Resumen Magerit v3

Anlisis de riesgos en 6 pasos
Sin duda alguna, si queremos empezar por el principio en materia de ciberseguridad en nuestra
empresa, el anlisis de riesgos es uno de los trabajos ms importantes a la hora de definir proyectos e
iniciativas para la mejora de la seguridad de la informacin. Si consideramos que las herramientas
tecnolgicas y la informacin que manejamos son de gran valor para nuestra organizacin debemos
empezar a pensar en poner en prctica un Plan Director de Seguridad. El Plan Director de Seguridad
(PDS) se puede simplificar como la definicin y priorizacin de un conjunto de proyectos en materia de
seguridad de la informacin dirigido a reducir los riesgos a los que est expuesta la organizacin hasta
unos niveles aceptables a partir de un anlisis de la situacin inicial. Llevar a cabo un buen anlisis nos
permitir centrar nuestro foco de atencin en los riesgos asociados a los sistemas, procesos y elementos
dentro del alcance del PDS. De esta forma mitigaremos la posibilidad de tener algn tipo de incidente de
ciberseguridad.. Por otra parte, tambin podemos obtener beneficios si realizamos un anlisis de riesgos
de forma aislada en lugar de llevarlo a cabo dentro de un contexto mayor como es el del desarrollo de
un PDS.
A continuacin veremos de forma sencilla las principales tareas del anlisis de riesgos, aportando
recomendaciones prcticas sobre cmo llevarlo a cabo, y considerando algunas particularidades a tener
en cuenta para que aporte el mximo valor al PDS. Cabe sealar que las fases o etapas que componen
un anlisis de riesgos dependen de la metodologa escogida. En el caso que nos ocupa, hemos
seleccionado un conjunto de fases que son comunes en la mayor parte de las metodologas para el
anlisis de riesgos.
1. Fase 1. Definir el alcance
El primer paso a la hora de llevar a cabo el anlisis de riesgos es establecer el alcance del estudio. Vamos
a considerar que este anlisis de riesgos forma parte del Plan Director de Seguridad. Por lo tanto,
recomendamos que el anlisis de riesgos cubra la totalidad del alcance del PDS, dnde se han
seleccionado las reas estratgicas sobre las que mejorar la seguridad. Por otra parte, tambin es
posible definir un alcance ms limitado atendiendo a departamentos, procesos o sistemas. Por ejemplo,
anlisis de riesgos sobre los procesos del departamento Administracin, anlisis de riesgos sobre los
procesos de produccin y gestin de almacn o anlisis de riesgos sobre los sistemas TIC relacionados
con la pgina web de la empresa, etc. En este caso prctico consideramos que e l alcance escogido para
el anlisis de riesgos es Los servicios y sistemas del Departamento Informtica.
2. Fase 2. Identificar los activos

Una vez definido el alcance, debemos identificar los activos ms importantes que guardan relacin con
el departamento, proceso, o sistema objeto del estudio. Para mantener un inventario de activos sencillo
puede ser suficiente con hacer uso de una hoja de clculo o tabla como la que se muestra a
continuacin a modo de ejemplo:
3. Fase 3. Identificar / seleccionar las amenazas

Habiendo identificado los principales activos, el siguiente paso consiste en identificar las amenazas a las
que estos estn expuestos. Tal y como imaginamos, el conjunto de amenazas es amplio y diverso por lo
que debemos hacer un esfuerzo en mantener un enfoque prctico y aplicado. Por ejemplo, si nuestra
intencin es evaluar el riesgo que corremos frente a la destruccin de nuestro servidor de ficheros, es
conveniente, considerar las averas del servidor, la posibilidad de daos por agua (rotura de una caera)
o los daos por fuego, en lugar de plantearnos el riesgo de que el CPD sea destruido por un meteorito.
A la hora de identificar las amenazas, puede ser til tomar como punto de partida el catlogo de
amenazas que incluye el Libro 2 Catlogo de elementos de la metodologa MAGERIT v3
4. Fase 4. Identificar vulnerabilidades y salvaguardas

La siguiente fase consiste en estudiar las caractersticas de nuestros activos para identificar puntos
dbiles o vulnerabilidades. Por ejemplo, una posible vulnerabilidad puede ser identificar un conjunto de
ordenadores o servidores cuyo sistemas antivirus no estn actualizados o una serie de activos para los
que no existe soporte ni mantenimiento por parte del fabricante. Posteriormente, a la hora de evaluar el
riesgo aplicaremos penalizaciones para reflejar las vulnerabilidades identificadas.
Por otra parte, tambin analizaremos y documentaremos las medidas de seguridad implantadas en
nuestra organizacin. Por ejemplo, es posible que hayamos instalado un sistema SAI (Sistema de
Alimentacin Ininterrumpida) o un grupo electrgeno para abastecer de electricidad a los equipos del
CPD. Ambas medidas de seguridad (tambin conocidas como salvaguardas) contribuyen a reducir el
riesgo de las amenazas relacionadas con el corte de suministro elctrico.
Estas consideraciones (vulnerabilidades y salvaguardas) debemos tenerlas en cuenta cuando vayamos a
estimar la probabilidad y el impacto como veremos en la siguiente fase.
5. Fase 5. Evaluar el riesgo

