Gestión de riesgos. Una guía de aproximación para el empresario

Transcripción

1 Gestió de riesgos Ua guía de aproximació para el empresario

2 ... Ídice INCIBE_PTE_AproxEmpresario_002_GestioRiesgos-2015-v1 1 Itroducció 3 2 Coceptos Activo, ameazas, vulerabilidad, impacto y probabilidad Cómo se mide el ivel de riesgo? Qué hacer co los riesgos? 7 3 Gestió del riesgo: pricipios, marco de trabajo y proceso Pricipios Marco de trabajo Política de gestió de riesgos Etapas del proceso de gestió de riesgos Comuicació y cosulta Determiar el cotexto Valoració o apreciació de riesgos Tratamieto del riesgo Seguimieto y revisió 13 4 Gestió de riesgos de seguridad de la iformació Coceptos El proceso de gestió de riesgos de seguridad de la iformació Comuicació Estableciedo el cotexto de seguridad de la iformació Valorado los riesgos de seguridad de la iformació Tratado y aceptado riesgos de seguridad de la iformació Moitorizado los riesgos de seguridad de la iformació 23 5 Referecias 24 Figuras Ilustració 1 Activo, ameaza, vulerabilidad e impacto 5 Ilustració 2 Cálculo del riesgo 6 Ilustració 3 Coste de equilibrio 6 Ilustració 4 Gestió de riesgos 7 Ilustració 5 Opcioes del tratamieto de riesgos 8 Ilustració 6 Proceso de gestió de riesgos (fuete: ISO 31000:2009) 11 Ilustració 7 Dimesioes de la seguridad de la iformació 14 Tablas Tabla 1 Ejemplo de iveles de clasificació de los impactos de u icidete 19 Tabla 2 Estimació del producto «probabilidad x impacto» para evaluar riesgos 21 Tabla 3 Ejemplo criterios para el tratamieto de riesgos 22 2 Ua guía de aproximació para el empresario

3 1 Itroducció L a gestió de riesgos está presete, co mayor o meor protagoismo, e distitos ámbitos de la sociedad y la empresa. So alguos ejemplos la gestió de riesgos:... laborales... alimetarios... bacarios, fiacieros... corporativos, de proyectos... medioambietales... de seguridad de la iformació U hecho comú a todos ellos, es que los resposables so coscietes de la existecia de ameazas que supoe u peligro para la cosecució de sus objetivos. Dedica esfuerzos y recursos a mateer estos riesgos por debajo de u límite previamete cosesuado e sus orgaizacioes. Para maximizar los beeficios de dicha gestió y cotar co garatías de éxito, los esfuerzos ha de ser empleados de forma metódica, estructurada y, sobre todo, siguiedo u proceso de evaluació y mejora cotiua. Las orgaizacioes se ecuetra e u etoro e cambio costate. Los logros obteidos ate las ameazas de hoy o supoe igua garatía de éxito para las ameazas de mañaa. E esta guía se itroduce los coceptos y procesos comues a toda actividad de gestió de riesgos. La guía mostrará la aplicació de estos coceptos y procesos a la seguridad de la iformació. La guía se estructura e los siguietes apartados: Coceptos Los térmios básicos utilizados e gestió de riesgos. Gestió de riesgos Actividades para llevar a cabo ua gestió de riesgos así como los diferetes roles y resposabilidades. Gestió de riesgos e sistemas de iformació Se aplica las actividades del apartado aterior al área de sistemas de iformació. Referecias Listado de elaces dode ecotrar más iformació sobre de gestió de riesgos. 3 Ua guía de aproximació para el empresario

4 2 Coceptos E este apartado se itroduce los térmios utilizados e la jerga clásica de gestió de riesgos, su compresió facilitará el resto de la lectura de la guía. E la actualidad la revisió de alguas de las ormas sobre riesgos, e particular las ormas ISO, está icorporado uevos coceptos más geerales que los tradicioales, defiiedo el riesgo como «icertidumbre e la cosecució de los objetivos». Además de la defiició se idica los cambios para cada térmio afectado. 2.1 Activo, ameaza, vulerabilidad, impacto y probabilidad Activo Cualquier recurso de la empresa ecesario para desempeñar las actividades diarias y cuya o dispoibilidad o deterioro supoe u agravio o coste. La aturaleza de los activos depederá de la empresa, pero su protecció es el fi último de la gestió de riesgos. La valoració de los activos es importate para la evaluació de la magitud del riesgo. Este térmio e las uevas ormas se geeraliza para deomiarse «fuete de riesgo» siedo el elemeto que sólo o co otros puede origiar u riesgo. Ameaza Circustacia desfavorable que puede ocurrir y que cuado sucede tiee cosecuecias egativas sobre los activos provocado su idispoibilidad, fucioamieto icorrecto o pérdida de valor. E la evolució de las ormas este cocepto se amplia para deomiarse «suceso». La aturaleza de los activos depederá de la empresa, pero su protecció es el fi último de la gestió de riesgos 4 Ua guía de aproximació para el empresario

