSTEMS SECURITY

DEFINICIONES BSICAS.- RIESGO

INTRODUCCIN

PAG.

SYSTEMS SECURITY

DEFINICIONES BSICAS.- RIESGO

INTRODUCCIN

PAG.

SYSTEMS SECURITY

DEFINICIONES BSICAS.- RIESGO

INTRODUCCIN

PAG.

SYSTEMS SECURITY

INTRODUCCIN

DEFINICIONES BSICAS.- GESTIN DEL RIESGO

Riesgos

Riesgo de
seguridad
Cyber Crimen

Fraude interno
Cyber terrorismo

Otros
Riesgos

Riesgo de mercado
Riesgo de crdito
Riesgo de tasa de inters
Riesgo de moneda

Riesgo
Operacional

Riesgos
No de IT

Procesos de negocio
Personas y capacidades
Medio ambiente
Infraestructura fsica

Riesgos
de IT

Riesgo de
disponibilidad

Riesgo de
rendimiento

Riesgo de
escalabilidad

Cambios de
configuracin

Arq. distribuidas

Falta de redundancia

Cuellos de botella
Diversidad tecnolgica
Arquitecturas
obsoletas

Errores humanos

Picos de demanda

Crecimiento del
negocio

Riesgo de
recuperacin
Fallas de hardware
y/o software
Amenazas externas
Desastres naturales

Riesgo de
cumplimiento

Regulaciones

Polticas corporativas
Leyes
Poltica interna

PAG.

SYSTEMS SECURITY

DEFINICIONES BSICAS.- GOBERNANZA

INTRODUCCIN

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- GESTIN DE RIESGOS - ORIGEN

Los riesgos inherentes a la entidad abarcan los provenientes de:
Los recursos humanos. Tales como diferencias con los empleados o dependencias de personas clave para la
organizacin, clima social en la compaa y poltica social, y exposicin al riesgo de conflictos con los sindicatos o
los representantes de los empleados.
La regulacin. Los requisitos regulatorios suponen un riesgo creciente: es necesario identificar y gestionar las
obligaciones de cumplimiento normativo, especialmente en sectores como el financiero, seguros, u hospitalario.
Esta gestin depender mucho del modelo de negocio o de los pases en los que la organizacin se encuentre.
Los clientes. Se torna necesaria la identificacin de los puntos de conflicto con clientes, de las reas de la
compaa ms expuestas al fallo en el servicio al cliente, e, incluso, de los tipos ms significativos de riesgo
reputacional.
El entorno. En l se encuadran las situaciones de riesgo ms relevantes relacionadas con agentes externos
(tormentas, inundaciones, terremotos, pandemias etc.).

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- GESTIN DE RIESGOS - ORIGEN

Dentro de los riesgos de los procesos de una organizacin, se podran incluir:
Fraude interno y externo. Sera necesario identificar los procesos expuestos al fraude externo basndonos en la
experiencia histrica y en entrevistas con los responsables del proceso de negocio; del mismo modo, habra que
identificar los procesos susceptibles de fraude interno, como por ejemplo la venta de informacin confidencial,
relaciones con los proveedores, etc.
Prdidas generadas por una interrupcin del negocio. Sera necesario identificar los procesos expuestos a una
interrupcin del servicio, es decir aquellos procesos para los cuales una interrupcin puede suponer una prdida
financiera por el abandono del servicio al cliente o incluso por penalizaciones por incumplimiento de pagos o por
violacin de regulaciones. Este anlisis se suele realizar usualmente en el marco de la disciplina de continuidad de
negocio.
Prdidas generadas por errores en la ejecucin. Sera necesario identificar las causas ms usuales de error en
relacin con la complejidad y la automatizacin del proceso: errores humanos, fallos en la integridad TI... Los
procesos en los que estos errores podran impactar son los de pagos, desarrollo de productos financieros y
aquellos con fechas de entrega obligatorias.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- GESTIN DE RIESGOS - ORIGEN

Por ltimo, los riesgos relacionados con la estrategia incluyen:
La gestin del cambio. La innovacin y la poltica de gestin del cambio son parmetros que conducen a la
exposicin al riesgo. Sera por tanto necesario identificar en una organizacin como factores de riesgo los nuevos
proyectos de TI relativos a cambios significativos o a la implementacin de nuevos sistemas, el lanzamiento de
productos y la adquisicin de compaas.
La poltica de outsourcing/offshoring. Las decisiones de externalizacin de las partes no esenciales del negocio
para beneficiarse de economas de escala conducen a nuevos riesgos como la exposicin a la ejecucin de errores
de los proveedores de servicio, a su salud financiera, al riesgo de exponer informacin confidencial a terceros o
los derivados de un plan inadecuado de continuidad de negocio del proveedor.

