Gestión De Riesgos

La Gestión de Riesgo en la Seguridad Informática ofrece a las organizaciones sociales algunos métodos y herramientas sencillas, con el propósito de reconocer la importancia y la urgente necesidad de incorporar la Seguridad Informática en sus procesos operativos institucionales, para proteger y garantizar no solamente el cumplimiento de sus misiones institucionales, sino también la privacidad y los derechos de sus activistas, aliados y sobre todo de sus beneficiarios.

La fase de análisis y la gestión de riesgos nos ayudan a identificar todos los activos importantes para la seguridad de los sistemas de información, las amenazas que pueden afectarles, identificar la vulnerabilidad de cada uno de ellos frente a estas amenazas y calcular el riesgo existente de un posible impacto sobre el activo. Con toda esta información, el responsable de seguridad puede tomar las decisiones pertinentes para implantar medidas de seguridad optimizando el factor riesgo-inversión.

Descripción del Proceso de Análisis y Gestión de Riesgos

En el proceso de análisis y gestión de riesgos de la seguridad en los sistemas de información podemos identificar las siguientes etapas:

Planificación

En esta fase, se establece el objetivo del proyecto, el dominio de estudio y las restricciones generales. Deben también definirse las métricas con las que se valorarán los diferentes elementos de seguridad, de manera que los resultados finales de medición del riesgo sean definidos en función de los parámetros adecuados para cuantificar el riesgo por la organización (por ejemplo, definir la escala de frecuencias para medir la vulnerabilidad, definir las cantidades monetarias por las que cuantificar el impacto, etc).

Análisis de riesgos

Una vez definido el dominio, los analistas de riesgos procederán a realizar las entrevistas al personal de la organización para la obtención de información. En esta fase se identificarán los activos de la organización, identificando las relaciones que se establecen entre activos. De esta forma se obtiene el "árbol de activos" que representan las distintas dependencias y relaciones entre activos, es decir, todos aquellos elementos que están "encadenados entre sí" en términos de seguridad.

También se identifican el conjunto de amenazas, estableciendo para cada activo, cual es la vulnerabilidad que presenta frente a dicha amenaza. Además, se cuantifica el impacto, para el caso en el que la amenaza se materializase.

Dado que los activos se encuentran jerarquizados y se encuentran establecidas las relaciones de dependencia entre los activos de las diferentes categorías, hemos conseguido de forma explicita documentar la "cadena de fallo" en caso de un incidente de seguridad.

...