Gestión de Riesgos

1. Conceptos

1.1. Aceptación del riesgo

1.1.1. Decisión informada a favor de tomar un riesgo.

1.2. Análisis de impacto

1.2.1. Estudio de las consecuencias que tendría una parada de X tiempo sobre la Organización

1.3. Auditoría de seguridad

1.3.1. Estudio y examen independiente del historial y actividades de un sistema de información, con la finalidad de comprobar la idoneidad de los controles del sistema, asegurar su conformidad con la estructura de seguridad y procedimientos operativos establecidos, a fin de detectar brechas en la seguridad y recomendar cambios en los procedimientos, controles y estructuras de seguridad.

1.4. Activo

1.4.1. Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización.

1.5. Amenaza

1.5.1. Causa potencial de un incidente que puede causar daños a un sistema de información o a una organización.

1.6. Análisis de riesgos

1.6.1. Identificación de las amenazas que acechan a los distintos componentes pertenecientes o relacionados con el sistema de información

1.7. Ataque

1.7.1. Intento de destruir, exponer, alterar o inhabilitar un sistema de información o la información que el sistema maneja

1.8. Autenticidad

1.8.1. Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos

1.9. Confidencialidad

1.9.1. Propiedad o característica consistente en que la información ni se pone a disposición ni se revela a individuos, entidades o procesos no autorizados.

1.10. Probabilidad

1.10.1. Se utiliza para indicar la posibilidad de que algún hecho se produzca, que esta posibilidad está definida, medida o determinada objetiva o subjetivamente, cualitativa o cuantitativamente, y descrita utilizando términos generales o de forma matemática

1.11. Impacto

1.11.1. Consecuencia – Resultado de un suceso que afecta a los objetivos.

1.12. Riesgo

1.12.1. Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la Organización

1.13. Valor

1.13.1. De un activo. Es una estimación del coste inducido por la materialización de una amenaza.

1.14. Confidencialidad

1.14.1. es la propiedad de la información, por la que se garantiza que está accesible únicamente a personal autorizado a acceder a dicha información

1.15. CIO

1.15.1. es el director de información de una empresa

1.16. Evaluación de salvaguardas

1.16.1. Evaluación de la eficacia de las salvaguardas existentes en relación al riesgo que afrontan.

1.17. Contramedida de Seguridada

1.17.1. Técnicas de protección especificas contra amenazas.

1.18. Vulnerabilidad

1.18.1. Defecto o debilidad en el diseño, implementación u operación de un sistema que habilita o facilita la materialización de una amenaza.

1.19. Trazabilidad

1.19.1. Aseguramiento de que en todo momento se podrá determinar quién hizo qué y en qué momento.

1.20. Disponibilidad

1.20.1. Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados

1.21. Aceptación del riesgo

1.21.1. Decisión informada a favor de tomar un riesgo

1.22. Gestión de riesgos

1.22.1. Selección e implantación de las medidas o ‘salvaguardas’ de seguridad adecuadas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados y así reducir al mínimo su potencialidad o sus posibles perjuicios.

1.23. Degradación

1.23.1. Pérdida de valor de un activo como consecuencia de la materialización de una amenaza.

1.24. Certificación

1.24.1. Confirmación del resultado de una evaluación, y que los criterios de evaluación utilizados fueron correctamente aplicados

1.25. Aceptación del riesgo

1.25.1. Decisión informada a favor de tomar un riesgo.

1.26. Acreditación

1.26.1. Acción de facultar a un sistema o red de información para que procese datos sensibles, determinando el grado en el que el diseño y la materialización de dicho sistema cumple los requerimientos de seguridad técnica preestablecidos.

2. Metodologías

2.1. COSO

2.1.1. Está diseñado para identificar los eventos que potencialmente puedan afectar a la entidad y para administrar los riesgos, proveer seguridad razonable para la administración y para la junta directiva de la organización orientada al logro de los objetivos del negocio.

2.2. COBIT

2.2.1. Fue lanzado inicialmente en 1996 por ISACA con la finalidad de establecer objetivos de control de TI que pudieran contribuir a las auditorías financieras y poder estimar el crecimiento del entorno de TI en las empresas.

2.3. ISO 31000:2009

2.3.1. Para una eficaz gestión del riesgo en las organizaciones, la determina los siguientes principios básicos

2.3.1.1. Crea valor

2.3.1.2. Está integrada en los procesos de una organización

2.3.1.3. Forma parte de la toma de decisiones

2.3.1.4. Trata explícitamente la incertidumbre

2.3.1.5. Es sistemática, estructurada y adecuada

2.3.1.6. Está basada en la mejor información disponible

2.3.1.7. Está hecha a medida

2.3.1.8. Tiene en cuenta factores humanos y culturales

2.3.1.9. Es transparente e inclusiva

2.3.1.10. Es dinámica, iterativa y sensible al cambio

2.3.1.11. Facilita la mejora continua de la organización