Este riesgo es muy importante por la naturaleza

tecnolgica en la prestacin de los servicios.
Crdito
Mercado

Apertura de los componentes

Infraestructura
Seguridad TI/SI

Liquidez
Tasa de inters

Gestin/Control

Transferencia

Auditora

Legal

Integridad

Reputacin
Estratgico
Operacional

Continuidad
Proveedores

Algunas causas de riesgo

Infraestructura

Falta de integracin entre

heredados y los emergentes,

Seguridad TI/SI

Escasa flexibilidad a crecimiento o a la

demanda,

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

sistemas

Falta de interoperabilidad entre

sistemas propios y de los de terceros,
Hardware sub-dimensionado
dimensionado,

los
sobre

Retraso en los procesos,

Tecnologa de poca adaptabilidad,
Sistemas operativos de poca estabilidad,

Tecnologa obsoleta,
Leguajes de programacin poco flexibles.

Algunas causas de riesgo

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

Fallas en la administracin,
Falta de requerimientos de seguridad en el
proceso de desarrollo,
Carencia o inadecuacin del BCP,
Pobre autenticacin e identificacin,
Inexistencias de deteccin de intrusos o
mala configuracin,
Sin proteccin del permetro de la Intranet,
Inadecuada o carente proteccin en las
comunicaciones,
Inadecuado resguardo de activos de
informacin,
Falta de entrenamiento en nuevas
tecnologas,
Nula o pobre actualizacin sobre los
nuevas vulnerabilidades del software o
hardware.

Algunas amenazas a la seguridad

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

Hackers, Phreakers, etc.

Virus y bombas lgicas,
Vulnerabilidades del software,
Violacin de acceso,
Intercepcin de datos en la red,
Modificacin de datos en la red,
Modificacin de datos sin permiso,
Legitimacin de mensajes falsos,
Emisiones electromagnticas,
Divulgacin de datos confidenciales,
Destino de mensajes indebido,
Destruccin de datos,
Fallas de software o hardware,
Inhabilidad de operar,
Inadecuacin de la separacin de funciones.

Algunas consecuencias de los riesgoS

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

Prdidas financieras como resultado de un

fraude tecnolgico (hackers, freackers,
crackers, intrusin, etc.): Denegacin de
servicio (DOS); Internet protocol (IP)
spoofing;Trojan horses (virus).
Prdidas de informacin confidencial, por
intrusin o alteracin no permitida:
Internet protocol (IP) spoofing; Trojan
horses (virus).
Prdidas de oportunidad de negocio a
travs de discontinuidad del servicio :
Denegacin de servicio (DOS).
Utilizacin no autorizada de los recursos:
Trojan horses (virus).
Repudio de las transacciones: Negacin del
envo y/o recepcin de una transaccin.

Controles para minimizar el riesgo

Control de acceso fsicos,

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad

Control de acceso lgico,

Autenticacin,
Firewalls,
Sistemas de deteccin de intrusin,
Control de acceso al contenido,
Certificado de los servidores,

Certificacin de los prestadores,

Utilizacin de PKI,
Mecanismos de Integridad,
Manejo del No-Repudio,
Encripcin por claves,

Proveedores

Encripcin.