5 2 Coceptos Vulerabilidad Debilidad que preseta los activos y que facilita la materializació de las ameazas. Impacto o cosecuecia de la materializació de ua ameaza sobre u activo aprovechado ua vulerabilidad. El impacto se suele estimar e porcetaje de degradació que afecta al valor del activo, el 100% sería la pérdida total del activo. La cosecuecia e las uevas ormas es el resultado de u suceso que afecta a los objetivos. Probabilidad Es la posibilidad de ocurrecia de u hecho, suceso o acotecimieto. La frecuecia de ocurrecia implícita se correspode co la ameaza. Para estimar la frecuecia podemos basaros e datos empíricos (datos objetivos) del histórico de la empresa, o e opiioes de expertos o del empresario (datos subjetivos). Este térmio permaece e la evolució de las ormas ISO refiriédose a u suceso e lugar de a ua ameaza. El siguiete diagrama muestra las relacioes etre estos coceptos: Ameaza Explota q Vulerabilidad Afecta q Activo q Provoca IMPACTO Ilustració 1 Activo, ameaza, vulerabilidad e impacto 5 Ua guía de aproximació para el empresario

6 2 Coceptos 2.2 Cómo se mide el ivel de riesgo? Como veíamos e el apartado aterior, el impacto os idica las cosecuecias de la materializació de ua ameaza. El ivel de riesgo es ua estimació de lo que puede ocurrir y se valora, de forma cuatitativa, como el producto del impacto, (cosecuecia), asociado a ua ameaza (suceso), por la probabilidad de la misma. Ilustració 2 Cálculo del riesgo Impacto x Probabilidad = RIESGO El impacto, y por tato el riesgo, se valora e térmios del coste derivado del valor de los activos afectados cosiderado, además de los daños producidos e el propio activo: daños persoales pérdidas fiacieras iterrupció del servicio pérdida de image y reputació dismiució del redimieto Si bie es posible, y e ocasioes ecesario, realizar u aálisis cualitativo, trabajar co magitudes ecoómicas facilita a las orgaizacioes establecer el llamado umbral de riesgo, tambié llamado «apetito al riesgo»: el ivel máximo de riesgo que la empresa está dispuesta o «se atreve» a soportar. La gestió de riesgos debe mateer el ivel de riesgo siempre por debajo del umbral. Por otro lado, se deomia coste de protecció al coste que supoe para las orgaizacioes los recursos y esfuerzos que dedica para mateer el ivel de riesgo por debajo del umbral deseado. Las orgaizacioes debe vigilar de o emplear más recursos de los ecesarios para cumplir ese objetivo. E la siguiete gráfica podemos ver como ambos coceptos, riesgo y coste de protecció, se relacioa. + Ilustració 3 Coste de equilibrio Coste - Riesgo Coste de protecció Coste equilibrio Nivel de seguridad El puto e el que el coste de protecció es el adecuado para mateer los riesgos por debajo del umbral fijado de riesgo es el coste de equilibrio. Este puto depederá del umbral de riesgo de acuerdo co los objetivos de la empresa. 6 Ua guía de aproximació para el empresario

7 2 Coceptos 2.3 Qué hacer co los riesgos? Las actividades cuyo objetivo es mateer el riesgo por debajo del umbral fijado se egloba e lo que se deomia Gestió del riesgo. Las orgaizacioes que decida gestioar el riesgo para su actividad deberá realizar dos grades tareas: Aálisis de riesgo Que cosiste e averiguar el ivel de riesgo que la empresa está soportado. Para ello, tradicioalmete las metodologías propoe que se realice u ivetario de activos, se determie las ameazas, las probabilidades de que ocurra y los posibles impactos. Tratamieto de los riesgos Para aquellos riesgos cuyo ivel está por ecima del umbral deseado la empresa debe decidir cuál es el mejor tratamieto que permita dismiuirlos. Esta decisió siempre ha de pasar u filtro ecoómico dode el coste del tratamieto, o coste de protecció, o supere el coste de riesgo dismiuido. Ilustració 4 Gestió de riestos Gestió de riesgos = Aálisis de riesgos + Tratamieto de riesgos Para el tratamieto de riesgos las empresas cueta, etre otras, co las siguietes opcioes: Evitar o elimiar el riesgo Por ejemplo sustituyedo el activo por otro que o se vea afectado por la ameaza o elimiado la actividad que lo produce. Reducirlo o mitigarlo Tomado las medidas oportuas para que el ivel de riesgo se sitúe por debajo del umbral. Para coseguirlo se puede: _reducir la probabilidad o frecuecia de ocurrecia: tomado, por ejemplo, medidas prevetivas _reducir el impacto de la ameaza o acotar el impacto, estableciedo por ejemplo cotroles y revisado el fucioamieto de las medidas prevetivas Trasferirlo, compartirlo o asigarlo a terceros E ocasioes la empresa o tiee la capacidad de tratamieto y precisa la cotratació de u tercero co capacidad para reducir y gestioar el riesgo dejádolo por debajo del umbral. Aceptarlo Se asume el riesgo, bie porque está debajo del umbral aceptable de riesgo bie e situacioes e las que los costes de su tratamieto so elevados y au siedo riesgos de impacto alto su probabilidad de ocurrecia es baja o porque au a pesar del riesgo la empresa o quiere dejar de aprovechar la oportuidad que para su egocio supoe esa actividad arriesgada. 7 Ua guía de aproximació para el empresario

