Roi Terno De Inversion

Una guía metodológica para el cálculo del retorno a la inversión (ROI) en seguridad informática
Nicolás Sánchez Acevedo* Juan Sebastián Segura Castañeda♠

Tabla de Contenido
1. Introducción 1.1. El problema 1.2. Estudio base de la investigación 1.3. Pregunta de investigación y objetivos 1.4. Importancia de la investigación Revisión de Literatura 2.1. Historia y evolución de la SeguridadInformática 2.2. Conceptos y modelos Actuales de la Seguridad Informática 2.2.1. Objetivos de la Seguridad Informática 2.2.2. Principios de la Seguridad Informática 2.2.2.1. Confidencialidad 2.2.2.2. Integridad 2.2.2.3. Disponibilidad 2.2.3. Servicios de la Seguridad Informática 2.2.3.1. Autenticación 2.2.3.2. Autorización 2.2.3.3. No repudio 2.2.3.4. Auditabilidad 2.2.4. Definición de SeguridadInformática 2.3. Definición de Seguridad Informática 2.4. Retorno a la Inversión (ROI) en Seguridad Informática 2.4.1. Modelos propuestos para el cálculo del ROI en seguridad informática Análisis Preliminar 3.1. Introducción 3.2. Administración de Riesgos 3.2.1. ¿Cómo favorece o aporta la Administración de Riesgos en el proceso investigativo del Cálculo de ROI en seguridad informática? 3.3. Métricas enSeguridad Informática Modelo propuesto para el retorno de la inversión 4.1. Introducción 4.2. Explicación del Modelo Guía Metodológica 5.1. Introducción 5.2. Caracterización del ejemplo a desarrollar

2.

3.

4.

5.

* ♠

nicolas.sanchez@javeriana.edu.co juan.segura@javeriana.edu.co

1

5.3. Guía metodológica para el cálculo del retorno de la inversión en seguridad informática(ROSI) 5.3.1. Proceso No.1: Análisis de riesgos 5.3.1.1. Caracterización de la organización 5.3.1.2. Identificación de amenazas 5.3.1.3. Identificación de vulnerabilidades 5.3.1.4. Análisis de controles existentes 5.3.1.5. Determinación del número de ocurrencias 5.3.1.6. Determinación del impacto 5.3.1.7. Determinación del nivel de riesgo 5.3.1.8. Recomendaciones de control 5.3.2. Proceso No.2:Estimación del ROSI 5.3.2.1. Estimación para el año 1 5.3.2.2. Estimación para el año 2 en adelante 6. 7. Conclusión Referencias

2

Una guía metodológica para el cálculo del retorno a la inversión (ROI) en seguridad informática
Nicolás Sánchez Acevedo* Juan Sebastián Segura Castañeda♠
Resumen El presente documento presenta los avances de la investigaciones adelantadas sobre el cálculo delretorno de la inversión en seguridad informática, para lo cual se ha revisado la evolución de la seguridad de la información, los conceptos generales de la seguridad informática y los elementos asociados con el retorno de la inversión, los cuales serán utilizados para plantear una alternativa para la estimación del ROI. La alternativa planteada fue revisada a la luz de conceptos como la administraciónde riesgos y las métricas de seguridad, las cuales deben ser refinadas de acuerdo con los criterios de negocio que se plantean en las organizaciones. En los últimos capítulos de este documento, se presentan los detalles del modelo propuesto, y una guía metodológica propuesta para el fin ya descrito. Palabras claves: seguridad informática, retorno, inversión, ROI, administración de riesgos, análisisde riesgos, métricas.

1 Introducción
1.1 El problema
Muchas organizaciones hoy en día, son amenazadas constantemente en sus activos, lo que puede representar miles o millones de dólares en pérdidas [HARR03]. Las vulnerabilidades en los sistemas de información pueden representar problemas graves, por ello es muy importante que las empresas contemporáneas comprendan los conceptos necesariospara combatir y defenderse de los posibles ataques a su información. En la actualidad, la información es el bien de mayor valor para las empresas [ALSI05]. El progreso de la informática y de las redes de comunicación no sólo ha sido un beneficio para las mismas, debido a que tienen mayores niveles de sistematización, sino que generan un mayor nivel de prevención y responsabilidad frente a las...