Objetivos de la seguridad

Infraestructura
Seguridad TI/SI

Una Organizacin
Confiable y Segura

Continuidad

Infraestructura de Seguridad
Polticas de Seguridad

Proveedores

Disponibilidad

No-Repudio

Autenticidad

Integridad

Integridad

Auditora

Confidencialidad

Gestin/Control

Pilares de la seguridad

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad

Integridad,

Identidad,

Confidencialidad,

Autenticidad,

Disponibilidad

Privacidad de:
los actores, los mensajes y los datos

en las redes de comunicacin,

la informacin crtica en los sistemas
internos.
Utilidad, Posesin,Temporalidad de:
De los datos y de la informacin.

Proveedores

Foco de la poltica de seguridad

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

Niveles de confidencialidad de los datos,

Separacin de Funciones,
Administracin y control de la seguridad
lgica,
Control y seguimiento de accesos,
Acceso de los usuarios definidos como de
contingencia/emergencia,
Acceso a utilitarios sensitivos,
Separacin
de
los
ambientes
de
procesamiento,
Puesta en produccin de los programas,
Confidencialidad de la transmisin de
datos,
Tipos de servicios ofrecidos por medio de
Internet.

Poltica de seguridad

Infraestructura
Seguridad TI/SI

La adecuacin de una sana poltica de

seguridad estar determinada por un
balance de distintos factores claves:

Gestin/Control
Auditora

Servicios ofrecidos vs. Seguridad

provista,

Integridad

Fcil de utilizar vs. Seguridad,

Continuidad
Proveedores

Costo de la seguridad vs. El riesgo

de la prdida.

Algunas causas de riesgo

Infraestructura

Ausencia o dbiles metodologas de Risk

Assessment,

Seguridad TI/SI

Falta de requerimientos de control en el

proceso de desarrollo,

Gestin/Control

Inadecuada implementacin de registros de

actividad,

Auditora
Integridad
Continuidad
Proveedores

Inexistencia o mal funcionamiento de

controles embebidos en los sistemas,
Dbil conocimiento de las operaciones y
sus riesgos,
Escaso conocimiento de las tecnologas
utilizadas.

Algunas causas de riesgo

Infraestructura
Seguridad TI/SI

Gestin/Control
Auditora
Integridad
Continuidad
Proveedores

Ausencia o dbiles metodologas de Risk

Assessment,
Inadecuado plan de auditora,
Fallas en las evidencias,
Nulo o pobre seguimiento de los hallazgos,

Faltas de ciclos de auditora continua,

Dbil conocimiento de las operaciones y
sus riesgos,

Escaso conocimiento de las tecnologas

utilizadas.

Algunas causas de riesgo

Infraestructura

Falta de una metodologa para la ingeniera

del software,

Seguridad TI/SI

Inadecuado ciclo de desarrollo de sistemas,

Gestin/Control

Problemas en el control de cambios a

programas o sistemas,

Auditora

Inadecuada segregacin de funciones

(desarrollo, bases de datos y produccin),

Integridad

Mala gestin o seleccin de los protocolos

de comunicacin,

Continuidad
Proveedores

Escaso o malo control de intrusin,

Inadecuada seguridad fsica y/o lgica.

Algunas causas de riesgo

Infraestructura

Nulo anlisis de riesgos (BIA),

Seguridad TI/SI

Inadecuado manejo de incidentes, fallas,

cancelaciones o re-procesos improvistos,

Gestin/Control
Auditora
Integridad
Continuidad

Ataques por denegacin de servicio (DoS),

Carencia o inadecuacin de la planificacin
de contingencias,
Malas prcticas de resguardo de datos,
Falta de deteccin de Virus,
Escaso mantenimiento preventivo,
Escaso entrenamiento,
Falta de control sobre los ISP,ASP o BSP.

Proveedores

Algunas causas de riesgo

Infraestructura
Seguridad TI/SI

Gestin/Control

Fallas en la seleccin de los terceros,

Inadecuado o falta de control sobre los
servicios delegados a terceros,

Inadecuado
acompaamiento
de
evolucin del negocio por los terceros,

la

Auditora

Incumplimiento de las polticas de la

organizacin por parte de terceros,

Integridad

Problemas financieros de los terceros no

detectados a tiempo,

Continuidad
Proveedores

Quiebre operacional de los terceros,

Inadecuado convenio contractual con los
terceros.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIONES BSICAS.- OBJETIVOS ANLISIS DE RIESGOS

