MAGERIT MAGERIT: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información
MAGERIT es la metodología de análisis y gestión de riesgos de los l os sistemas de información elaborada por el Consejo Superior de Administración Electrónica, como respuesta a la percepción de que en la Administración, y, en general, toda la sociedad, dependen de forma creciente de las tecnologías de la información para el cumplimiento de su misión. ü Magerit está directamente relacionada con la generalización del uso de las tecnologías de la información, esto supone beneficios para los usuarios; y da lugar a ciertos riesgos ri esgos que deben minimizarse con medidas de seguridad que generen confianza. ü Interesa a todos aquellos que trabajan con información digital y sistemas informáticos para tratarla. Si éstos, son valiosos, Magerit permitirá saber cuánto valor está en juego y ayudará ayud ará a protegerlo. Conocer el riesgo al que están sometidos los elementos de trabajo es imprescindible para poder gestionarlos. Con Magerit se persigue una aproximación metódica que no deje lugar a la improvisación, ni dependa de la arbitrariedad del analista. ü Actualmente se encuentra en la versión 2.0; durante el periodo transcurrido desde la publicación de la primera versión de Magerit (1997), el análisis de riesgos se ha venido consolidando como paso necesario para la gestión de la seguridad
DESCRIPCIÓN GENERAL DE MAGERIT Hay varias aproximaciones al problema de analizar los riesgos soportados por los sistemas TIC, como pueden ser guías informales, aproximaciones metódicas y herramientas de soporte. Todas buscan objetivar el análisis de riesgos para saber cuán seguros (o inseguros) son los sistemas y no llamarse a engaño. El gran reto de todas estas aproximaciones es la complejidad del problema al que se enfrentan; complejidad en el sentido de que hay muchos elementos que considerar y que, si no se es riguroso, las conclusiones serán de poco fiar. Es por ello que en Magerit se persigue una aproximación metódica que no deje lugar a la improvisación, ni dependa de la arbitrariedad del analista, segun esto. Magerit persigue los siguientes objetivos:
Concientizar a los responsables de los sistemas de información de la existencia de riesgos y de la necesidad de atajarlos a tiempo. Ofrecer un método sistemático para analizar tales riesgos. Ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos bajo control. Preparar a la Organización para procesos de evaluación, auditoría, certificación o acreditación, según corresponda en cada caso. Ventajas de Magerit: Las decisiones que deban tomarse y que tengan que ser validadas por la dirección estarán fundamentadas y serán fácilmente defendibles Desventajas de Magerit: El hecho de tener que traducir de forma directa todas las valoraciones en valores económicos hace que la aplicación de esta metodología sea realmente costosa ESTRUCTURACION DE LA METODOLOGIA La versión 2 y 3 de Magerit se ha estructu rado en tres libros: “El Método”, un "Catálogo de Elementos" y una "Guía de Técnicas". EL MÉTODO Realización del análisis y de la gestión En laPlanificación del Análisis y Gestión de Riesgos se establecen las consideraciones necesarias para arrancar el proyecto, investigando la oportunidad de realizarlo, definiendo los objetivos que ha de cumplir y el dominio (ámbito) que abarcará, planificando los medios materiales y humanos para su realización e iniciando materialmente el propio lanzamiento del proyecto Análisis de Riesgos En el Análisis de riesgos se identifican y valoran los elementos componentes del riesgo, obteniendo una estimación de los umbrales de riesgo deseables. Es la consideración sistemática del daño probable que puede causar un fallo en la seguridad de la información, con las consecuencias potenciales de pérdida de confidencialidad, integridad y disponibilidad de la información. ELEMENTOS DEL ANÁLISIS DE RIESGOS En la realización de un Análisis y Gestión de Riesgos según MAGERIT, el Analista de Riesgos es el profesional especialista que maneja seis elementos básicos: • Activos: Recursos del sistema de información o relacionados con este, necesarios para que funcione
correctamente y alcance los objetivos propuestos por su dirección. El activo esencial es la información o
dato. • Amenazas: Determinar las amenazas que pueden afectar a cada activo, hay que e stimar cuán
vulnerable es el activo en dos sentidos: Degradación: Como es de perjudicial y Frecuencia: Cada cuanto se materializa la amenaza • Vulnerabilidades:Potencialidad o posibilidad de ocurrencia de la materialización de una amenaza sobre