8 2 Coceptos Trasferir Evitar Impacto Aceptar Mitigar Ilustració 5 Opcioes del tratamieto de riesgo Probabilidad El aálisis de riesgos debe ser realizado de forma metódica impidiedo omisioes, improvisacioes o posibles criterios arbitrarios. E la actualidad existe diversas metodologías y guías de bueas prácticas, tato geeralistas como especializadas, que puede ser utilizadas para realizar este aálisis. Etre las geeralistas destacamos: COSO [1], orgaizació americaa dedicada a la creació de guías y marcos de trabajo e el ámbito de la gestió de riesgos empresariales. ISO 31000:2009 [2], orma global, o certificable, que aporta metodología, pricipios y directrices e materia de gestió de riesgos. Específicas para gestió de riesgos de seguridad de la iformació: MAGERIT, Metodología de Aálisis y Gestió de Riesgos de los Sistemas de Iformació [3] creada por el Miisterio de Admiistracioes Públicas español. ISO / IEC 27005: 2008 (E) [11] orma que aporta directrices para la gestió de riesgos de seguridad de la iformació. NIST SP [4], metodología creada e este caso por el gobiero orteamericao. Cada empresa puede elegir ua metodología o ua guía de bueas prácticas a seguir o bie defiir ua propia que esté acorde co su idiosicrasia. 8 Ua guía de aproximació para el empresario

9 3 Gestió del riesgo: pricipios, marco de trabajo y proceso E este apartado se describe el proceso y las actividades ecesarios para llevar a cabo la gestió de riesgos de acuerdo a la orma ISO 31000:2009 [2]. 3.1 Pricipios Estos so los pricipios básicos que debe cumplir la gestió de riesgos si queremos que cumpla su cometido: proteger el valor, es decir, cotribuir a la cosecució de los objetivos y la mejora del desempeño ser ua parte itegral de todos los procesos de la empresa formar parte de la toma de decisioes tratar explícitamete la icertidumbre ser sistemática, estructurada y oportua basarse e la mejor iformació dispoible adaptarse, alieádose co el cotexto itero y extero y co los perfiles del riesgo itegrar factores humaos y culturales ser trasparete y participativa ser diámica, iterativa y respode a los cambios facilitar la mejora cotiua 3.2 Marco de trabajo Como e toda actividad, el compromiso de la direcció es básico para llevarla a cabo co éxito. E la gestió de riesgos o es diferete, ha de estar pleamete itegrada e los procesos de la empresa y requiere u compromiso fuerte y sosteido de la direcció así como del establecimieto de ua rigurosa plaificació estratégica, u marco de trabajo. Este «marco de trabajo» ha de ser objeto de seguimieto y revisió periódica que permita medir el progreso y adaptarse a los cambios del etoro, tomado las decisioes oportuas para la mejora cotiua. Este marco de trabajo ha de ser objeto de seguimieto y revisió periódica 9 Ua guía de aproximació para el empresario

10 3 Gestió del riesgo: pricipios, marco de trabajo y proceso Para coseguir ua buea gestió del riesgo el marco de trabajo defiido ha de: compreder la empresa y su cotexto establecer ua política de gestió de riesgos idetificar autoridades y competecias defiir la itegració e los procesos de egocio como pla estratégico para que sea relevate, eficaz y eficiete proporcioar los recursos ecesarios: _persoas, formació _procesos y procedimietos _métodos y herramietas establecer mecaismos de comuicació itera y extera Este marco de trabajo se implemetará defiiedo u caledario y estrategia de implemetació y revisió que permita: establecer y desarrollar los objetivos aplicar la política y el proceso cumplir co la legislació y ormativa orgaizar la formació y la comuicació y cosulta a los iteresados Hay que defiir u caledario y estrategia de implemetació y revisió del marco de trabajo 10 Ua guía de aproximació para el empresario

11 3 Gestió del riesgo: pricipios, marco de trabajo y proceso Política de gestió de riesgos El establecimieto de ua política de gestió de riesgos e la que se idique co claridad los objetivos y se materialice el compromiso de toda la empresa va a ser clave para ua gestió de riesgos eficaz. La política tratará estas cuestioes: motivos para llevar a cabo la gestió de riesgos relació co otras políticas de la empresa resposabilidades y redició de cuetas e el proceso de gestió de riesgos recursos dispoibles medició del desempeño compromiso de revisió del marco de trabajo y de la política 3.3 Etapas del proceso de gestió de riesgos E el proceso de gestió de riesgos se distigue las siguietes actividades: Determiar el cotexto Seguimieto y revisió Valoració de riesgos q q Idetificació q Aálisis q Evaluació Tratamieto del riesgo Comuicació y cosulta Ilustració 6 Proceso de gestió de riesgos (fuete: ISO 31000:2009) 11 Ua guía de aproximació para el empresario

