Please enable JavaScript.

Coggle requires JavaScript to display documents.

ANÁLISIS, EVALUACIÓN Y GESTIÓN DE RIESGOS INFORMÁTICOS - Coggle Diagram

- - - - Necesario para el desarrollo de las actividades
      - Su no disponibilidad o deterioro
        
        Supone un costo
      - Su protección
        
        Fin de la gestión de riesgos
    - - Su valoración
        
        Para evaluar magnitud del riesgo
  - - - Que una amenaza
        
        Aproveche una vulnerabilidad
        
        Genera resultados negativos o adversos
        
        Afecte la CIA
        
        Que la información
        
        Deje de ser accesible
        
        Se altere o modifique sin autorización
        
        Sea leída o empleada por terceros no autorizados
    - - La organización
        
        Debe contar con un sistema de gestión
        
        Contribuye a
        
        Identificar como se mide el riesgo
        
        Evaluar el impacto de una situación negativa
  - - - Potencial o real
      - Afecta
        
        Cualquier activo
        
        Provoca su indisponibilidad, funcionamiento incorrecto o pérdida de valor
        
        Genera consecuencias negativas
  - - - Del sistema o de sus componentes (activos)
    - - Materialización de la amenaza
        
        Se deben revisar para cada una de estas que las pueden explotar
    - - Tomar medidas para reducir el impacto de sus amenazas
    - - Hardware, Software, personal, redes, infraestructuras, otros
  - - - Su frecuencia
        
        Se corresponde con la amenaza
  - - - Como las amenazas y vulnerabilidades
        
        Afectan la CIA de los activos de información
    - - De afectación al valor del activo
- - - - Más cantidad constantemente
    - - Materialización amenazas
        
        Mayor exposición --> Implica mayor riesgo
  - - - Deben ser
        
        Política corporativa de la organización
  - - - Para maximizarla
        
        Esfuerzos
        
        Metódicos
        
        Estructurados
        
        Con proceso de evaluación y mejora continua
        
        Aspecto más relevante
  - - - Vulnerabilidad
        
        Afecta
        
        Activo
        
        Genera
        
        Impacto
- - - - Contiene
        
        Motivos para llevarla a cabo
        
        Responsabilidades y rendición de cuentas del proceso
        
        Relación con otras políticas de la empresa
        
        Recursos disponibles
        
        Medición del desempeño
        
        Compromiso de revisión del marco de trabajo y de la política
  - - - Alineándose con
        
        Contexto interno y externo
        
        Perfiles del riesgo
    - - Contribuir a la consecución de los objetivos y la mejora del desempeño
  - - - Seguimiento y revisión periódica
        
        Para
        
        Medir progreso
        
        Adaptarse a los cambios del entorno
        
        Fin
        
        Mejora continua
    - - Comprender la empresa y su contexto
      - Establecer una política de gestión de riesgos
      - Identificar autoridades y competencias
      - Definir la integración en los procesos de negocio como plan estratégico para que sea relevante, eficaz y eficiente
      - Proporcionar los recursos necesarios
      - Establecer mecanismos de comunicación interna y externa
    - - Establecer y desarrollar los objetivos
      - Aplicar la política y el proceso
      - Cumplir con la legislación y normativa
  - - - Análisis del riesgo
        
        Establecer nivel de riesgo que está soportando la organización
        
        Con
        
        Inventario de activos
        
        Determinación de amenazas
        
        Probabilidad de ocurrencia
        
        Posible impacto
        
        Se debe realizar de forma metódica
        
        Evitar
        
        Improvisación
        
        Omisiones
        
        Criterios arbitrarios
      - Tratamiento de los riesgos
        
        Cuando su nivel está por encima del umbral
        
        Nivel máximo de riesgo a soportar
        
        Para disminuirlo
        
        Requiere
        
        Análisis económico
        
        Que el costo de tratamiento no supere el costo del riesgo
- - - - No tomar ninguna medida correctiva o acción para protegerse
        
        Se asume el riesgo
    - - Continuidad del proceso
      - Prestación del servicio
  - - - No recomendado
        
        Sacrifica la disponibilidad
    - - Sustituyendo el activo por otro
      - Eliminando la actividad que produce el riesgo
  - - - Amenazas
      - Vulenrabilidades
      - Necesidades
      - Se decide
        
