I-6-1 Riesgos MAGERIT: Metodología de análisis y gestión de riesgos de los sistemas de información Se estructura en siete guías –Guía de aproximación a

I-6-1

Riesgos

• MAGERIT: Metodología de análisis y gestión de riesgos de los sistemas de información

• Se estructura en siete guías

– Guía de aproximación a la seguridad de los sistemas de información.

– Guía de procedimientos

– Guía de técnicas

– Guía para desarrolladores de aplicaciones

– Guía para responsables del dominio protegible

– Arquitectura de la información y especificaciones de interfaz para el intercambio de datos.

– Referencia de normas legales y técnicas

I-6-2

Modelo MAGERIT

• El submodelo de elementos proporciona los componentes que el submodelo de eventos relaciona entre sí y con el tiempo, mientras que el submodelo de procesos es la descripción funcional del proyecto de seguridad.

• Submodelo de Elementos

– Activos

– Amenazas

– Vulnerabilidades

– Impactos

– Riesgos

– Salvaguardas

• Submodelo de Eventos

– Estático

– Dinámico organizativo

– Dinámico físico

• Submodelo de Procesos

– Planificación

– Análisis de riesgos

– Gestión de riesgos

– Selección de salvaguardas

I-6-3

Submodelo de Elementos. Activos

• Son los recursos del sistema de información o relacionados con éste, necesarios para que la organización funcione correctamente y alcance los objetivos propuestos.

• Estados de seguridad

– Subestado A de autentificación

• Característica de dar y reconocer la autenticidad de los activos de tipo información, la identidad de los actores, su autorización y la verificación de estas tres cuestiones.

– Subestado C de confidencialidad

• Característica que previene contra la divulgación no autorizada de los activos.

• LORTAD

– Subestado I de integridad

• Característica que previene contra la modificación o destrucción no autorizada.

– Subestado D de disponibilidad

• Característica que previene contra la denegación no autorizada de acceso a activos.

I-6-4


• Tipos de activos

– Entorno

• Equipamiento y suministros

• Personal

• Otros tangibles (edificaciones, mobiliario, instalaciones físicas)

– Sistema de información

• Hardware

• Software

• Comunicaciones

– Información

• Datos

• Meta-información

– Funcionalidades de la organización

• Objetivos y misión de la organización

• Bienes y servicios producidos

• Clientes destinatarios de los bienes y servicios

– Otros activos

• Credibilidad

• Conocimiento acumulado

I-6-5


• Valoración

– Valoración intrínseca de los activos

• Cualitativo.

– Para que sirve el activo

• Cuantitativo.

– Valor de cambio. Cuanto vale.

– Se valora en pesetas dependiendo del valor de reposición.

– Valoración del estado de seguridad

• Cuatro subestados ACID

• Autentificación

– Baja, normal, alta o crítica

• Confidencialidad

– Libre, restringida, protegida o confidencial

• Integridad

– Baja, normal, alta o crítica

• Disponibilidad

– Menos de una hora, hasta un día laborable, hasta una semana o más de una semana.

I-6-6

Submodelo de Elementos. Amenazas

• Son los eventos que pueden desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales en los activos.

• Tipos

– Grupo A de accidentes

• A1: Accidente físico de origen industrial

• A2: Avería

• A3: Accidente físico de origen natural

• A4: Interrupción de servicios o de suministros esenciales

• A5: Accidentes mecánicos o electromagnéticos

– Grupo E de errores

• E1: Errores de utilización

• E2: Errores de diseño

• E3: Errores de ruta, secuencia o entrega

• E4: Inadecuación de monitorización, trazabilidad o registro

I-6-7

Submodelo de Elementos. Amenazas

– Grupo P de amenazas intencionales presenciales

• P1: Acceso físico no autorizado con inutilización por destrucción o sustracción

• P2: Acceso lógico no autorizado con interceptación pasiva simple de información

• P3: Acceso lógico no autorizado con alteración o sustracción de la información en tránsito o de configuración

• P4: Acceso lógico no autorizado con corrupción o destrucción de información en tránsito o de configuración.