12 3 Gestió del riesgo: pricipios, marco de trabajo y proceso Comuicació y cosulta Esta actividad es la primera y abarca todas las siguietes pues se ha de realizar e todas las etapas. E ella se fometa la participació y se coordia las actuacioes de todas las partes implicadas, tato iteras como exteras, e la gestió de riesgos Determiar el cotexto Es esecial que la gestió de riesgos se itegre tato co el resto de áreas de la empresa como co su etoro extero. Por tato hay que determiar los codicioates tato iteros como exteros que defie el marco de trabajo. A ivel itero se tedrá e cueta: la cultura, recursos, procesos y objetivos del egocio. A ivel extero se cosidera diferetes aspectos relativos al etoro social, ecoómico o legislativo. Como resultado de esta fase se establece: los objetivos de la gestió de riesgo los criterios que se empleará para la evaluació de los riesgos, el método a utilizar e el establecimieto de probabilidades, así como las magitudes de los impactos el alcace de la gestió de riesgos, los roles y la asigació de resposabilidades Valoració o apreciació de riesgos Ua vez defiido el cotexto se ha de valorar los riesgos. E esta etapa se determia los riesgos que va a ser cotrolados por medio de su idetificació, aálisis y evaluació. Todos aquellos riesgos que o sea idetificados quedará como riesgos ocultos o o cotrolados. Se realiza e esta fase las siguietes actividades: Idetificació del riesgo, cuyo objetivo es búsqueda, recoocimieto y descripció de todos los posibles putos de peligro tato iteros como exteros; para cada uo de ellos se determiará su impacto y probabilidad esta fase respode a las siguietes pregutas: _ qué puede pasar? _ cuádo y dóde? _ cómo y por qué? 12 Ua guía de aproximació para el empresario

13 3 Gestió del riesgo: pricipios, marco de trabajo y proceso Aálisis del riesgos es la etapa e la cual se califica cada uo de los riesgos idetificados tato de forma cuatitativa (valorado su impacto) como cualitativa (importacia relativa) para priorizar uestros esfuerzos de forma o arbitraria. E esta actividad tambié se persigue compreder cómo se desarrolla los riesgos, estudiado sus causas y cosecuecias, así como evaluado la eficacia de los diferetes medios de cotrol implatados e la empresa. Se mide el ivel de riesgo segú la fórmula Riesgo = Impacto x Probabilidad, valorado las cosecuecias y la probabilidad de cada riesgo. Evaluació del riesgo, cuyo objetivo es determiar prioridades e el uso de los recursos a emplear e la gestió de riesgos. E esta fase se amplía la calificació del aálisis aterior icluyedo valoracioes e térmios de estrategia de egocio que permita establecer qué riesgos so aceptables y cuáles o Tratamieto del riesgo A cotiuació se idetifica y evalúa las opcioes existetes de tratamieto de cada uo de los riesgos que sea ecesario tratar segú se determió e la fase aterior. Alguas de las opcioes de tratamieto so, como vimos e apartados ateriores (apartado 2.3): evitarlo, reducirlo o mitigarlo, trasferirlo o compartirlo y aceptarlo. Seguimieto y revisió Para coseguir ua mejora cotiua se supervisa «lo que está ocurriedo» e la práctica y se realiza las correccioes que fuera preciso. Tambié se ha de evaluar el propio sistema de gestió, detectado posibles deficiecias y oportuidades de mejora. La revisió de los cambios del etoro está icluida e esta etapa, realimetado la fase de determiació del cotexto. Para coseguir ua mejora cotiua se supervisa «lo que está ocurriedo» e la práctica y se realiza las correccioes que fuera preciso 13 Ua guía de aproximació para el empresario