OBJETIVOS DEL ANALISIS DE RIESGOS
Racionalizar la inversin en seguridad de la informacin.
Reduccin de costes
de la seguridad; directos e indirectos
de la inseguridad; directos e indirectos
Coste de inseguridad = riesgo
Formalizar la toma de decisiones: priorizacin y valoracin
Objetividad
Valoracin
Cumplir con las normativas aplicables
Ley Orgnica 15/1999, de 13 de diciembre, de proteccin de datos de carcter personal y sus desarrollos reglamentarios
Real Decreto 263/1996, de 16 de Febrero, por el que se regula la utilizacin de tcnicas electrnicas, informticas y telemticas por la Administracin
General del Estado.
Estndares y cdigos de buenas prcticas.
Regulaciones sectoriales (Informe Olivencia, el Informe Aldama y el Cdigo Unificado de Buen Gobierno, Basilea II, Solvencia II)

SYSTEMS SECURITY

INTRODUCCIN

DEFINICIN DEL MODELO.- ELEMENTOS

Evaluacin coste
prdida

AMENAZAS
ACTIVO

ACTIVO

ACTIVO

ACTIVO
ACTIVO
ACTIVO

Valoracin

VULNERABILIDADES

Confidencialidad
Integridad
Disponibilidad

SALVAGUARDAS

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

Las metodologas de anlisis de riesgos de seguridad de la informacin parten de la necesidad de identificar
formalmente los elementos a proteger. Estos elementos se recogen en un inventario de activos de informacin,
considerando como tales aquellos elementos que tienen valor para la Organizacin.

Identificacin de activos
Valoracin de activos (requisitos de seguridad: confidencialidad, integridad y disponibilidad)
Identificacin de amenazas
Identificacin de salvaguardas

Cmo cuantificar todos estos elementos?

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

Prdida esperada (Single Loss Expectancy SLE): Considerando un nico activo de informacin (A), un nico
requerimiento de seguridad (R) y una nica amenaza (T) se puede estimar la prdida econmica esperada en caso de
que la amenaza se realice.

Generalmente, la prdida esperada no se representa en trminos absolutos, sino como un porcentaje de degradacin
referido al valor total del activo para el requerimiento considerado.
Considerando distintos requisitos de seguridad:

Considerando los distintos activos identificados:

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

Prdida anual esperada (Annual Loss Expectancy ALE). Una vez conocida la prdida provocada por la
realizacin de cada amenaza, en caso de que ocurra, se debe considerar la probabilidad de que la amenaza se realice
efectivamente en el periodo de un ao:

La prdida anual esperada teniendo en cuenta todas las amenazas puede definirse, por tanto, como:

existen amenazas para las que se espera ms de una ocurrencia anual: el concepto de probabilidad se sustituye por el
concepto de frecuencia (Annual Rate of Occurrence ARO)

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

El concepto de riesgo intrnseco se asocia habitualmente a la prdida anual estimada, y se representa de forma
equivalente como:.

Las salvaguardas (S) implantadas permiten reducir la frecuencia de ocurrencia de las amenazas o la degradacin
causada por ellas en caso de realizarse. Teniendo en cuenta la reduccin de la frecuencia, se puede considerar P(S) la
probabilidad de que una salvaguarda sea eficaz en la prevencin de la ocurrencia de una amenaza determinada.

Considerando el conjunto de salvaguardas:

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

Considerando frecuencia en lugar de probabilidad:

De forma anloga, se puede calcular la degradacin una vez aplicadas las salvaguardas:
I(S): reduccin del impacto provocado por la accin de la salvaguarda
Riesgo residual:

Simplificacin del clculo (por coste computacional) definiendo un porcentaje fijo de reduccin de la probabilidad y
de la degradacin para cada salvaguarda implantada

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

Relaciones entre los activos
Dados dos activos A y B, de forma que el activo A depende del activo B, el valor del activo B (para cada uno de los
requerimientos de seguridad considerados), a efectos del anlisis de riesgos, puede incrementarse con el valor del
activo A, debido a que la realizacin de una amenaza sobre el activo B no slo provocar la degradacin
correspondiente del activo B, sino tambin una degradacin proporcional en el activo A. Esto se conoce como Valor
acumulado.
En caso de realizarse una amenaza T sobre el activo B

