Análisis de riesgos informáticos

GESTIÓN DE LOS RIESGOS INFORMÁTICOS

La familia de estándares ISO 27000 integra las normas expedidas por la organización internacional para la estandarización de SGSI

Actividad que se debe efectuar de forma continua en una organización; se enfoca en el análisis, planificación, ejecución, control y seguimiento de los procedimientos que se definen respecto de la política de seguridad de la información.

Establece los principios y directrices de carácter genérico respecto a la gestión del riesgo en cualquier tipo de organización

Confidencialidad: se refiere a la protección de la información contra el acceso no autorizado

Integridad: se refiere a la protección de la información contra la modificación no autorizada

Disponibilidad: se refiere a la garantía de que la información esté disponible para los usuarios autorizados cuando se necesite.

PROCESOS DE LA GESTION DE RIESGOS

Posibles riesgos a los que está expuesta la organización, como la pérdida de datos, los ataques de piratas informáticos, los desastres naturales, etc.

Se determinar la probabilidad de que ocurran y el impacto que tendrían en la organización.

Se deben tomar medidas como la implementación de controles de seguridad, la adopción de políticas y procedimientos de seguridad, y la formación y concienciación del personal

Es importante monitorear continuamente los riesgos y revisar las medidas de mitigación para asegurarse de que siguen siendo efectivas.

Administración de Riesgos

Es más caro invertir en administrar y gestionar el riesgo que aceptarlo

Se evita cualquier exposición al riesgo

Es la estrategia de uso más frecuente por las organizaciones

Se tasan en un valor en efectivo los incidentes en relación con los ataques a la infraestructura de los sistemas informáticos y se transfiere a un tercero voluntario, por lo general una compañía de seguros.

Enfoques en el análisis de riesgo

Enfoque cuantitativo

Este enfoque utiliza fórmulas y cálculos numéricos para evaluar el riesgo.

Se basa en la recopilación de datos cuantitativos, como el valor de los activos de información, la probabilidad de un evento de seguridad y las posibles pérdidas financieras.

El enfoque cuantitativo requiere una gran cantidad de datos y un análisis minucioso para llegar a resultados precisos.

Análisis de probabilidad

Análisis de consecuencias

Simulación a través de modelos de computador

Enfoque cualitativo

Este enfoque se enfoca en evaluar el riesgo mediante la evaluación subjetiva de factores cualitativos, como reputación, confidencialidad E integridad de la información.

Se basa en la experiencia y conocimiento de expertos en seguridad informática, y utiliza técnicas como entrevistas y cuestionarios para obtener información.

utiliza la experiencia y conocimiento de expertos en seguridad informática, y se basa en técnicas como entrevistas y cuestionarios para recopilar información.

Análisis de debilidades, oportunidades, fortalezas y amenazas (DOFA)

Revisión de literatura y experiencias relacionadas con el área de gestión .

Lluvia de ideas

Entrevistas y cuestionarios estructurados

Evaluación en grupos de varias áreas al interior de la organización

Conceptos de especialistas y expertos

CATEGORÍAS GENERALES DE ANÁLISIS

este análisis es identificar las debilidades y vulnerabilidades presentes en los sistemas y aplicaciones de la organización que puedan ser explotadas por atacantes

se evalúa el impacto que un incidente de seguridad podría tener en la organización, como la pérdida de datos, la interrupción del servicio o la violación de la privacidad.

Esta categoria combina la información obtenida en los análisis de amenazas, vulnerabilidades e impacto, para determinar la probabilidad de que un incidente de seguridad ocurra y el impacto que tendría en la organización.

se evalúan las medidas de seguridad que se pueden implementar para mitigar los riesgos identificados, y se comparan los costos de implementación con los beneficios obtenidos en términos de reducción de riesgos.

COBIT

Andres Felipe Gutierrez 20/02/2023