14 4 Gestió del riesgos de seguridad de la iformació E la sociedad actual, imersa e la llamada revolució digital, las compañías so coscietes del protagoismo de la iformació e sus procesos productivos. Esta revolució ha cambiado tambié las relacioes co clietes, proveedores, orgaismos oficiales, dode Iteret juega u importate papel como medio de comuicació. Este medio, por su aturaleza libre y de bajo coste, ha permitido itercoectar a las persoas y a las empresas etre sí rompiedo las barreras geográficas y habilitado e gra medida la llamada globalizació de la ecoomía y de la sociedad. Las empresas acostumbradas a dedicar recursos para gestioar los riesgos de sus procesos productivos, debe tambié preocuparse y asigar recursos para la gestió de los riesgos asociados a su iformació y a las ifraestructuras que la soporta. 4.1 Coceptos E térmios de gestió de riesgos de seguridad de la iformació, el activo a proteger es la iformació de la compañía. Hablamos tato de iformació «digital» coteida e uestros sistemas de iformació como aquella coteida e cualquier otro soporte como por ejemplo el papel. Tambié teemos que teer presete que la gestió debe ocuparse de todo el ciclo de vida de la iformació y o sólo de su explotació, cosiderado etapas como la de captura o destrucció de la iformació. La iformació es el activo pricipal pero tambié debemos cosiderar: ifraestructura iformática, equipos auxiliares, redes de comuicacioes, istalacioes y persoas. Cuado hablamos de seguridad de la iformació hablamos de protegerla de riesgos que pueda afectar a ua o varias de sus tres pricipales propiedades: Cofidecialidad La iformació solo tiee que ser accesible o divulgada a aquellos que está autorizados. Itegridad La iformació debe permaecer correcta (itegridad de datos) y como el emisor la origió (itegridad de fuete) si maipulacioes por terceros. Dispoibilidad La iformació debe estar siempre accesible para aquellos que esté autorizados. Cofidecialidad Ilustració 7 Dimesioes de la seguridad de la iformació Itegridad Iformació Dispoibilidad 14 Ua guía de aproximació para el empresario

15 4 Gestió del riesgo: de seguridad de la iformació Las ameazas a las que se efreta la iformació de uestras orgaizacioes puede ser muy variadas, a modo de ejemplo: de orige atural: iudacioes, terremotos, icedios, rayos fallos de la ifraestructura auxiliar: fallos de sumiistro eléctrico, refrigeració, cotamiació... fallos de los sistemas iformáticos y de comuicacioes: fallos e las aplicacioes, hardware o equipos de trasmisioes error humao: errores accidetales o deliberados de las persoas que iteractúa co la iformació, por ejemplo: _accioes o autorizadas como uso de software o hardware o autorizados _fucioamieto icorrecto por abuso o robo de derechos de acceso o errores e el uso, falta de dispoibilidad, etc _iformació comprometida por robo de equipos, desvelado de secretos, espioaje, etc Las vulerabilidades frete a las cuales se debe proteger a los sistemas de iformació y a la iformació que trata, depede e gra medida de la aturaleza de los mismos; podemos decir que es u factor itríseco a uestros activos. Estas puede depeder del hardware, del software, las redes, el persoal, el edificio o las ifraestructuras o la orgaizació. Alguos ejemplos so: equipamieto iformático susceptible a variacioes de temperatura o humedad sistemas operativos que por su estructura, cofiguració o mateimieto so más vulerables a alguos ataques localizacioes que so más propesas a desastres aturales como por ejemplo iudacioes o que está e lugares co variacioes de sumiistro eléctrico aplicacioes iformáticas, que por su diseño, so más iseguras que otras persoal si la formació adecuada, ausete o si supervisió Gra parte de estos factores so difíciles o muy caros de erradicar y las orgaizacioes tiee que covivir co ellos tomado medidas que reduzca el impacto de sus ameazas. Las vulerabilidades puede depeder del hardware, del software, las redes, el persoal, el edificio, la orgaizació Ua guía de aproximació para el empresario

16 4 Gestió del riesgo: de seguridad de la iformació 4.2 El proceso de gestió de riesgos de seguridad de la iformació Aálogamete a lo que veíamos e el capítulo aterior la gestió de riesgos de seguridad de la iformació es u proceso que cosiste e: comuicació establecimieto del cotexto valoració del riesgo tratamieto del riesgo y aceptació del riesgo revisió y moitorizació Se recomieda la lectura del siguiete coteido del portal: «Sigue el camio del aálisis de riesgos» (ifografía) [5] Comuicació Durate todo el proceso las accioes de comuicació se sucederá para mateer iformada a la direcció y a la platilla. Igualmete se recibirá iformació de los procesos y los iteresados. Co estas accioes se cosigue difudir la iformació ecesaria para coseguir el coseso de los resposables y los afectados por las decisioes que se tome. Estas accioes de comuicació so importates para: idetificar los riesgos valorarlos e fució de las cosecuecias para el egocio y la probabilidad de que ocurra compreder la probabilidad y cosecuecias de los riesgos establecer prioridades para el tratamieto de riesgos iformar y cotribuir a que se ivolucre las áreas iteresadas moitorizar la efectividad del tratamieto de los riesgos revisar co regularidad el proceso y su moitorizació cocieciar a la platilla y a la direcció sobre estos riesgos y su forma de mitigarlos Estableciedo el cotexto de seguridad de la iformació E esta fase, e fució del cotexto, se defie los criterios básicos para la gestió de riesgos de seguridad de la iformació. Por ejemplo, se ha de decidir si se va a utilizar u efoque global o u efoque detallado; el primero sea más rápido pero meos preciso que el segudo. Además sirve para ser coscietes de las leyes que se debe cumplir, -LOPD y LSSI por ejemplo-, así como requisitos de cotratos co terceros y ormativa aplicable. Las distitas áreas implicadas hará valer sus expectativas, los recursos dispoibles y cómo valora las posibles cosecuecias de los riesgos. 16 Ua guía de aproximació para el empresario