        Límite aceptado de riesgo
        
        Que el nivel de riesgo
        
        Este por debajo del umbral
        
        Con
        
        Mecanismos que reduzcan impacto de materialización de una amenaza
  - - - Aseguradoras
        
        Generan
        
        Indemnizaciones en caso de una afectación
    - - Tasación en efectivo de incidentes en relación con ataques a la infraestructura
- - - - Abarca las que le siguen
      - Se realiza en todas
    - - Actuación de todas las partes
        
        Internas y externas
    - - A dirección y personal
    - - De procesos e interesados
  - - - Áreas internas
        
        Cultura, recursos, procesos, objetivos de la organización
      - Entorno externo
        
        Aspectos de entorno social, económico y legislativo
    - - Se establecen
        
        Objetivos gestión de riesgo
        
        Criterios para evaluación de los riesgos
        
        Método a usar para establecimiento de probabilidades
        
        Magnitudes de los impactos
        
        Alcance de la gestión de riesgos, roles y responsabilidades
    - - Evaluación de riesgos
      - Escalas de aceptación de riesgos
      - Ámbito y límites de la gestión
      - Niveles de clasificación de los impactos
  - - - A través de
        
        Identificación
        
        Búsqueda, reconocimiento, descripción
        
        Posibles puntos de peligro
        
        Internos y externos
        
        Se debe
        
        1 more item...
        
        Activos de información
        
        Primarios o de soporte
        
        Conocer las amenazas y daños que pueden provocar
        
        Análisis
        
        Calificación de los riesgos identificados
        
        Cuantitativamente
        
        Valoración de su impacto
        
        Cualitativamente
        
        Importancia relativa
        
        Para
        
        Priorización de esfuerzos
        
        Evaluación de eficacia de medios de control establecidos
        
        Evaluación
        
        Determinar prioridades en uso de recursos
        
        Se incluye
        
        Valoración en términos de estrategia de negocio
        
        Establecer
        
        Riesgos que son aceptables y no aceptables
        
        Requiere
        
        Enfoque organizacional
  - - - Opciones existentes para tratamiento de cada uno
    - - Que hacer con cada riesgo
        
        En virtud de su valoración y criterios establecidos
        
        Selección opción de tratamiento adecuada
      - Nivel de tolerancia
        
        Se establece con base en criterios costo-beneficio
    - - Plan de tratamiento de riesgos
        
        Selección y justificación de una o varias opciones para cada riesgo identificado
        
        Importante
        
        Añadir relación de riesgos residuales
        
        Los que siguen existiendo pese a medidas tomadas
        
        Dirección
        
        Debe ser consciente de su existencia
  - - - Detección de deficiencias y opciones de mejora
    - - Para mejora continua
        
        Supervisión de lo que ocurre
        
        Aplicar correcciones necesarias
    - - Periódica
        
        Los riesgos son dinámicos, cambiantes
- - - - La organización
        
        Selecciona la que mejor se ajuste a sus necesidades
      - Entre estas
        
        OCTAVE – Operationally Critical Threat, Asset and Vulnerability Evaluation
        
        MAGERIT – Metodología de Análisis y Gestión de Riesgos de TI
        
        MEHARI - Método Armonizado de Análisis de Riesgos
        
        Estandar ISO/ IEC 27005
  - - - En este
        
        Se asume como probable el riesgo informático
      - Busca
        
        Evaluación del impacto
        
        Establecer probabilidad de ocurrencia
      - Emplea
        
        Técnicas de recolección de información
        
        DOFA
        
        Revisión de literatura
        
        Lluvia de ideas
        
        Entrevistas
        
        Cuestionarios
        
        Conceptos de expertos
        
        Evaluaciones internas
    - - Base
        
        Asignación de valores a los elementos del sistema
        
        Gestión de las cifras a través de modelos matemáticos
      - Aporta
        
        Indicadores de impacto u otras unidades de valor
        
        Como
        
        Probabilidad de ocurrencia de un riesgo
        
        Incidencia de los riesgos sobre la organización
        
        Efectividad de controles
      - Facilita
        
        Establecer el umbral de riesgo
        
        Nivel máximo de riesgo a soportar
        
        La gestión de riesgo
        
        Debe mantenerlo por debajo del umbral
        
        Esto
        
        Genera un costo
        
        Vigilar
        
        No emplear más recursos de los necesarios para ello
      - Necesario y recomendado
        
        Para la transferencia del riesgo
        
        Aseguradores
        
        Piden conocer valor real del riesgo aceptado