• P5: Indisponibilidad de recursos

– Grupo T de amenazas intencionales remotas

• T1: Acceso lógico no autorizado con interceptación pasiva

• T2: Acceso lógico no autorizado con corrupción o destrucción de información en tránsito o de configuración

• T3: Acceso lógico no autorizado con modificación

• T4: Suplantación de origen

• T5: Repudio del origen o de la recepción de información en tránsito

I-6-8

Submodelo de Elementos. Vulnerabilidades

• La vulnerabilidad de un activo es la potencialidad o posibilidad de ocurrencia de la materialización de una amenaza sobre dicho activo.

• Tipos

– Vulnerabilidad intrínseca

• Solo depende del activo y la amenaza

– Vulnerabilidad efectiva

• Tiene en cuenta además las salvaguardas aplicadas al activo

I-6-9

Submodelo de Elementos. Impactos

• Es la consecuencia sobre un activo de la materialización de una amenaza.

• Tipos

– Con consecuencias cualitativas funcionales

– Con consecuencias cuantitativas

• N1: Pérdidas de valor económico, ligadas a activos inmobiliarios o inventariables.

• N2: Pérdidas directas, valorables económicamente y ligadas a intangibles en general no inventariable.

• N3: Pérdida indirectas unidas a disfuncionalidades tangibles

• N4: Pérdidas económicas relativas a responsabilidad legal

– Con consecuencias cuantitativas orgánicas

• L1: Pérdida de fondos patrimoniales intangibles

• L2: Responsabilidad penal por incumplimiento de obligaciones legales

• L3: Perturbación o situación embarazosa político-administrativa

• L4: Daños a las personas

I-6-10

Submodelo de Elementos. Riesgo

• Es la posibilidad de que se produzca un impacto determinado en un activo.

• Tipos

– Riesgo calculado intrínseco

• Se define antes de aplicar salvaguardas

– Riesgo calculado residual

• Se incluyen los efectos atenuantes de las salvaguardas

– Umbral de riesgo

• Es un valor establecido como base para decidir si el riesgo calculado es asumible o no.

I-6-11

Submodelo de Elementos. Salvaguardas

• Función o servicio de salvaguarda es la acción mediante la que se reduce el riesgo.

• Mecanismo de salvaguarda es el procedimiento o dispositivo, físico o lógico que reduce el riesgo.

• Tipos

– Preventivos

• Actúa sobre la vulnerabilidad y reduce la potencialidad de materialización de la amenaza.

– Curativos

• Actúan sobre el impacto y reducen la gravedad del mismo.

I-6-12

Submodelo de Eventos

• El submodelo de elementos ha proporcionado los componentes que el submodelo de eventos va a relacionar entre sí y con el tiempo.

– Vista estática relacional

– Vista dinámica de tipo organizativo

• Subescenario de análisis de amenazas

• Subescenario de análisis y gestión de salvaguardas

– Vista dinámica de tipo físico

I-6-13

Submodelo de Eventos. Vista estática

I-6-14

Submodelo de Procesos

• Es una guía de procedimiento que muestra de forma sistemática las acciones que es necesario realizar para obtener un proyecto de seguridad.

• Se divide en etapas, que se subdividen en actividades y estas en tareas.

– Etapa 1: Planificación del análisis y gestión de riesgos

– Etapa 2: Análisis de riesgos

– Etapa 3: Gestión de riesgos

– Etapa 4: Selección de salvaguardas

I-6-15

Etapa 1. Planificación del análisis y gestión de riesgos

• Actividad 1.1: Oportunidad de realización

– Tarea 1.1.1: Clarificar la oportunidad de realización

• Actividad 1.2: Definición de dominio y objetivos

– Tarea 1.2.1: Especificar los objetivos del proyecto

– Tarea 1.2.2: Definir el dominio y los límites del proyecto.

– Tarea 1.2.3: Identificar el entorno y restricciones generales

– Tarea 1.2.4: Estimar dimensión, coste y retornos del proyecto.

• Actividad 1.3: Planificación del proyecto

– Tarea 1.3.1: Evaluar cargas y planificar entrevistas.

– Tarea 1.3.2: Organizar a los participantes

– Tarea 1.3.3: Planificar el trabajo

• Actividad 1.4: Lanzamiento del proyecto

– Tarea 1.4.1: Adaptar los cuestionarios

– Tarea 1.4.2: Seleccionar los criterios de evaluación y técnicas para el proyecto

– Tarea 1.4.3: Asignar los recursos necesarios.