17 4 Gestió del riesgo: de seguridad de la iformació Así quedará defiidos los criterios para: evaluació de riesgos: _cuáles so los activos de iformació críticos. _la importacia de los mismos e cuato a dispoibilidad, itegridad y cofidecialidad. _el valor estratégico de los procesos de iformació del egocio. iveles de clasificació de los impactos escalas de aceptació de riesgos Por último se defie el ámbito y los límites de esta gestió, es decir a qué parte de la orgaizació afecta, que procesos, que oficias o que parte de la estructura Valorado los riesgos de seguridad de la iformació Esta es la fase cetral de la gestió de riesgos. Costa a su vez de: idetificació aálisis evaluació Idetificado los riesgos Para la evaluació de riesgos de seguridad de la iformació e primer lugar se ha de idetificar los activos de iformació. E geeral estos puede ser de dos tipos: Primarios: _iformació: estratégica, de carácter persoal o que esté sujeta a legislació que la proteja, esecial para el desarrollo del egocio, de difícil o muy costosa reposició, etc _actividades y procesos de egocio: que tiee que ver co propiedad itelectual, los que si se degrada hace imposible la ejecució de las tareas de la empresa, los ecesarios para el cumplimieto legal o cotractual, etc De soporte: _hardware: PC, portátiles, servidores, impresoras, discos, documetos e papel _software: sistemas operativos, paquetes, aplicacioes,... _redes: comutadores, cableado, putos de acceso,... _persoal: usuarios, desarrolladores, resposables,... _edificios, salas, y sus servicios _estructura orgaizativa: resposables, áreas, cotratistas,... Después de teer ua relació co todos los activos se ha de coocer las ameazas que puede causar daños e la iformació, los procesos y los soportes. La idetificació de las ameazas y la valoració de los daños que puede producir se puede obteer pregutado a los propietarios de los activos, usuarios, expertos, etc. E el apartado aterior se mecioa alguos ejemplos. 17 Ua guía de aproximació para el empresario

18 4 Gestió del riesgo: de seguridad de la iformació Para valorar los daños estas so alguas de las pregutas: qué valor tiee este activo para la empresa? cuáto cuesta su mateimieto? cómo repercute e los beeficios de la empresa? cuáto valdría para la competecia? cuáto costaría recuperarlo o volverlo a geerar? cuáto costó adquirirlo o su desarrollo? a qué resposabilidades legales o cotractuales os efretamos si se ve comprometido? Posiblemete ya se haya tomado alguas medidas para cotrarrestar estas ameazas. Es importate teerlas e cueta para o duplicar esfuerzos, aalizar si so efectivas y si aú se utiliza o o. Al llegar aquí tedremos, u listado de activos, sus ameazas y las medidas que ya se ha tomado. A cotiuació revisaremos las vulerabilidades que puede aprovechar las ameazas y causar daños a uestros activos de iformació. Existe distitos métodos para aalizar ameazas por ejemplo: etrevistas co usuarios y cuestioarios ispecció física uso de herramietas para el escaeo automatizado Para cada ua de las ameazas aalizaremos las vulerabilidades que puede explotar. La orma ISO [11] icluye u aexo co ejemplos de vulerabilidades y ameazas que puede servir de apoyo e esta tarea. Fialmete se ha de cocretar las cosecuecias, es decir, cómo estas ameazas y vulerabilidades afecta a la dispoibilidad, itegridad y cofidecialidad de los activos de iformació. Las distitas metodologías y herramietas proporcioa listados que sirve de orietació a la hora de idetificar activos, ameazas y vulerabilidades. 18 Ua guía de aproximació para el empresario

19 4 Gestió del riesgo: de seguridad de la iformació Estimado los riesgos E la fase de establecimieto del cotexto se determiaro ua serie de criterios que será las directrices de la estimació de riesgos. So los que servirá para medir las cosecuecias o impacto de la pérdida de cofidecialidad, itegridad y dispoibilidad de los activos. Estos criterios se cocreta e escalas para valorar: pérdidas fiacieras costes de reparació o sustitució iterrupció del servicio pérdida de reputació y cofiaza de los clietes dismiució del redimieto ifraccioes legales o ruptura de codicioes cotractuales pérdida de vetaja competitiva daños persoales Esta tabla muestra u posible ejemplo de estos criterios: Rago impacto / Descripció Descripció Pérdidas fiacieras Pérdida del activo(s) Reputació e image Dismiució de redimieto 5 Catastrófico > 6 % del Total presupuesto Mayor que u mes Alta y muy extedida > 50 % de variació e los idicadores 4 Desastroso 6% del Presupuesto Muy gra impacto De ua semaa a u mes Media y muy extedida % variació e los idicadores 3 Serio 2% del presupuesto Gra impacto De u día a ua semaa Media y poco extedida 10-25% variació e los idicadores 2 Meor 1% del presupuesto Impacto meor ½ día o 1 día Baja y muy extedida 5-10 % variació el os idicadores 1 Isigificate < 0,5 % del presupuesto Casi si impacto Meor de ½ día Baja y poco extedida Hasta 5% variació e los idicadores Tabla 1 Ejemplo de iveles de clasificació de los impactos de u icidete La estimació puede realizarse co distita profudidad o ivel de detalle. Los métodos para realizarla icluye estimacioes cualitativas y cuatitativas o ua combiació de ambas. Suele realizarse ua estimació cualitativa iicial para idetificar los riesgos que precisa ua estimació cuatitativa. 19 Ua guía de aproximació para el empresario