dicho activo. • Impactos: Es el daño sobre el activo causado po r la amenaza, conociendo el valor de los activos sería
muy sencillo calcular el valor del impacto • Riesgo: Es la medida de la posibilidad que existe en que se materialice una amenaza. Conociendo el
riesgo ya podemos calcular la frecuencia
• Salvaguardas (Funciones, Servicios y Mecanismos): Un salvaguarda es un mecanismo de protección
frente a las amenazas, reducen la frecuencia de las amenazas y limitan el daño causado por estas. ACTIVOS Identificación de los Activos protegibles del Dominio MAGERIT tiene en cuenta cinco grandes categorías de Activos: 1. El entorno o soporte del Sistema de Información, que comprende activos tangibles (como edificaciones, mobiliario, lugares de trabajo), equipamiento de suministro auxiliar (energía, climatización, comunicaciones) y personal 2. El sistema de información propiamente dicho del Dominio (hardware, redes, software, aplicaciones) 3. La propia información requerida, soportada o producida por el Sistema de Información que incluye los datos informatizados, así como su estructuración (formatos, códigos, claves de cifrado) y sus soportes (tratables informáticamente o no) 4. Las funcionalidades del Dominio que justifican al Sistema de Información, incluido desde el personal usuario a los objetivos propuestos por la dirección del Dominio. 5. Otros Activos, de naturaleza muy variada, por ejemplo la imagen de la organización, la confianza que inspire, el fondo de comercio, la intimidad de las personas, etc. Ejemplo: Un fallo en la red de conexión de datos (Activo de tipo Entorno) provoca la imposibilidad de alimentar el Sistema de Información (por ejemplo de una sucursal bancaria) que no obtiene así la Información de las cuentas de sus clientes, con lo que no puede ejercer las funcionalidades de la organización (atender a los clientes) y pierde imagen ante éstos, como ejemplo de esos otros activos. RIESGOS El riesgo es la posibilidad de que se produzca un impacto en un Activo o en el Dominio. Para MAGERIT el cálculo del riesgo ofrece un Indicador que permite tomar decisiones por comparación explícita con un Umbral de Riesgo determinado; o sea una propiedad de la relación Vulnerabilidad /Impacto y por tanto de la relación entre Activos y Amenazas. AMENAZAS Conocimiento de las Amenazas Las amenazas se definen como los eventos que pueden desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales en sus activos. [N] Desastres naturales: Sucesos que pueden ocurrir sin intervención de los seres humanos como causa directa o indirecta. [I] De origen industrial: Sucesos que pueden ocurrir de forma accidental, derivados de la actividad humana de tipo industrial. Estas amenazas pueden darse de forma accidental o deliberada. [E] Errores y fallos no intencionados: Fallos no intencionales causados por las personas. [A] Ataques intencionados: Fallos deliberados causados por las personas. Errores y amenazas constituyen frecuentemente las dos caras de la misma moneda: algo que le puede
pasar a los activos sin animosidad o deliberadamente. Se pueden dar hasta tres combinaciones: • Amenazas que sólo pueden ser errores, nunca ataques deliberados • Amenazas que nunca son errores: siempre son ataques deliberados • Amenazas que pueden producirse tanto por error como de liberadamente MAGERIT considera distintos ‘productores’ de las Amenazas (no humanos, humanos i nvoluntarios o
humanos voluntarios) para tener en cuenta la diversidad de sus causas, independientemente de sus consecuencias. Cada tipo de productores genera un tipo de causas de los cambios del estado de seguridad en los Activos: accidentes, errores e intervenciones intencionales, éstas realizadas con presencia del agresor por ‘teleacción’ (usando medios de comunicación). Las Amenazas se cl asifican
