Análisis Y Gestión De Riesgos En Un Sistema Informático

ANÁLISIS Y GESTIÓN DE
RIESGOS EN UN SISTEMA
INFORMÁTICO.

Índice
1. Recursos del Sistema
2. Amenazas
3. Vulnerabilidades
4. Incidentes de Seguridad
5. Impactos
6. Riesgos
7. Defensas, Salvaguardas o Medidas de
Seguridad
8. Trasferencia del Riesgo a Terceros
9. Referencias de Interés

1. Recursos del Sistema
Los recursos son los activos a proteger del sistema informático de laorganización.
Principales recursos a la hora de analizar y gestionar riesgos:
-Recursos de hardware: servicios y estaciones de trabajo, ordenadores portátiles,
impresoras, escáneres y otros periféricos.
-Recursos software: sistemas operativos, herramientas ofimáticas, software de
gestión, herramientas de programación, aplicaciones desarrolladas a medida,
etc.
-Elementos de comunicaciones:dispositivos de conectividad (hubs, switches,
routers), armarios con paneles de conexión, cableado, puntos de acceso a la red,
líneas de comunicación con el exterior, etc.
-Información que se almacena, procesa y distribuye a través del sistema (activo
de naturaleza intangible).
-Locales y oficinas donde se ubican los recursos físicos y desde los que acceden
al sistema los usuarios finales.-Personas que utilizan y se benefician directa o indirectamente del
funcionamiento del sistema.
-Imagen y reputación de la organización.

2. Amenazas
Una Amenaza es cualquier evento accidental o intencionado que pueda
ocasionar algún daño en el sistema informático, provocando pérdidas materiales,
financieras o de otro tipo a la organización.
Se puede establecer a la hora de estudiar lasamenazas a la
seguridad:
seguridad:
-Amenazas naturales: inundación, incendio, tormenta, fallo eléctrico, explosión,
etc.
-Amenazas de agentes externos: virus informáticos, ataques de una organización
criminal, sabotajes terroristas, disturbios y conflictos sociales, intrusos en la red,
robos, estafas, etc.
-Amenazas de agentes internos: empleados descuidados con una formación
inadecuada odescontentos, errores en la utilización de las herramientas y
recursos del sistema, etc.

2. Amenazas
También podríamos definir una clasificación alternativa, teniendo en
cuenta el grado de intencionalidad de la amenaza:
-Accidentes: averías del hardware y fallos de software, incendio, inundación, etc.
-Errores: errores de utilización, de explotación, de ejecución de determinadosprocedimientos,
procedimientos, etc.
-Actuaciones malintencionadas: robos, fraudes, sabotajes, intentos de intrusión,
etc.

Se puede emplear una escala cuantitativa o cualitativa para definir
distintos niveles para la ocurrencia de una amenaza: Muy Baja, Baja, Media, Alta
y Muy Alta.

3. Vulnerabilidades
Una vulnerabilidad es cualquier debilidad en el sistema informático
que puede permitir alas amenazas causarle daños y producir pérdidas en la
organización.
Se
Se corresponden con fallos en los sistemas físicos y lógicos, aunque
también pueden tener su origen en los defectos de ubicación , instalación,
configuración y mantenimiento de los equipos.
Se suele emplear una escala cuantitativa o cualitativa para definir el
nivel de vulnerabilidad de un determinado equipo o recurso:baja, media y alta.

4. Incidentes de Seguridad

Una incidente de seguridad es cualquier evento que tenga o pueda
tener como resultado la interrupción de los servicios suministrados por un sistema
informático y posibles pérdidas físicas, de activos o financieras. Es decir, se
considera que un incidente es la materialización de una amenaza.

5. Impactos
El impacto es la medición yvaloración del daño que podría producir a
la organización un incidente de la seguridad.
También en este caso se puede emplear una escala cuantitativa o
cualitativa para medir el impacto del daño en la organización: bajo, moderado y
alto.

6. Riesgos
El riesgo es la probabilidad
de que una amenaza se materialice
sobre una vulnerabilidad del sistema
informático, causando un determinado...