– Tarea 1.4.4: Sensibilizar

I-6-16

Actividad 2.1: Recogida de información

• Tarea 2.1.1: Preparar la información

– Descripción y objetivos

• Ubicar y localizar a los entrevistados

• Enviar el orden del día al entrevistado

• Disponer de un documento acreditativo de la dirección.

– Productos a obtener

• Documentación de trabajo

– Técnicas

• Entrevistas

• Tarea 2.1.2: Realización de las entrevistas


• Delimitación de activos

• Valor de reposición de los activos

• Importancia de los activos en la organización

• Salvaguardas existentes

– Productos

• Entrevistas realizadas

– Técnicas

• Entrevistas

I-6-17

Actividad 2.1: Recogida de información

• Tarea 2.1.3: Analizar la información recogida


• Analizar y sintetizar la información recogida

• Contrastar las diferentes fuentes de información

– Productos

• Informe

– Técnicas

• Elaboración de informes

I-6-18

Actividad 2.2: Identificación y agrupación de activos

• Tarea 2.2.1: Identificar activos y grupos de activos


• Identificar los activos, sus características, atributos y clasificación en los tipos predeterminados

– Productos

• Informe de activos

• Tarea 2.2.2: Identificar mecanismos de salvaguarda existentes


• Identificar los mecanismos de salvaguarda existentes

– Productos

• Informe de los mecanismos de salvaguarda

– Técnica


• Tarea 2.2.3: Valorar activos


• Valoración intrínseca de los activos

• Valoración asociada a los estados de seguridad

– Productos

• Informe de valoración de activos

– Técnica


I-6-19

Actividad 2.3: Identificación y evaluación de amenazas

• Tarea 2.3.1: Identificar y agrupar amenazas


• Descripción de las amenazas

• Tipología de la amenaza

– Productos

• Informe de amenazas

– Técnica


• Tarea 2.3.2: Establecer los árboles de fallos generados por amenazas


• Identificar los árboles de amenazas.

– Una amenaza puede inducir la aparición de otra y así sucesivamente

– Productos

• Informes de árboles de amenazas

– Técnicas


I-6-20

Actividad 2.4: Identificación y estimación de vulnerabilidades

• Tarea 2.4.1: Identificar vulnerabilidades


• Identificar la vulnerabilidad para cada pareja activo-amenaza

– Valoración intrínseca

– Valoración efectiva

– Valoración residual.

– Productos

• Informe de vulnerabilidades

– Técnicas

• Técnicas matriciales

• Tarea 2.4.2: Estimar vulnerabilidades


• Estimar a partir la frecuencia de ocurrencia anual.

– Productos

• Informe de vulnerabilidades

– Técnicas


• Lógica difusa o probabilidad bayesiana

I-6-21

Actividad 2.5: Identificación y valoración de impactos

• Tarea 2.5.1: Identificar impactos


• Identificar los impactos como agresión de una amenaza a un activo

– Productos

• Informe de impactos

– Técnicas


• Tarea 2.5.2: Tipificar impactos


• Tipificación de impactos

– Productos

• Informes de impactos

– Técnica


• Tarea 2.5.3: Valorar impactos


• Valoración de los impactos

– Productos

• Informe de impactos

– Técnica


I-6-22

Actividad 2.6: Evaluación del riesgo

• Tarea 2.6.1: Evaluar el riesgo intrínseco– Descripción y objetivos

• Evaluar el riesgo intrínseco en base a la siguiente tabla

– Productos• Informes de riesgos

– Técnicas• Técnicas matriciales

• Tarea 2.6.2: Analizar las funciones de salvaguarda existentes

– Descripción y objetivos• Identificar las funciones de salvaguarda y valorar

la efectividad de los mecanismos de salvaguarda– Productos

• Informe de riesgos– Técnicas


VulnerabilidadImpacto Muy Baja Baja Media Alta Muy AltaMuy alto Alto Muy alto Muy alto Muy alto Muy altoAlto Medio Alto Alto Alto AltoMedio Bajo Bajo Medio Medio MedioBajo Bajo Bajo Bajo Medio MedioMuy bajo Muy Bajo Muy Bajo Muy bajo Muy bajo Bajo

I-6-23

Actividad 2.6: Evaluación del riesgo

• Tarea 2.6.3: Evaluar el riesgo efectivo– Descripción y objetivos

• Evaluar de nuevo los impacto y vulnerabilidades teniendo en cuenta las salvaguardas.