así: Grupo A de Accidentes A1: Accidente físico de origen industrial: incendio, explosión, inundación por roturas, contaminación por industrias cercanas o emisiones radioeléctricas A2: Avería: de origen físico o lógico, debida a un defecto de origen o sobrevenida durante el funcionamiento del sistema A3: Accidente físico de origen natural: riada, fenómeno sísmico o volcánico, meteoro, rayo, corrimiento de tierras, avalancha, derrumbe A4: Interrupción de servicios o de suministros esenciales: energía, agua, telecomunicación, fluidos y suministros diversos A5: Accidentes mecánicos o electromagnéticos: choque, caída, cuerpo extraño, radiación, electrostática Grupo E de Errores E1: Errores de utilización ocurridos durante la recogida y transmisión de datos o en su explotación por el sistema E2: Errores de diseño existentes desde los procesos de desarrollo del software (incluidos los de dimensionamiento, por la posible saturación) E3: Errores de ruta, secuencia o entrega de la información en tránsito E4: Inadecuación de monitorización, trazabilidad, registro del tráfico de información Grupo P de Amenazas Intencionales Presenciales P1: Acceso físico no autorizado con inutilización por destrucción o sustracción (de equipos, accesorios o infraestructura) P2: Acceso lógico no autorizado con intercepción pasiva simple de la información P3: Acceso lógico no autorizado con alteración o sustracción de la información en tránsito o de configuración; es decir, reducción de la confidencialidad para obtener bienes o servicios aprovechables (programas, datos) P4: Acceso lógico no autorizado con corrupción o destrucción de información en tránsito o de configuración: es decir, reducción de la integridad y/o disponibilidad del sistema sin provecho directo (sabotaje inmaterial, infección vírica) P5: Indisponibilidad de recursos, sean humanos (huelga, abandono, rotación) o técnicos (desvío del uso del sistema, bloqueo). Grupo T de Amenazas Intencionales Teleactuadas T1: Acceso lógico no autorizado con intercepción pasiva (para análisis de tráfico) T2: Acceso lógico no autorizado con corrupción o destrucción de información en tránsito o de configuración T3: Acceso lógico no autorizado con modificación (Inserción, Repetición) de información en tránsito T4: Suplantación de Origen (del e misor o reemisor, ‘man in the middle’) o de Identidad
T5: Repudio del Origen o de la Recepción de información en tránsito
VULNERABILIDADES Estimación de las Vulnerabilidades La Vulnerabilidad de un Activo se define como la potencialidad o posibilidad de ocurrencia de la materialización de una Amenaza sobre dicho Activo. Es una propiedad de la relación entre un Activo y una Amenaza y se clasifica de acuerdo con éstos (conviene centrarse en las amenazas más fácilmente materializables y/o más impactantes). La vulnerabilidad se expresa con un valor decimal, comprendido entre los valores extremos: 0 (la Amenaza no afecta al Activo) y 1 (no alcanzable pues significa la agresión permanente). MAGERIT evita cuidadosamente los términos probable y probabilidad al definir la Vulnerabilidad, mientras que emplea los conceptos de potencial y potencialidad como más cercanos al tránsito de amenaza materializable en agresión. Esa potencialidad se convierte en frecuencia para los casos de calculabilidad definida (cifra de cuántas veces falla una disquetera por año) y en posibilidad para los casos de calculabilidad más difusa (que MAGERIT también trata con técnicas avanzadas especiales). MAGERIT mide la Vulnerabilidad por la frecuencia histórica cuantitativa de la materialización de la Amenaza sobre el Activo, cuando es factible (fiabilidad de un componente hardware, número de fallos de software); o bien por la potencialidad cualitativa de dicha materialización, cuya primera aproximación lleva a emplear una escala vista en las Amenazas potenciales (consideradas ahora reales, o sea agresiones). Por ejemplo: Promedio medio entre ocurrencias Escala subjetiva menor de 1 semana
Frecuencia muy alta
menor de 2 meses
Frecuencia alta
menor de 1 año
Frecuencia media
menor de 6 años
Frecuencia baja
superior a 6 años
Frecuencia muy baja
Ejemplo: Una Amenaza de ‘inundación por desbordamiento de torrente’ relativa a un Activo ‘centro de cálculo’ se plasma en una Vulnerabilidad del Activo ante esa Amenaza. La Vulnerabilidad depende tanto
de la frecuencia de las inundaciones en la zona como de la ubicación del propio centro de cálculo (cercanía al lecho, situación en un sótano, etc.). IMPACTOS Identificación de Impactos El Impacto en un Activo es la consecuencia sobre éste de la materialización de una Amenaza en agresión, consecuencia que puede desbordar ampliamente el Dominio y requerir la medida del daño producido a la organización. Es la diferencia en las estimaciones del estado de seguridad del Activo obtenidas antes y después del evento de agresión. El Responsable del Dominio protegible para realizar la estimación crucial de los Impactos se apoya en la tipología de Impactos de MAGERIT, orientada a la naturaleza de las Consecuencias de las combinaciones Activo-Amenaza.
