TECNOLIGIA

Entregable de la ENISA:

Paquete informativo para PYME
Con ejemplos de
evaluación y de gestión de riesgos
de dos PYME
(disponible asimismo en www.enisa.europa.eu/rmra)

Elaborado por el
Departamento Técnico de la ENISA
Sección de Gestión de Riesgos
en colaboración con:
George Patsis
Obrela Security Industries (OSI)
www.obrela.com

Febrero de 2007

1

Aviso legal
La presentepublicación recoge las opiniones e interpretaciones de sus autores y redactores, salvo que
se indique lo contrario. Esta publicación no debe interpretarse como una actuación de la ENISA, ni de
sus órganos, a menos que se haya aprobado con arreglo a lo dispuesto en el Reglamento (CE)
nº 460/2004 sobre la ENISA. Por otra parte, no representa necesariamente la situación actual y podráactualizarse esporádicamente.
Las fuentes de terceros se citan debidamente. La ENISA no es responsable del contenido de las
fuentes externas, incluidos los sitios web externos a los que se alude en la presente publicación.
La presente publicación sirve únicamente a fines educativos y de información. Ni la ENISA, ni ninguna
persona que actúe en su nombre, es responsable del uso que pudiera darse a lainformación contenida
en ella.
Reservados todos los derechos. Ninguna parte de la presente publicación puede reproducirse,
almacenarse en sistemas de recuperación o transmitirse en forma alguna ni por ningún medio
electrónico o mecánico, ni mediante fotocopia, grabación u otro modo, sin el permiso previo y por
escrito de la ENISA, salvo que tal reproducción, almacenamiento, recuperación otransmisión se
permitan expresamente en la legislación o con arreglo a lo convenido con las organizaciones
encargadas de velar por los derechos pertinentes. En todos los casos debe citarse la fuente. Las
solicitudes de reproducción pueden dirigirse a la dirección de contacto que se indica en la presente
publicación.
©Agencia Europea de Seguridad de las Redes y de la Información (ENISA), 2007Resumen ejecutivo
En el presente documento se recoge el segundo entregable de la ENISA mencionado en el Programa
de trabajo de la Agencia para 2006. Determinadas partes de esta publicación se basan en la
necesidad comunicada a la ENISA de contar con un enfoque simplificado de la evaluación de riesgos.
El presente documento trata de ofrecer una visión simplificada y exhaustiva de la gestión y laevaluación de riesgos para su uso en pequeñas y medianas empresas (PYME). Para ello, se adopta
una estructura modular, cada una de cuyas partes se dedica a las necesidades específicas de las
partes interesadas que intervienen en el proceso de evaluación y gestión de riesgos.
El planteamiento subyacente a esta publicación es el de proteger a los usuarios (no expertos) de la
complejidad de lasactividades de gestión y evaluación de riesgos. Para ello, se simplifican ciertos
asuntos complejos relacionados con la seguridad, reduciéndolos a lo mínimo que se necesita para
conseguir un nivel de seguridad aceptable.
Por supuesto, si se requiere un nivel alto de seguridad, habrá que tener en cuenta la gestión de
riesgos en toda su complejidad, incluida la inmersión en los detalles concretosde las medidas y de la
tecnología correspondientes. En este sentido, las ideas y el enfoque aquí presentados se han
concebido con la intención de cubrir un nivel de seguridad aceptable para las organizaciones de
pequeñas dimensiones con inversiones en seguridad moderadas. Unos niveles de seguridad más
avanzados (en relación, por ejemplo, con los componentes críticos de la infraestructura)exigirían un
tratamiento más completo, que va más allá del alcance del presente documento.
Para elaborar este material se han tenido en cuenta las diferentes destrezas que necesitan las partes que
intervienen en la evaluación de riesgos. El proceso de evaluación de riesgos que se propone se estructura a
partir de un enfoque en cuatro fases simplificado. No esperamos que los usuarios del...