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- CUANTIFICACIN

El riesgo total de B puede estimarse como la suma entre el riesgo propio de B ms el riesgo de A soportado por B:

siendo A dependiente de B en cierto porcentaje, y dada una determinada amenaza T, el efecto de la realizacin de la
amenaza sobre el activo A debe tener en cuenta tambin la dependencia del activo B

SYSTEMS SECURITY

INTRODUCCIN

DEFINICIN DEL MODELO.- VALORACIN

Mtodos de valoracin:

Cuantitativos

Mixtos
Cualitativos

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- VALORACIN

Cuantitativa: supone establecer un valor numrico para cada uno de los requerimientos de seguridad. Este
valor se calcula en trminos de las prdidas esperadas en caso de incumplimiento de dicho requerimiento. Los
principales conceptos de prdidas a tener en cuenta son:
Coste de reposicin de los activos y recursos de informacin perdidos (adquisicin, instalacin, recuperacin, etc.)
Coste de mano de obra invertida en recuperar y/o reponer los activos y recursos de informacin.
Lucro cesante debido a la prdida de ingresos provocada por la parada o degradacin del funcionamiento de los diferentes
procesos afectados.
Capacidad de operar, debido a la prdida de confianza de los clientes y proveedores, que se traduce en una prdida de
actividad o en peores condiciones econmicas.
Sanciones y penalizaciones por incumplimiento de la ley u obligaciones contractuales.
Dao a otros activos, propios o ajenos.
Dao a personas.
Daos medioambientales.
Daos reputacionales: percepcin del mercado, prdida de clientes, dificultad para acceder al crdito, coste de las campaas
de marketing necesarias para recuperar la reputacin perdida, etc.
Valor de los secretos desvelados: secreto industrial, secreto comercial,
etc.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- VALORACIN

Cualitativa: supone asignar un valor de una escala definida para cada uno de los requerimientos de seguridad.
Este valor se calcula en base a un conjunto de caractersticas que define cada una de las categoras de la escala,
basadas en las descritas para la valoracin cuantitativa. La valoracin cuantitativa es ms precisa, pero supone un
mayor esfuerzo y dificultad, por la necesidad de valorar los distintos conceptos de prdida en trminos
generalmente econmicos. Debido a la dificultad y el coste de realizar un anlisis cuantitativo, muchas
metodologas de anlisis de riesgos han desarrollado enfoques cuantitativos, que permiten ubicar el riesgo en una
escala de rdenes de magnitud. Este anlisis se conoce como anlisis cualitativo.

Los principios del anlisis cualitativo son los mismos que los del anlisis cuantitativo,
sustituyendo los clculos aritmticos por la aplicacin de tablas

SYSTEMS SECURITY

DEFINICIN DEL MODELO.- VALORACIN

INTRODUCCIN

PAG.

SYSTEMS SECURITY

DEFINICIN DEL MODELO.- VALORACIN

INTRODUCCIN

PAG.

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- VALORACIN

La elaboracin de las tablas puede variar en funcin de las diferentes metodologas o necesidades de cada anlisis.
A continuacin se muestran dos ejemplos de tablas utilizando las funciones mximo, mnimo y media:

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- VALORACIN

Es posible convertir valores en diferentes escalas, por ejemplo, a continuacin se toman dos parmetros en una
escala de tres niveles y se obtiene un resultado en una escala de cinco niveles:

Caso inverso al caso anterior: la conversin de dos escalas

de cinco niveles a una escala de tres niveles

SYSTEMS SECURITY

INTRODUCCIN

PAG.

DEFINICIN DEL MODELO.- VALORACIN

Mtodos mixtos
Debido a que los mtodos cuantitativos y cualitativos tienen ventajas e
inconvenientes, existen alternativas para combinar ambos mtodos de forma que se
obtengan las mayores ventajas de cada uno. Esos mtodos que presentan algunas
caractersticas de los mtodos cuantitativos y otras caractersticas de los mtodos
cualitativos se denominan mtodos mixtos.