Llegado a este punto disponemos de los siguientes elementos:
Inventario de activos.
Conjunto de amenazas a las que est expuesta cada activo.
Conjunto de vulnerabilidades asociadas a cada activo (si corresponde).
Conjunto de medidas de seguridad implantadas
Con esta informacin, nos encontramos en condiciones de calcular el riesgo. Para cada par activo -
amenaza, estimaremos la probabilidad de que la amenaza se materialice y el impacto sobre el negocio
que esto producira. El clculo de riesgo se puede realizar usando tanto crite rios cuantitativos como
cualitativos. Pero para entenderlo mejor, veremos a modo de ejemplo las tablas para estimar los
factores probabilidad e impacto.
Tabla para el clculo del impacto
Clculo del riesgo

A la hora de calcular el riesgo, si hemos optado por hacer el anlisis cuantitativo, calcularemos
multiplicando los factores probabilidad e impacto:
RIESGO = PROBABILIDAD x IMPACTO.
Si por el contrario hemos optado por el anlisis cualitativo, haremos uso de una matriz de riesgo como la
que se muestra a continuacin:
Tal y como indicbamos en el apartado anterior, cuando vayamos a estimar la probabilidad y el impacto
debemos tener en cuenta las vulnerabilidades y salvaguardas existentes. Por ejemplo, la cada del
servidor principal podra tener un impacto alto para el negocio. Sin embargo, si existe una solucin de
alta disponibilidad (Ej. Servidores redundados), podemos considerar que el impacto ser medio ya que
estas medidas de seguridad harn que los procesos de negocio no se vean gravemente afect ados por la
cada del servidor. Si por el contrario hemos identificado vulnerabilidades asociadas al activo,
aplicaremos una penalizacin a la hora de estimar el impacto. Por ejemplo, si los equipos de
climatizacin del CPD no han recibido el mantenimiento recomendado por el fabricante,
incrementaremos el impacto de amenazas como condiciones ambientales inadecuadas o
malfuncionamiento de los equipos debido a altas temperaturas.
6. Fase 6. Tratar el riesgo

Una vez calculado el riesgo, debemos tratar aquellos riesgos que superen un lmite que nosotros mismos
hayamos establecido. Por ejemplo, trataremos aquellos riesgos cuyo valor sea superior a 4 o superior
a Medio en caso de que hayamos hecho el clculo en trminos cualitativos. A la hora de tratar el
riesgo, existen cuatro estrategias principales:
Transferir el riesgo a un tercero. Por ejemplo, contratando un seguro que cubra los daos a
terceros ocasionados por fugas de informacin.
Eliminar el riesgo. Por ejemplo, eliminando un proceso o sistema que est sujeto a un riesgo
elevado. En el caso prctico que hemos expuesto, podramos eliminar la wifi de cortesa para
dar servicio a los clientes si no es estrictamente necesario.
Asumir el riesgo, siempre justificadamente. Por ejemplo, el coste de instalar un grupo
electrgeno puede ser demasiado alto y por tanto, la organizacin puede optar por asumir.
Implantar medidas para mitigarlo. Por ejemplo, contratando un acceso a internet de respaldo
para poder acceder a los servicios en la nube en caso de que la lnea principal haya cado.
================================================================================
Por ltimo, cabe sealar que como realizamos este anlisis de riesgos en el contexto de un PDS, las
acciones e iniciativas para tratar los riesgos pasarn a formar parte del mismo. Por lo tanto, deberemos
clasificarlas y priorizarlas considerando el resto de proyectos que forman parte del PDS. Asimismo, tal y
como indicbamos en la introduccin, llevar a cabo un anlisis de riesgos nos proporciona informacin
de gran valor y contribuye en gran medida a mejorar la seguridad de nuestra organizacin. Dada esta
situacin, animamos a nuestros lectores a llevar a cabo este tipo de proyectos ya bien sea de forma
aislada o dentro del contexto de un proyecto mayor como es el caso del Plan Director de Seguridad.

Resumen Magerit v3

Cargado por

Copyright:

Formatos disponibles

Resumen Magerit v3

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Resumen Magerit v3

Cargado por

Copyright:

Formatos disponibles

Anlisis de riesgos en 6 pasos

2. Fase 2. Identificar los activos

3. Fase 3. Identificar / seleccionar las amenazas

4. Fase 4. Identificar vulnerabilidades y salvaguardas

5. Fase 5. Evaluar el riesgo

Tabla para el clculo del impacto

Clculo del riesgo

6. Fase 6. Tratar el riesgo

También podría gustarte