MAGERIT considera tres grandes grupos de Impactos, según que sus Consecuencias sean reductoras del estado de seguridad del Activo agredido directamente (en este caso el Impacto se compone de su Gravedad intrínseca y un Agravante o Atenuante circunstancial); o indirectamente (y en este caso, de forma cualitativa o cuantitativa). Entonces el Impacto será: • Cualitativo con pérdidas funcionales (de los subestados de seguridad) del Activo • O bien cualitativo con pérdidas orgánicas (de fondo de comercio, daño de p ersonas) • O bien cuantitativo si las consecuencias se puede traducir a dinero.
Ciertos Impactos suponen consecuencias cualitativas funcionales sobre los subestados: • El Subestado de Autenticación SA Es la propiedad que permite que no haya du da de quién se hace
responsable de una información o prestación de un servicio, tanto a fin de confiar en él como de poder perseguir posteriormente los incumplimientos o errores. Contra la autenticidad se dan suplantaciones y engaños que buscan realizar un fraude. La autenticidad es la base para poder luchar contra el repudio y, como tal, fundamenta el comercio electrónico o la administración electrónica, permitiendo confiar sin papeles ni presencia física. • El Subestado de Confidencialidad SC Es la propiedad que aseg ura que la información llegue solamente
a las personas autorizadas. La confidencialidad es una propiedad de difícil recuperación. Una violación de la confidencialidad puede perfectamente menoscabar la confianza de los demás actores en la organización que no es diligente en el mantenimiento del secreto. Además estos fallos puede suponer el incumplimiento de leyes y compromisos contractuales relativos a la custodia de los datos. • El Subestado de Integridad Es la propiedad de mantener los recursos libres de cualquier tipo de
modificación no autorizada. La integridad de la información se ve violada cuando un actor (empleado, programa, malware o proceso), por accidente o mala intención, altera de alguna manera los datos ya sea modificándolos o borrándolos. Toda modificación de la información importante de una organización debe ser autorizada y registrada. • El Subestado de Disponibilidad SD Es la p ropiedad que garantiza la disposición de los recursos a ser usados cuando sea necesario. La carencia de disponibilidad supone una interrupción del servicio. La disponibilidad afecta directamente a la productividad de las organizaciones. A estas dimensiones canónicas de la seguridad se pueden añadir otras derivadas que nos acerquen a la percepción de los usuarios de los sistemas de información:
Autenticidad:Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos. Contra la autenticidad de la información podemos tener manipulación del origen o el contenido de los datos. Contra la autenticidad de los usuarios de los servicios de acceso, podemos tener suplantación de identidad. Trazabilidad: Aseguramiento de que en todo momento se podrá determinar quién hizo qué y en qué momento. La trazabilidad es esencial para analizar los incidentes, perseguir a los atacantes y aprender de la experiencia. La trazabilidad se materializa en la integridad de los registros de actividad MAGERIT usa esta escala simple, válida para sistemas de información normales en los sectores público y privado, que se usa con mucha frecuencia para apreciar globalmente el Impacto (como se detalla después): − Menos de una hora − Menos de un día laborable − Menos de una semana − Menos de un mes
− Más de un mes
Una parte de estos deterioros de los subestados de seguridad tienen Impactos con consecuencias cuantitativas de varios tipos: • N1: Pérdidas de valor económico, ligadas a activos inmobiliarios o inventariables (costes de reposición
de la funcionalidad, gastos de tasar, sustituir, reparar o limpiar lo dañado, edificios y obras, instalaciones, computadores, redes) • N2: Pérdidas indirectas, valorables y ligadas a intangibles en general no inventariados (datos,
programas, documentación, procedimientos) • N3: Pérdidas indirectas, valorables económicamente, unidas a disfuncio nalidades tangibles (coste del
retraso o interrupción de funciones operacionales de la organización; la perturbación o ruptura de los flujos y ciclos productivos, incluido el deterioro de la calidad de éstos; y la incapacidad de cumplimentar las obligaciones contractuales o estatutarias) • N4: Pérdidas económicas relativas a responsabilidad legal del ‘propietario’ del Dominio protegible
siniestrado debido a los perjuicios causados a terceros (multas) Otros deterioros de los subestados de seguridad tienen Impactos con consecuencias cualitativas orgánicas de varios tipos: •
L1: Pérdida de fondos patrimoniales intangibles: conocimientos (documentos, datos o programas) no recuperables, información confidencial • L2: Responsabilidad penal por Incumplimiento de obligaciones • L3: Perturbación o situación embarazosa político-administrativa (credibilidad, prestigio, competencia
política)
• L4: Daño a las personas
Estimación de Impactos MAGERIT indica varias formas de valorar estos impactos: • Valoración económica directa de las Pérdidas Cuantitativas cuando es posible • Estimación por niveles usando una escala monetaria que representa las cantidades a emplear para
paliar los daños producidos por una amenaza materializada en la organización. • Estimación por Niveles de Gravedad usando las escalas cualitativas de las Pérdidas cualitativas L orgánicas o de las funcionales relacionadas con reducción de los subestados SA, SC o SI. • Valoración en tiempo de la falta de disponibilidad de algún activo importante.
