El análisis de riesgos informáticos es un proceso que comprende la identificación de activos informáticos, sus vulnerabilidades y amenazas
a los que se encuentran expuestos así como su probabilidad de
ocurrencia y el impacto de las mismas, a fin de determinar los controles
adecuados para aceptar, disminuir, transferir o evitar la ocurrencia
del riesgo.
Teniendo en cuenta que la explotación de un riesgo causaría daños o
pérdidas financieras o administrativas a una empresa u organización, se
tiene la necesidad de poder estimar la magnitud del impacto del riesgo a
que se encuentra expuesta mediante la aplicación de controles. Dichos
controles, para que sean efectivos, deben ser implementados en conjunto
formando una arquitectura de seguridad con la finalidad de preservar las
propiedades de confidencialidad, integridad y disponibilidad de los
recursos objetos de riesgo.
Elementos de un análisis de riesgo
El proceso de análisis de riesgo genera habitualmente un documento al
cual se le conoce como matriz de riesgo. En este documento se muestran
los elementos identificados, la manera en que se relacionan y los
cálculos realizados. Este análisis de riesgo es indispensable para
lograr una correcta administración del riesgo. La administración del
riesgo hace referencia a la gestión de los recursos de la organización.
Existen diferentes tipos de riesgos como el riesgo residual y riesgo
total así como también el tratamiento del riesgo, evaluación del riesgo y
gestión del riesgo entre otras. La fórmula para determinar el riesgo
total es:
Análisis de impacto al negocio
Véase también: Economía de seguridad informática.
El reto es asignar estratégicamente los recursos para cada equipo de
seguridad y bienes que intervengan, basándose en el impacto potencial
para el negocio, respecto a los diversos incidentes que se deben
resolver.
Para determinar el establecimiento de prioridades, el sistema de
gestión de incidentes necesita saber el valor de los sistemas de
información que pueden ser potencialmente afectados por incidentes de
seguridad. Esto puede implicar que alguien dentro de la organización
asigne un valor monetario a cada equipo y un archivo en la red o asignar
un valor relativo a cada sistema y la información sobre ella. Dentro de
los valores para el sistema se pueden distinguir: confidencialidad de
la información, la integridad (aplicaciones e información) y finalmente
la disponibilidad del sistema. Cada uno de estos valores es un sistema
independiente del negocio, supongamos el siguiente ejemplo, un servidor web público pueden poseer la característica de confidencialidad baja (ya que toda la información es pública) pero necesita alta disponibilidad e integridad, para poder ser confiable. En contraste, un sistema de planificación de recursos empresariales (ERP) es, habitualmente, un sistema que posee alto puntaje en las tres variables.
Los incidentes individuales pueden variar ampliamente en términos de alcance e importancia.Puesta en marcha de una política de seguridad
Actualmente las legislaciones nacionales de los Estados, obligan a
las empresas, instituciones públicas a implantar una política de
seguridad. Por ejemplo, en España, la Ley Orgánica de Protección de Datos de carácter personal o también llamada LOPD
y su normativa de desarrollo, protege ese tipo de datos estipulando
medidas básicas y necesidades que impidan la pérdida de calidad de la
información o su robo. También en ese país, el Esquema Nacional de Seguridad
establece medidas tecnológicas para permitir que los sistemas
informáticos que prestan servicios a los ciudadanos cumplan con una
requerimientos de seguridad acordes al tipo de disponibilidad de los servicios que se prestan.
Generalmente se ocupa exclusivamente a asegurar los derechos de
acceso a los datos y recursos con las herramientas de control y
mecanismos de identificación. Estos mecanismos permiten saber que los
operadores tienen sólo los permisos que se les dio.
La seguridad informática debe ser estudiada para que no impida el
trabajo de los operadores en lo que les es necesario y que puedan
utilizar el sistema informático con toda confianza. Por eso en lo
referente a elaborar una política de seguridad, conviene:
- Elaborar reglas y procedimientos para cada servicio de la organización.
- Definir las acciones a emprender y elegir las personas a contactar en caso de detectar una posible intrusión
- Sensibilizar a los operadores con los problemas ligados con la seguridad de los sistemas informáticos.
Los derechos de acceso de los operadores deben ser definidos por los
responsables jerárquicos y no por los administradores informáticos, los
cuales tienen que conseguir que los recursos y derechos de acceso sean
coherentes con la política de seguridad definida. Además, como el
administrador suele ser el único en conocer perfectamente el sistema,
tiene que derivar a la directiva cualquier problema e información
relevante sobre la seguridad, y eventualmente aconsejar estrategias a
poner en marcha, así como ser el punto de entrada de la comunicación a
los trabajadores sobre problemas y recomendaciones en término de
seguridad informática.
No hay comentarios:
Publicar un comentario