Anàlisis de risc informàtic

L'anàlisis de riscs informàtics és un procés que comprén l'identificació d'actius informàtics, els seus vulnerabilitats i amenaças als que es troben exposts aixina com la seua provabilitat d'ocurrència i l'impacte de les mateixes, a fi de determinar els controls adequats per a acceptar, disminuir, transferir o evitar l'ocurrència del risc.

Tenint en conte que l'explotació d'un risc causaria danys o pèrdues financeres o administratives a una empresa o organisació, es té la necessitat de poder estimar la magnitut de l'impacte del risc a que es troba exposta per mig de l'aplicació de controls. Dits controls, per a que siguen efectius, deuen ser implementats en conjunt formant una arquitectura de seguritat en la finalitat de preservar les propietats de confidencialitat, integritat i disponibilitat dels recursos objectes de risc.

Introducció

Els riscs de seguritat d'informació deuen ser considerats en el context del negoci, i les interrelacions en atres funcions de negocis, tals com a recursos humans, desenroll, producció, operacions, administració, TI, finances, etcétera i els clients deuen ser identificats per a conseguir una image global i completa d'estos riscs.

Cada organisació té una missió. En esta era digital, les organisacions que utilisen sistemes tecnològics per a automatisar els seus processos o informació deuen ser conscients de que l'administració del risc informàtic juga un rol crític.

La meta principal de l'administració del risc informàtic deuria ser “protegir a l'organisació i la seua habilitat de manejar la seua missió” no solament la protecció dels elements informàtics. Ademés, el procés no solament deu ser tractat com una funció tècnica generada pels experts en tecnologia que operen i administren els sistemes, sino com una funció essencial d'administració per part de tota l'organisació.

És important recordar que el risc és l'impacte negatiu en l'eixercici de la vulnerabilitat, considerant la provabilitat i l'importància d'ocurrència. Per lo que podem dir a grans traces que l'administració de riscs és el procés d'identificació, evaluació i presa de decisions per a reduir el risc a un nivell acceptable.

L'anàlisis de risc informàtic és un element que forma part del programa de gestió de continuïtat de negoci (Business Continuity Management)

En l'anàlisis de risc informàtic és necessari identificar si existixen controls que ajuden a minimisar la provabilitat d'ocurrència de la vulnerabilitat (risc controlat), de no existir, la vulnerabilitat serà de risc no controlat.

Dins de l'evaluació del risc és necessari realisar les següents accions: Calcular l'impacte en cas que l'amenaça es present, tant a nivell de risc no controlat com el risc controlat i evaluar el risc de tal forma que es puga priorisar, açò es realisa de forma quantitativa (assignant pesos) o de forma qualitativa (matriu de riscs)

Procés d'anàlisis de riscs informàtics

El procés d'anàlisis de risc genera habitualment un document al com se li coneix com a matriu de risc. En este document es mostren els elements identificats, la manera en que es relacionen i els càlculs realisats. Este anàlisis de risc és indispensable per a conseguir una correcta administració del risc. L'administració del risc fa referència a la gestió dels recursos de l'organisació. Existixen diferents tipos de riscs com el risc residual i risc total aixina com també el tractament del risc, evaluació del risc i gestió del risc entre unes atres. La fòrmula per a determinar el risc total és:

RT (Risc Total) = Provabilitat x Impacte Promig

A partir d'esta fòrmula determinarem el seu tractament i despuix d'aplicar els controls podrem obtindre el risc residual.

Com es descriu en el BS ISO/IEC 27001:2005, l'evaluació del risc inclou les següents activitats i accions: Identificació dels actius. Identificació dels requisits llegals i de negoci que són rellevants per a l'identificació dels actius.

Valoració dels actius identificats, tenint en conte els requisits llegals i de negoci identificats anteriorment, i l'impacte d'una pèrdua de confidencialitat, integritat i disponibilitat. Identificació de les amenaces i vulnerabilitats importants per als actius identificats. Evaluació del risc, de les amenaces i les vulnerabilitats a ocórrer. Càlcul del risc. Evaluació dels riscs front a una escala de risc preestablits.

Despuix d'efectuar l'anàlisis devem determinar les accions a prendre respecte als riscs residuals que es varen identificar. Les accions poden ser:

• Controlar el risc.- Enfortir els controls existents i/o agregar nous controls.
• Eliminar el risc.- Eliminar l'actiu relacionat i en això s'elimina el risc.
• Compartir el risc.- Per mig d'acorts contractuals part del risc es traspassa a un tercer.
• Acceptar el risc.- Es determina que el nivell d'exposició és adequat i per lo tant s'accepta.

Vore també

• Seguritat informàtica
• Computadora
• Hacker
• Informàtica
• Ciberdelincuencia
• Internet
• Internet en la ciència ficció

Referències

Bibliografia

• Information security management systems (2006). «Part 3: Guidelines for information security risk management» (en anglés).