Ejemplo de informe de análisis de riesgos

Actividad No.2: Caso Práctico.

Contenido

Información de Contexto        2

Identificación de Riesgos        3

Proyectos para tratamiento de riesgos        4

Proyecto a ser desarrollado: Correcta gestión de las vulnerabilidades técnicas        5

Descripción del proyecto:        5

Objetivo del proyecto:        6

Alcance del proyecto:        6

Tiempo estimado:        6

Plan detallado de acción:        6

Información de Contexto

La empresa “KARPEX” es fabricante de maquinaria industrial, opera en Ecuador desde 1990 y fue adquirida en el 2019 por un grupo formado por 3 accionistas, los mismos que cuentan con partes iguales de participación, cuenta con una nómina de 150 personas y con una cartera de 850 clientes así como tiene calificados a 100 proveedores, al ser una industria rinde cuentas y está regulado por los siguientes organismos de control:

• SRI (Servicio de rentas internas)
• Ministerio del ambiente
• Ministerio de finanzas
• Ministerio de Industrias
• Bomberos
• IESS Instituto Ecuatoriano de Seguridad Social

Karpex cuenta con la siguiente estructura organizacional:

Gerencia General, Gerencia de Producción, Gerencia de Logística, Gerencia Administrativa - Financiera, Gerencia de Ventas y Gerencia de Sistemas.

Cuenta con procesos levantados y documentados de cada una de las áreas mencionadas, de igual manera las funciones y responsabilidades de cada uno de los cargos se encuentran establecidas.

La Empresa cuenta con un plan estratégico a ser aplicado entre 2020 y 2022, dentro de este plan cuentan como pilares fundamentales los siguientes compromisos establecidos con la comunidad:

Accionistas: Garantizar la seguridad de sus inversiones así como maximizar su rentabilidad

Clientes: Garantizar la calidad de los productos así como el fiel cumplimento de las cláusulas contractuales.

Entidades de regulación y control: Enmarcar sus operaciones dentro del estricto ámbito de la legalidad cumpliendo con todas las imposiciones dadas por los organismos de control y regulación.

Empleados: Garantizar el buen clima laboral asegurando el pago justo por el trabajo realizado así como fortaleciendo los incentivos que permitan el crecimiento profesional y personal de sus empleados, garantizando además estabilidad laboral.

Proveedores: Garantizar el cumplimiento de las cláusulas contractuales, respetando además acuerdos de confidencialidad.

Karpex es una empresa líder en su línea de negocio, posición que ha adquirido gracias a su compromiso con la calidad y la seguridad, por este motivo ha decidido implantar un Sistema de Gestión de la Seguridad el mismo que tiene por objeto establecer las riesgos a los cuales está expuesta la compañía en materia de seguridad de la información y establecer los correctivos a aplicar para minimizarlos robusteciendo de esta manera su compromiso con la calidad, seguridad y comunidad.

Para la aplicación del SGSI se ha establecido como alcance el sistema de información de la compañía, el mismo que incluye Bases de datos de clientes, proveedores, información técnica de sus productos, datos financieros y administrativos, software de gestión y hardware de operación e instalaciones físicas donde radican sus activos de información.

Identificación de Riesgos

Una vez establecido el alcance del SGSI y basándose en la metodología MAGERIT, más específicamente en su listado de amenazas, se han podido identificar los siguientes riegos a los cuales está expuesto el activo que han disidido proteger, detallándose a continuación el literal de la norma y su nombre.

• 5.1 Desastres naturales
• 5.2 Desastres industriales

• 5.2.11. [I.10] Degradación de los soportes de almacenamiento de la información

• 5.3 Errores y fallos no intencionados

• 5.3.1. Errores de usuario
• 5.3.2. Errores de administrador
• 5.3.3. Errores de monitorización
• 5.3.4. Errores de configuración
• 5.3.4. Difusión de software dañino
• 5.3.13 Vulnerabilidades de los programas
• 5.3.14 Errores de mantenimiento / actualización de programas (software)
• 5.3.15.  Errores de mantenimiento / actualización de equipos (hardware)
• 5.3.16. Caída del sistema por agotamiento de recursos
• 5.3.17. Pérdida de equipos

• 5.4 Ataques intencionados

• 5.4.7. Re-]encaminamiento de mensajes
• 5.4.8. Alteración de información
• 5.4.9. Acceso no autorizado
• 5.4.10. Análisis de tráfico
• 5.4.12. Interceptación de información (escucha)
• 5.4.14. Destrucción de información
• 5.4.15. Divulgación de información
•  5.4.16.Manipulación de programas
• 5.4.17. Manipulación de los equipos
• 5.4.18. Denegación de servicio
•  5.4.19.Robo
• 5.4.20.Ataque destructivo

Proyectos para tratamiento de riesgos

Para dar tratamiento a los riesgos identificados se han planteado los siguientes proyectos:

1.- Mejora de las medidas de seguridad física. Ref: ISO 27002 (A11.1).

2.- Incremento de la seguridad en las redes de la empresa. Ref: ISO 27002 (A13.1).

3.- Correcta gestión de las vulnerabilidades técnicas. Ref: ISO 27002 (A12.6).

El orden en el cual se plantean los proyectos corresponde a su nivel de criticidad garantizando la seguridad de la periferia al robustecer los controles de borde (accesos) tanto a nivel físico como lógico, dejando al final la gestión de las vulnerabilidad técnicas que corresponden a un factor interno.

...