• Aplicar el método de evaluación de riesgo de la tarea 2.6.1

– Productos• Informes de riesgos

– Técnicas• Elaboración de informes• Técnicas matriciales

I-6-24

Etapa 3: Gestión de riesgos

– Esta etapa tiene por objeto identificar y seleccionar las funciones de salvaguarda apropiadas para reducir el riesgo a un nivel aceptable.

• Actividad 3.1: Interpretación del riesgo– Tarea 3.1.1: Interpretar los riesgos

• Descripción y objetivos– Estimar el umbral de riesgo.

• Productos– Informe de riesgos

• Técnicas

I-6-25

Actividad 3.2: Estimación de las funciones de salvaguarda

– Tarea 3.2.1: Identificar funciones de salvaguarda• Descripción y objetivos

– Proponer salvaguardar para los activos con riesgo efectivo superior al umbral.

• Productos– Informe de salvaguardas

• Técnicas– Técnicas matriciales

– Tarea 3.2.2: Estimar la efectividad de las funciones de salvaguarda

• Descripción y objetivos– Estimar la efectividad de las funciones de

salvaguarda propuestas anteriormente.• Productos

– Informe de salvaguardas• Técnicas

– Análisis coste-beneficio

I-6-26

Actividad 3.3: Selección de funciones de salvaguarda

– Tarea 3.3.1: Aplicar los parámetros de selección• Descripción y objetivos

– Obtener una lista de salvaguardas ordenadas por efectividad y agrupadas por activo-amenaza.

• Productos– Lista de salvaguardas ordenadas por

efectividad y agrupadas por activo-amenaza.• Técnicas

– Técnicas matriciales

– Tarea 3.3.2: Reevaluar el riesgo• Descripción y objetivos

– Calcular el riesgo residual después de aplicar las salvaguardas.

• Productos– Informes de riesgos residuales

• Técnicas– Técnicas matriciales

I-6-27

Actividad 3.4: Cumplimiento de objetivos

– Tarea 3.4.1: Determinar el cumplimiento de los objetivos

• Descripción y objetivos– Determinar formalmente el cumplimiento de

los umbrales de riesgo.• Productos

– Informe de riesgos residuales aceptado• Técnicas

I-6-28

Etapa 4: Selección de salvaguardas

• Permite seleccionar los mecanismos de salvaguarda que materialicen las funciones y servicios seleccionados anteriormente.

• Actividad 4.1: Identificación de mecanismos de salvaguarda

• Actividad 4.2: Selección de mecanismos de salvaguarda• Actividad 4.3: Especificación de los mecanismos a

implantar• Actividad 4.4: Planificación de la implantación• Actividad 4.5: Integración de resultados

I-6-29

Actividad 4.1: Identificación de mecanismos de salvaguarda

– Tarea 4.1.1: Identificar mecanismos posibles• Descripción y objetivos

– Confeccionar una lista inicial de los posibles mecanismos de salvaguarda

• Productos– Informe de mecanismos de salvaguarda

• Técnica– Técnicas matriciales

– Tarea 4.1.2: Estudiar mecanismos implantados• Descripción y objetivos

– Evaluar los mecanismos implantados: posibles mejoras, ampliación del grado de implantación, eliminación, etc.

• Productos– Informes de mecanismos de salvaguarda

• Técnicas– Técnicas matriciales– Elaboración de informes

I-6-30

Actividad 4.2: Selección de mecanismos de salvaguarda

– Tarea 4.2.1: Identificar mecanismos a implantar• Descripción y objetivos

– Cribar la lista inicial de posibles de mecanismos de salvaguarda

• Productos– Lista definitiva de mecanismos de

salvaguarda• Técnicas

– Elaboración de informes

I-6-31

Plan del proyecto

• Ambito

• Recursos

• Riesgo

– Activos

– Amenazas

– Vulnerabilidades

– Impactos

– Riesgo intrínseco y efectivo

– Definir el umbral de riesgo

– Salvaguardas

– Riesgo residual

Documents

I-6-1 Riesgos MAGERIT: Metodología de análisis y gestión de riesgos de los sistemas de información Se estructura en siete guías –Guía de aproximación a