Seguridad informatica

Modelos de Seguridad Informática
y Retorno de Inversión
IEEE – Computer - Management Society

Problemática
¿Cuanto le cuesta la inseguridad informática
a nuestro negocio?
¿Qué impacto tiene la falta de seguridad en
la productividad?
¿Qué impacto tendría una interrupción de
seguridad catastrófica?
¿Cuál es la solución más costo-efectiva?
¿Qué impacto tendría la solución sobre laproductividad?

Objetivo Principal
Al final de esta sesión estaremos en
capacidad de seleccionar el método
adecuado para hacer un análisis de
retorno de inversión en seguridad
informática.

¿Como lo vamos a hacer?
Métodos para análisis de Retorno de
inversión
Estándares/Metodologías de Riesgo
Seguridad Informática
Como utilizar los modelos para
justificación de inversión en SeguridadInformática
Caso de estudio

Realidad de la Seguridad de la
Información
Mas que “eventos de una sola vez”
Cuantificar
Costo Eventos
Visibles (Hard)

Cuantificar
Costo Eventos
Ocultos (Soft)

-Costo soporte proveedores
-Costo recuperación del servicio
-Costo arreglo de la falla

-Perdida de ingresos por no
disponibilidad del servicio
-Improductividad de empleados
-Impacto enla imagen y
percepción del cliente

Métodos para análisis de retorno
de inversión
Radio Beneficio/Costo (B/C)
Valor Presente Neto (NPV)
Punto de equilibrio (Breakeven,
Payback)
Retorno sobre la inversión (ROI)
Taza Interna de Retorno (IRR)

CSI/FBI Computer and Crime
Survey - 2006

Radio Beneficio/Costo
Radio Beneficio/Costo
Radio Beneficio/Costo
Beneficio
Beneficio
B/CR =_______
B/CR = _______
Costo
Costo
Es una medida de cuanto dinero se obtiene por usar una estrategia
Es una medida de cuanto dinero se obtiene por usar una estrategia
de costo determinada.
de costo determinada.
B/C 1:1 cada dólar gastado – recibe otro
B/C 1:1 cada dólar gastado – recibe otro
“Todo gratis, pague una comida y le devuelven el dinero”
“Todo gratis, pague una comida y ledevuelven el dinero”
B/C 0.5:1 Por cada dólar se retorna 0.50
B/C 0.5:1 Por cada dólar se retorna 0.50
“ Si pago 20 dólares por llenar el tanque de mi carro y me devuelven
“ Si pago 20 dólares por llenar el tanque de mi carro y me devuelven
10 dólares”
10 dólares”
B/C 2:1 Por cada dólar invertido se reciben 2
B/C 2:1 Por cada dólar invertido se reciben 2
“ En proyectos de software puedenobtener radios de hasta 1000:1”
“ En proyectos de software pueden obtener radios de hasta 1000:1”

Valor Presente Neto
VPN – es lo que el dinero valdrá en el
futuro menos la inflación.
Beneficio
VPN =

(1 + Taza de Inflación) AÑO

$10 de hoy costaran $9.52 en u año, $7.84 el siguiente
y 6.14 en 10 años, usando una taza de inflación modesta
de 5%. ¿Imaginemos si mantuviéramos el mismosalario
durante 10 años?
Una inversión con B/C de 10:1 y un ROI de 900% teniendo
en cuanta el valor de dinero, se convierten en 7.4:1 y ROI de 641%

Punto de equilibrio
El punto de equilibrio es el valor numérico al
cual un beneficio supera o excede el costo.
¿Cuándo retorna la inversión?
Costo
BEP =
1 – Productividad antes/ Productividad Desp.
Ejemplo: Un modulo de seguridad de unaaplicación requiere 100.000
Horas/hombre para producir 10.000 líneas de código y se tiene un 30% de
errores detectados en producción.
Si invertimos en aplicar una metodología de seguridad en el ciclo de desarrollo
de software. Después de 100 horas de entrenamiento podemos esperar que
para producir las mismas 10.000 líneas de código requerimos 10.000 horas
/hombre y se genera un 20% menos deerrores.

Después de 111 Horas se recupera el costo de implantar la nueva
metodología (100 horas capacitación y 11 horas de trabajo - 1/2 día).

Retorno sobre la inversión
ROI es la cantidad de dinero que se obtiene
después de gastar una cantidad de dinero.
Un ROI de 100% significa que por cada dólar
invertido se gana 1 dólar.
Un ROI de 1000% quiere decir que por cada
dólar invertido se...