20 4 Gestió del riesgo: de seguridad de la iformació E la estimació cualitativa se califica las poteciales cosecuecias y la probabilidad segú iveles (alto, medio, bajo) subjetivos. E la cuatitativa se utiliza ua escala co valores uméricos, apoyádose e datos de distitas fuetes por ejemplo icidetes del pasado, experiecia previa, estudios, etc. Se recomieda la lectura de los siguietes coteidos del portal: «Fácil y secillo: aálisis de riesgos e 6 pasos» [6] «Pla director de seguridad» [7], e particular el área de descargas co platillas y hojas de verificació. Además de medir las posibles cosecuecias se ha de estimar la probabilidad de que ocurra los icidetes. Tambié e este caso se utiliza técicas cualitativas y cuatitativas que cosidera: estadísticas de los icidetes e el pasado, de estudios o del sector factores geográficos o estacioales (temperatura, iudacioes,...) motivacioes de los posibles atacates (atractivo de los datos que se maeja, clima laboral,...) vulerabilidades existetes medidas que ya se ha tomado y su resultado Como resultado tedremos la valoració de las cosecuecias y su probabilidad, co las que podremos estimar el ivel del riesgo. Además de medir las posibles cosecuecias se ha de estimar la probabilidad de que ocurra los icidetes 20 Ua guía de aproximació para el empresario

21 4 Gestió del riesgo: de seguridad de la iformació Evaluado los riesgos Ua vez se ha valorado las cosecuecias o impactos y la probabilidad de los icidetes para los activos del ámbito elegido, se ha de realizar el producto de ambos para calcular los riesgos. Los resultados obteidos se comparará co los criterios de aceptació de riesgo. La siguiete tabla muestra u ejemplo de u mapa de calor co el que comparar las valoracioes realizadas. Situaremos cada riesgo e la tabla, ates y después de cosiderar como ha afectado las medidas que ya se había puesto e marcha. Casi seguro Muy probable Posible Improbable Muy improbable Probabilidad x Impacto Isigificate Meor Serio Desastroso Catastrófico Tabla 2 Estimació del producto «probabilidad x impacto» para evaluar riesgos Este tipo de tablas tambié servirá para estimar qué tratamieto dar a cada riesgo. Por ejemplo los riesgos e la zoa roja sería iaceptables pero los de la zoa blaca podemos elegir soportarlos. Estos criterios os ayudará e la fase siguiete Tratado y aceptado riesgos de seguridad de la iformació Como resultado de la etapa aterior tedremos ua lista ordeada de riesgos o ua tabla como la del ejemplo co su posició. Ahora debemos elegir qué hacer co cada uo de ellos e virtud de su valoració y de los criterios establecidos. Es decir, tedremos que situar la «líea roja» de uestro umbral o ivel de toleracia al riesgo. E esta fase se seleccioará la opció de tratamieto adecuada (evitar, reducir o mitigar, trasferir o aceptar) para cada uo de los riesgos de la lista. Para elegir las opcioes, o ua combiació de ellas, se cosiderará o sólo la valoració obteida para cada riesgo sio tambié el coste del tratamieto. Por ejemplo será mejor evitar algú riesgo que mitigarlo si el coste es muy alto. Se preferirá las opcioes que aporte ua reducció cosiderable del riesgo de la forma más ecoómica. El ivel de toleracia de riesgo se establece e base a criterios de coste-beeficio. 21 Ua guía de aproximació para el empresario