En un primer intento intente escoger como medida del impacto el coste de reposición del activo dañado; cuando esta medida no es factible o no tiene sentido, intenta apreciar el coste de reposición de la función realizada por el Activo dañado, a partir del deterioro de alguno de sus subestados de seguridad. Así: − La pérdida con gravedad alta del subestado de disponibilidad de un Activo de tipo información
(reponible con gran dificultad) afecta total o parcialmente a una funcionalidad de la Organización durante un tiempo determinado −La misma pérdida con gravedad alta del subestado de confidencialidad no hace perder facturación
actual, pero puede haber dado la lista de pedidos a un competidor que la usará para hacer perder clientes y su facturación futura; pérdida posiblemente mucho más alta, si no se toman las medidas adecuadas en el intervalo.
RIESGOS El riesgo es la posibilidad de que se produzca un impacto en un Activo o en el Dominio. MECANISMOS DE SALVAGUARDA Una Función o un Servicio de salvaguarda es una acción genérica que reduce el Riesgo mientras que un Mecanismo de salvaguarda es el procedimiento o dispositivo, físico o lógico, capaz de reducir el riesgo. Los mecanismos de salvaguarda se valoran directamente por su coste técnico u organizativo. Actúa de dos formas posibles, en general alternativas: • Neutralizando o bloqueando la materialización de la Amenaza antes de ser agresión • Mejorando el estado de seguridad del Activo ya agredido, por reducción del Impacto.
Gestión de Riesgos En la Gestión de riesgos se identifican las posibles funciones y servicios de salvaguarda reductores del riesgo calculado, se seleccionan los aceptables en función de las existentes y otras restricciones y se especifican los elegidos finalmente. Selección de salvaguardas En la Selección de salvaguardas se escogen los mecanismos de salvaguarda a implantar, se elabora una orientación de ese plan de implantación, se establecen los procedimientos de seguimiento para la implantación y se recopila la información necesaria Hay que planificar el conjunto de salvaguardas pertinentes para atajar tanto el impacto como el riesgo, reduciendo bien la degradación del activo (minimizando el daño), bien reduciendo la frecuencia de la amenaza (minimizando sus oportunidades). CATÁLOGO DE ELEMENTOS Ofrece unas pautas y elementos estándar en cuanto a: tipos de activos, dimensiones de valoración de los activos, criterios de valoración de los activos, amenazas típicas sobre los sistemas de información y salvaguardas a considerar para proteger sistemas de información. Se persiguen dos objetivos:
1. Por una parte, facilitar la labor de las personas que acometen el proyecto, en el sentido de ofrecerles elementos estándar a los que puedan adscribirse rápidamente, centrándose en lo específico del sistema objeto del análisis. 2. Por otra, homogeneizar los resultados de los análisis, promoviendo una terminología y unos criterios uniformes que permitan comparar e incluso integrar análisis realizados por diferentes equipos. Valoración de Activos Tipos de activos: [S] Servicios: Función que satisface una necesidad de los usuarios [D] Datos / Información: Elementos de información que, de forma singular o agrupada de alguna forma, representan el conocimiento que se tiene de algo [SW] Aplicaciones (software): Con múltiples denominaciones (programas, aplicativos, desarrollos, etc.) son tareas que han sido automatizadas para su desempeño por un equipo informático. [HW] Equipos informáticos (hardware): Dícese de bienes materiales, físicos, destinados a soportar directa o indirectamente los servicios que presta la organización, siendo pues depositarios temporales o
