UNIR - Metodología de análisis y gestión de riesgos en una organización

Actividades[pic 1]

Actividad: Elaboración del documento de metodología de análisis y gestión de riesgos de una organización

Imagina que eres el responsable de seguridad de la información de una compañía (CISO) y la dirección te ha encargado que elabores un Plan Director de Seguridad de la Información, una de las decisiones que debes tomar es la elección de una metodología de análisis y gestión de riesgos, que a partir de la aprobación del PDSI será de utilización obligatoria.

El resultado de la elección de la metodología más apropiada deber ser el documento «metodología de análisis y gestión de riesgo», en el que se describe y desarrolla la metodología elegida.

Para elaborar el documento debes estudiar las metodologías de análisis y gestión de riesgos existentes, escoger la más apropiada y adaptarla a las necesidades de la organización.

Objetivo        3

Alcance        3

Justificación        3

Enfoque        3

Metodología        4

1.        Establecer el contexto        4

2.        Valorar riesgos de seguridad de la información        5

2.1.        Identificar riesgos        5

2.2.        Analizar riesgos        5

2.3.        Evaluar riesgos        5

3.        Tratar riesgos de seguridad de la información        6

4.        Aceptar riesgos de seguridad de la información        6

5.        Comunicar y consultar riesgos de seguridad de la información        6

6.        Monitorear y revisar        6

Glosario de términos        7

Bibliografía        7

Objetivo[pic 2]

Como responsable de seguridad de la información (CISO) del Banco Mexicano del Desarrollo, elaborar un Plan Director de Seguridad de la Información (PDSI), que contenga el desarrollo y descripción de una metodología de análisis y gestión de riesgos, que a partir de la aprobación del PDSI será de utilización obligatoria en toda la Institución.

Alcance[pic 3]

El PDSI y la metodología de análisis y gestión de riesgos será de observancia obligatoria para todas las áreas del Banco.

Justificación[pic 4]

Mi propuesta es adoptar una metodología alineada al estándar internacional ISO 27005:2018, toda vez que contiene la descripción del proceso de gestión de riesgos de seguridad de la información y sus actividades. El estándar proporciona una guía de amenazas generales que se pueden utilizar durante el proceso de valoración de amenazas. Las amenazas pueden ser deliberadas, accidentales o ambientales (naturales) y resultar, por ejemplo, en daños o pérdida de servicios esenciales, así mismo proporciona una guía de vulnerabilidades y enfoques cualitativos y cuantitativos para la valoración de riesgos. Un supuesto es que el manual de administración integral de riesgos, se encuentra alineado al estándar internacional ISO 31000, por lo que integro la guía ISO 73:2009 lo que habilitará la equivalencia y permitirá homologar conceptos. La metodología de análisis y gestión de riesgos planteada, nos permitirá contar con un método cuantitativo y cualitativo para identificar, analizar y evaluar los riesgos a los que se encuentren expuestos los activos de información del Banco Mexicano de Desarrollo y brindar certeza sobre la disponibilidad de los servicios y la confidencialidad, integridad y disponibilidad de la información.

Enfoque[pic 5]

La metodología de análisis y gestión de riesgos se encuentra alineada a las Leyes y regulaciones aplicables a las Instituciones de crédito, al Manual de administración integral de riesgos de la Dirección de Riesgos del Banco y al estándar internacional ISO/IEC 27005:2018, como se muestra a continuación.

[pic 6]

Figura  Enfoque.

Metodología[pic 7]

La metodología se integra de seis pasos, como se representa a continuación:

[pic 8]

Figura  Metodología. (ISO, 2018)

1. Establecer el contexto

Se debe establecer el contexto interno y externo para la gestión de riesgos de seguridad de la información, en esta etapa se debe establecer los criterios básicos necesarios, el alcance, los límites e identificar a los principales interesados para la operación de la gestión de riesgos de seguridad de la información.

1. Valorar riesgos de seguridad de la información

Los riesgos se identifican y se cuantifican o se describen cualitativamente, y se priorizan en función de los criterios y objetivos de evaluación de riesgos relevantes para el Banco.

Un riesgo es una combinación de las consecuencias que se derivarían de la ocurrencia de un evento no deseado y la probabilidad de la ocurrencia del evento. La valoración de riesgos cuantifica o describe cualitativamente el riesgo y permite priorizar los riesgos. La valoración de riesgos consiste en la identificación, análisis y evaluación

Durante la valoración de riesgos se determina el valor de los activos de información, identifican amenazas y vulnerabilidades, identifican los controles existentes y su efecto en el riesgo identificado, determina las posibles consecuencias y, finalmente, prioriza los riesgos contra los criterios de valoración de riesgos establecidos en el establecimiento del contexto.

1. Identificar riesgos

El objetivo de la identificación de riesgos es determinar qué puede ocurrir para causar una pérdida potencial y obtener información sobre cómo, dónde y por qué puede ocurrir la pérdida. Los siguientes pasos descritos a continuación deben recopilar datos de entrada para la actividad de análisis de riesgos.

...