TEMA 7

DEFINICION Y METODOLOGIAS DE LOS SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACIÓN:

El análisis y gestión de riesgos de la seguridad de la información es la actividad clave de todo SGSI.

LOS ACTIVOS EN EL ANALÁLISIS DE RIESGOS:

Un activo es un bien o un derecho con valor económico. Sin embargo, a veces se evalúan activos  que no tienen un efecto económico tangible pero son importantes para las empresas.

La ISO define activo como cualquier bien de valor para la organización.

La norma española UNE 71504 lo define como componente o funcionalidad de un sistema de información susceptible de ser atacado, ya sea deliberadamente o de forma accidental.

Tipos de activos:

·         A. de información.

·         A. físicos.

·         A. de servicios TI.

·         A. humanos.

PRINCIPIOS DE ANÁLISIS DE RIESGOS:

Riesgo: estimación del grado de exposición de una amenaza materializada sobre uno o más activos, causando daños o perjuicios a la organización.

Análisis de riesgos: proceso sistemático para estimar la magnitud de los riesgos a que está expuesta una organización.

Tratamiento de riesgos: proceso destinado a modificar el riesgo analizado.

Plan de seguridad: conjunto de objetivos, estrategia y política de seguridad de la información junto con las actividades de tratamiento de los riesgos.

GESTIÓN DE RIESGOS:

Proceso de Gestión de Riesgos: conjunto de las actividades que hemos mencionado para estudiar los activos, analizarlos desde el prisma de los riesgos de seguridad y la evaluación de los tratamientos más adecuados.

El análisis y gestión de riesgos es la piedra angular para controlar todas las actividades de la organización con fundamento. El análisis proporciona la visión de cómo es cada sistema, qué valor posee, amenazas y salvaguardas, es un paso obligado para poder llevar a cabo muchas tareas.

Fases del proceso:

1. Definir el alcance del análisis.

2. La correcta identificación de los activos.

 3. Identificar las amenazas.

 4. Debilidades o vulnerabilidades que tienen los activos y  medidas para atajarlos.

 5. Evaluar el riesgo.

 6. Prescribir un tratamiento.

Relaciones conceptuales del riesgo:

Formula del riesgo: matemáticamente el riesgo (R) como la multiplicación de la probabilidad (P) de ocurrencia de una amenaza y del impacto (I) sobre el activo como consecuencia del daño sufrido en el mismo.

Magerit: metodología española para la gestión de riesgos para la seguridad de la información, que ha sido un esfuerzo importante de la Administración pública.

CONSIDERACIONES ADICIONALES:

Es importante la concienciación y la formación junto con la existencia de auditorías.