permanentes de los datos, soporte de ejecución de las aplicaciones informáticas o responsables del procesado o la transmisión de datos [COM] Redes de comunicaciones: Incluyendo tanto instalaciones dedicadas como servicios de comunicaciones contratados a terceros [SI] Soportes de información: Dispositivos físicos que permiten almacenar información de forma permanente o, al menos, durante largos periodos de tiempo [AUX] Equipamiento auxiliar: Equipos que sirven de soporte a los sistemas de información, sin estar directamente relacionados con datos. [L] Instalaciones: Lugares donde se hospedan los sistemas de información y comunicaciones. [P] Personal: Personas relacionadas con los sistemas de información. Dimensiones de valoración de un activo [D] disponibilidad: Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados. [I] integridad de los datos: Garantía de la exactitud y completitud de la información y los métodos de su procesamiento [C] confidencialidad de los datos: Aseguramiento de que la información es accesible sólo para aquellos autorizados a tener acceso [A_S] autenticidad de los usuarios del servicio: Aseguramiento de la identidad u origen. [A_D] autenticidad del origen de los datos: Aseguramiento de la identidad u origen. [T_S] trazabilidad del servicio: Aseguramiento de que en todo momento se podrá determinar quién usó qué y en qué momento [T_D] trazabilidad de los datos: Aseguramiento de que en todo momento se podrá determinar quién hizo qué y en qué momento Criterios de valoración Para valorar los activos vale, teóricamente, cualquier escala de valores. A efectos prácticos es sin embargo muy importante que: • Se use una escala común para todas las dimensiones, permitiendo comparar riesgos • Se use una escala logarítmica, centrada en diferencias relativas de valor, que no en diferencias
absolutas •Se use un criterio homogéneo que permita comparar análisis realizados por separado
El Activo puede tener dos formas clásicas de valoración, cualitativa y cuantitativa. La valoración cualitativa corresponde a su valor de uso y la cuantitativa a su valor de cambio (cuando éste tiene sentido para ciertos tipos de Activo). Muchos Activos del Dominio en estudio no son inventariables en sentido contable o como ‘valor de cambio’; pero no por ello dejan de tener ‘valor de uso’ para la
Organización (e incluso a veces un valor decisivo). Salvaguardas
Hay diferentes aspectos en los cuales puede actuar una salvaguarda para alcanzar sus objetivos de limitación del impacto y/o mitigación del riesgo: [PR] Se requieren procedimientos tanto para la operación de las salvaguardas preventivas como para la gestión de incidencias y la recuperación tras las mismas. [PER] política de personal, que es necesaria cuando se consideran sistemas atendidos por personal. La política de personal debe cubrir desde las fases de especificación del puesto de trabajo y selección, hasta la formación continua.
Soluciones técnicas, frecuentes en el entorno de las tecnologías de la información, que pueden ser - [SW] aplicaciones (software) - [HW] dispositivos físicos -
[COM] protección de las comunicaciones - [FIS] seguridad física, de los locales y áreas de trabajo
GUIA DE TECNICAS Proporciona algunas técnicas que se emplean habitualmente para llevar a cabo proyectos de análisis y gestión de riesgos Técnicas específicas Se han considerado de especial interés:
1. Uso de tablas para la obtención sencilla de resultados En el análisis de riesgos hay que trabajar con múltiples elementos que hay que combinar en un sistema para ordenarlo por importancia sin que los detalles perjudiquen la visión de conjunto. La experiencia ha demostrado la utilidad de métodos simples de análisis llevados a cabo por medio de tablas que, sin ser
muy precisas, sí aciertan en la identificación de la importancia relativa de los diferentes activos sometidos a amenazas. Sea la escala siguiente útil para calificar el valor de los activos, la magnitud del impacto y la magnitud del riesgo: MB: muy bajo B: bajo M: medio A: alto MA: muy alto
1. Técnicas algorítmicas para la obtención de resultados elaborados Dícese análisis de la distinción y separación de las partes de un todo hasta llegar a conocer sus principios o elementos.
