Metodología de Análisis y Gestión de Riesgo

Metodología de Análisis y Gestión de Riesgo

Despues de analizar algunas metodologías llegue a la conclusión de elegir como base OCTAVE como base para el presente documento.

OCTAVE Es una metodología de análisis de riesgos desarrollada en el año 2001 por el SEI (Software Engineering Institute operado por la Universidad Carnegie Mellon, que tiene por objeto facilitar la evaluación de riesgos en una organización, estudia los riesgos en base a tres principios Confidencialidad, Integridad y Disponibilidad

Esta metodología se emplea por distintas agencias gubernamentales tales como el Departamento de defensa de Estados Unidos.

OCTAVE equilibra los siguientes aspectos:

• Riesgos operativos
• Prácticas de seguridad
• Tecnología.

Características:

• Estudia la infraestructura de la información
• Es Auto dirigido
• Flexible
• Diferente de los análisis tradicionales de riesgos enfocados a tecnología

Percibe los siguientes objetivos:

• Permitir la comprensión del manejo de los recursos
• Identificación y evaluación de los riesgos que afectan la seguridad dentro de una organización.
• Exige llevar la evaluación de la organización y del personal de la tecnología de información

Debe existir un equipo de Análisis el cual tiene las siguientes funciones:

• Identificación recursos importantes mediante encuestas y entrevistas
•  Enfoque actividades de análisis de riesgos
•  Relación de amenazas y vulnerabilidades
•  Evaluación riesgos
•  Creación estrategia de protección, planes de mitigación y diseño de políticas de seguridad

La metodología OCTAVE se compone de tres etapas o fases para revisar las vulnerabilidades tecnológicos y organizacionales, de esta manera se puede obtener una visión global de donde se requiere mayor seguridad de la información.

Fases y procesos:

[pic 1][pic 2]

Cada etapa consta de algunos procesos y cada proceso uno o más talleres realizados por el equipo de análisis. Además, existen algunas actividades de preparación vitales que son base para una evaluación exitosa. Estas son:

• Empoderamiento: Es imprescindible tener el respaldo de la alta dirección: desde mi manera de ver este es el factor de éxito más crítico. Si los directivos empujan y apoyan el proceso, las personas participaran en él.

 • Hacer una selección del equipo de análisis: Se busca que el equipo seleccionado para dirigir la evaluación tenga y cuente con las habilidades necesarias. Deben de establecer una buena comunicación con los demás miembros y esto les permitirá mejorar sus habilidades y conocimientos.

 
• Definir el alcance de la evaluación: para la Evaluación deberemos incluir las áreas más importantes de la operación si el alcance es muy grande podemos llegar a perdernos entre tantos datos y si es muy pequeño los resultados pudieran no ser muy representativos.

 • Selección del equipo: es recomendable que los participantes sean de diferentes áreas y niveles de para con esto puedan aportar diferentes puntos de vista y sus conocimientos.

Etapa 1:  AMENAZA.

En esta evaluación tenemos que recopilar información de los distintos niveles de la organización para después analizarla

El equipo tendrá que determinar cuáles activos más críticos y actualmente que se está haciendo para proteger dichos activos.

Procesos de la primera etapa:

Proceso 1: Identificar los conocimientos de altos mandos o dirección

Consta de las siguientes actividades:

• Los altos mandos deben identificar que bienes son los más importantes para ellos y la organización además tendrán que enlistar los cinco activos que ellos consideras son las más importantes.
• Para estos Cinco activos más importantes se tendrá que definir en qué situaciones donde se puedan ver amenazados. Y Tendrán que definir los requisitos de seguridad para estos activos.
• Los altos directivos tendrán una sesión donde contestarán las encuestas del catálogo de prácticas y se discutirán los resultados con la finalidad de que se está haciendo bien y que no en materia de seguridad.

.

Proceso 2: Identificar los conocimientos de mandos medios.

El proceso 2 consta de las siguientes actividades:

• Los administradores de las áreas operativas definirán cuales bienes son más importantes para ellos y la organización qué bienes son importantes para ellos y la organización. Y de igual manera que en proceso numero 1 enlistarán los cinco más importantes.
• Para estos Cinco activos más importantes se tendrá que definir en qué situaciones donde se puedan ver amenazados. Y Tendrán que definir los requisitos de seguridad para estos activos
• Para los cinco activos más importantes, los gerentes de operaciones de la zona describen situaciones en las que tales activos se ven amenazados.
• Los mandos medios tendrán una sesión donde contestarán las encuestas del catálogo de prácticas y se discutirán los resultados con la finalidad de que se está haciendo bien y que no en materia de seguridad.

Proceso 3: Identificar los conocimientos del personal en general y del área de TI

Todo el proceso consiste en las siguientes actividades:

...