22 4 Gestió del riesgo: de seguridad de la iformació Coste-Beeficio Tratamieto El coste del tratamieto es muy superior a los beeficios. El coste del tratamieto es adecuado a los beeficios. El coste del tratamieto por terceros es más beeficioso que el tratamieto directo. El ivel de riesgo está muy alejado del ivel de toleracia. Evitar el riesgo, por ejemplo, dejado de realizar esa actividad. Reducir o mitigar el riesgo: seleccioado e implemetado los cotroles o medidas adecuadas que haga que se reduzca la probabilidad o el impacto. Trasferir el riesgo, por ejemplo, cotratado u seguro o subcotratado el servicio. Reteer o aceptar el riesgo si implemetar cotroles adicioales. Moitorizarlo para cofirmar que o se icremeta. Tabla 3 Ejemplo criterios para el tratamieto de riesgos Para reducir o mitigar los riesgos se realiza estas accioes: istalar productos o cotratar servicios establecer cotroles de seguridad mejorar los procedimietos cambiar el etoro icluir métodos de detecció tempraa implatar u pla de cotigecia y cotiuidad realizar formació y sesibilizació Los cotroles so medidas de protecció para reducir el riesgo. La orma ISO 27001:2013 [8] e su aexo A icluye ua lista de cotroles -o exhaustiva- de aplicació a la mayoría de empresas. El resultado de esta fase se cocreta e u pla de tratamieto de riesgos, es decir, la selecció y justificació de ua o varias opcioes para cada riesgo idetificado. A este pla se añadirá ua relació de riesgos residuales, es decir, aquellos que aú sigue existiedo a pesar de las medidas tomadas. Adicioalmete se icluye e alguos modelos ua etapa de aceptació del riesgo para garatizar que la direcció es cosciete de los riesgos residuales. Esta situació es importate cuado se decide pospoer la implatació de medidas o rechazarla por motivos ecoómicos. 22 Ua guía de aproximació para el empresario

23 4 Gestió del riesgo: de seguridad de la iformació Moitorizado los riesgos de seguridad de la iformació Periódicamete se revisará el valor de los activos, impactos, ameazas, vulerabilidades y probabilidades e busca de posibles cambios. Los riesgos o so estáticos y puede cambiar de forma radical si previo aviso. Por ello es ecesaria ua supervisió cotiua que detecte: uevos activos o modificacioes e el valor de los activos uevas ameazas cambios o aparició de uevas vulerabilidades aumeto de las cosecuecias o impactos icidetes de seguridad de la iformació De forma aáloga se revisará el propio proceso de gestió de riesgos para adecuarlo al cotexto. Esta revisió afecta etre otros a: las categorías de activos los criterios de evaluació de riesgos los iveles de clasificació de los impactos las escalas de aceptació de riesgos los recursos ecesarios Como resultado de la gestió de riesgos teemos idetificados los riesgos y su forma de tratarlos. Este es u bue puto de partida para gestioar la seguridad de la iformació e la empresa de forma amplia, plaificado las distitas actuacioes de forma que esté orgaizadas e el tiempo y alieadas co la estrategia del egocio. La gestió de riesgos es el proceso cetral para poer e marcha u Pla director de seguridad de la iformació. E este pla se defie y prioriza, e base a ua evaluació de riesgos, los proyectos que se haya de implatar para reducir los riesgos a que está expuesta la empresa. Se recomieda la lectura del siguiete coteido del portal: «Pla director de seguridad» [7] 23 Ua guía de aproximació para el empresario

24 5 Referecias 1 EEUU, COSO Committee of Sposorig Orgaizatios of the Treadway Commissio (2015) «Guidace», < [cosulta: 12/05/2015] 2 ISO, INTERNATIONAL STANDARIZATION ASSOCIATION (2009) «ISO 31000:2009 Risk maagemet Priciples ad guidelies», < htm> [cosulta: 12/05/2015] 3 Gobiero de España ADMINISTRACIÓN ELECTRÓNICA (2012), MAGERIT V3: Metodología de Aálisis y Gestió de Riesgos de los Sistemas de Iformació, < [cosulta: 12/05/2015] 4 EEUU NIST, Natioal Istitute of Stadards ad Techology (2012), «Special Publicatio Rev.1», Guide for coductig risk assessmet, Computer Security Divisio Iformatio Techology Laboratory, < [cosulta: 12/05/2015] 5 INCIBE Protege tu empresa - Blog (2014) «Sigue el camio del aálisis de riesgos» < icibe.es/protege-tu-empresa/blog/sigue-camio-aalisis-riesgos> [cosulta: 12/05/2015] 6 INCIBE - Protege tu empresa - Blog (2014) «Fácil y secillo: aálisis de riesgos e 6 pasos» < [cosulta: 12/05/2015] 7 INCIBE - Protege tu empresa - Qué te iteresa? (2014), «Pla director de seguridad» < [cosulta: 12/05/2015] 8 ISO (2013) ISO 27001:2013 Iformatio security maagemet systems - Requiremets, < [cosulta: 12/05/2015] 9 ISO27000.es: el portal de la ISO27001 e español < 10 ISMS FORUM SPAIN: Asociació española para el fometo de la seguridad de la iformació < 11 ISO (2011) «ISO 27005:2011 Iformatio techology - Security techiques - Iformatio security risk maagemet» < 12 INCIBE Protege tu empresa - Blog (2013) «Nueva versió ISO/IEC 27001:2013» < icibe.es/protege-tu-empresa/blog/ueva-versio-iso27001> [cosulta: 12/05/2015] 24 Ua guía de aproximació para el empresario

25