1. Arboles de ataque para complementar los razonamientos de qué amenazas se ciernen sobre un sistema de información Los árboles de ataque son una técnica para modelar las diferentes formas de alcanzar un objetivo. El objetivo del atacante se usa como raíz del árbol. A partir de este objetivo, de forma iterativa e incremental se van detallando como ramas del árbol las diferentes formas de alcanzar aquel objetivo, convirtiéndose las ramas en objetivos intermedios que a su vez pueden refinarse. Los posibles ataques a un sistema se acaban modelando como un bosque de árboles de ataque. Un árbol de ataque pasa revista a cómo se puede atacar un sistema y por tanto permite identificar qué salvaguardas se necesita desplegar para impedirlo. También permiten estudiar la actividad del atacante y por tanto lo que necesita saber y lo que necesita tener para realizar el ataque; de esta forma es posible refinar las posibilidades de que el ataque se produzca si se sabe a quién pudiera interesar el sistema y/o la información y se cruza esta información con la habilidades que se requieren. Técnicas Generales Son utilizadas en el desarrollo de un proyecto de análisis y gestión de riesgos. Se han considerado de especial interés:
Análisis coste-beneficio
Tiene como objetivo fundamental proporcionar una medida de los costes en que se incurre en la realización de un proyecto y comparar dichos costes previstos con los beneficios esperados de la realización de dicho proyecto.Para la realización del análisis coste/beneficio se seguirán los siguientes pasos: ü Producir estimaciones de costes/beneficios: Se realizará una lista de todo lo que es necesario para implementar el sistema y una lista de los beneficios esperados del nuevo sistema. (adquisición de hardware y software, gastos de mantenimiento de hardware y software anteriores). En la estimación de beneficios se pueden considerar cuestiones como incremento de la productividad, reutilización de plataformas sustituidas, ahorros de adquisición y mantenimiento de software y hardware) ü Determinar la viabilidad del proyecto y su aceptación
Diagrama de flujo de datos Permite representar gráficamente los límites del sistema y la lógica de los procesos, estableciendo qué funciones hay que desarrollar. Se compone de los siguientes elementos: Entidad externa, proceso, Almacén de datos, Flujo de datos.
Diagrama de procesos Un proceso de la Organización se descompone en una serie de actividades (qué se hace) y éstas en procedimientos (cómo se hace).
Técnicas gráficas ü Diagramas de Gantt: Los diagramas GANTT ayudan a la representación de actividades y recursos en función del tiempo. El objetivo de los Diagramas GANTT consiste en facilitar la comprensión de los detalles de un plan y el progreso en su ejecución. ü Por puntos y líneas: Es la forma más clásica de presentación de resultados. Se limita a usar los ejes cartesianos usando las abscisas para recoger los datos y las ordenadas para mostrar su valor. ü Por barras: Los diagramas de barras disponen los elementos en unas coordenadas cartesianas convencionales: los elementos a considerar en un eje y los valores en el otro eje
ü Gráficos de ‘radar’: Estos gráficos
representan las distintas variables o factores del fenómeno en estudio sobre ejes o radios que parten de un centro. Estos radios, tantos como factores, se gradúan para representar sus niveles y posibles umbrales en escala normal o logarítmica, según convenga. üDiagramas de Pareto: Una gráfica de Pareto es utilizada para separar gráficamente los aspectos más significativos de un problema que el equipo sepa dónde dirigir sus esfuerzos para mejorar. Reducir los problemas más significativos (las barras más largas en una gráfica Pareto) servirá más para una mejora general que reducir los más pequeños. üDiagramas de tarta: Estos diagramas presentan los datos como fracciones de un círculo, distribuidos los 360º de éste en proporción al valor que es representado en cada sección. La proporción suele ser lineal; rara vez logarítmica.
Planificación de Proyectos Las técnicas del camino crítico (CP – Critical Path) y PERT (Program Evaluation and Review Technique) fueron desarrolladas hacia 1950 con el objetivo de modelar proyectos complejos, estimar su tiempo de realización y analizar las consecuencias que sobre el conjunto tendría una desviación en una tarea.
Sesiones de Trabajo Dependiendo del tipo de sesión que se realice, los objetivos pueden ser: obtener información, comunicar resultados, reducir el tiempo de desarrollo, activar la participación de usuarios y directivos o aumentar la calidad de los resultados. Las sesiones de trabajo pueden ser de varios tipos en función de las personas que participen en ellas, el objetivo que se persiga y el modo de llevarlas a cabo. Las entrevistas y las reuniones son un tipo de sesiones de trabajo dirigidas a obtener la información.
Valoración Delphi
La técnica Delphi es un instrumento de uso múltiple adecuada para Magerit que se utiliza con muy variados objetivos: Identificar problemas, desarrollar estrategias para la solución de problemas, fijando un rango de alternativas posibles, identificar factores de resistencia en el proceso de cambio, establecer previsiones de futuro sobre la evolución de las tendencias que se observan en un determinado campo o sector y contrastar opiniones en un tema abarcando un amplio campo de disciplinas o sectores.
