FASE 4 Planificación del SGSI

Inventario de Activos

En primer lugar necesitamos identificar los activos de información junto con sus amenazas y vulnerabilidades tal como vimos en la sección de DEFINICION DEL ALCANCE

En primer lugar daremos unas pautas para identificar los activos de información

A continuación les dejamos una recomendación para el tipo de Información y estructura para un inventario de Activos de acuerdo a la norma ISO 27001

NOTA; Si la información se transmite detallar el lugar de destino y al nivel de protección en el lugar de destino

Valoración de Activos y asignación de riesgos

El siguiente paso será asignar a cada activo una valoración del riesgo para cada activo en relación al impacto que tendría una pérdida de confidencialidad, disponibilidad o integridad. En este sentido un riesgo puede definirse como un evento posible con un impacto comercial negativo.

Junto con el impacto deberemos precisar con la mayor exactitud posible la probabilidad de que ocurra dicho evento ya que no basta con el impacto posible ya que el número de ocurrencias esperado es lo que junto al impacto determina finalmente el perfil del riesgo de cada activo.

Entonces, determinar el posible daño es el primer paso. Para ello podríamos definir una escala a aplicar para cada activo en relación a las tres dimensiones de cada información, es decir cómo afecta su pérdida de confidencialidad, integridad o disponibilidad.

Veamos la siguiente escala de 5 valores

5 puntos impacto Extremo

Cuando existe la posibilidad de que el impacto tenga como consecuencia cualquiera de las siguientes eventos

4 puntos impacto Importante

Si concurren alguna de las siguientes consecuencias:

3 puntos impacto Moderado

2 puntos impacto Menor

1 punto impacto incidental

Valoración del impacto en un activo

Teniendo en cuenta la siguiente escala, cada activo tendrá una valoración de 0 a 5 para todas sus dimensiones

Con este esquema podremos evaluar el nivel de impacto del riesgo para la seguridad de la información de todos y cada uno de los activos

El siguiente paso consiste en elaborar un catálogo de amenazas considerando como tales a cualquier intento o evento capaz de alterar la seguridad de la información:

Catálogo de amenazas

Para encontrar las amenazas que pueden afectar a una organización en concreto, se deben conocer las fuentes de amenazas y las áreas específicas del sistema que pueden verse afectadas así como los activos de seguridad de la información que se pueden proteger por adelantado.

Para comprender e identificar las amenazas y sus posibles impactos contamos con diferentes maneras para clasificar dichas amenazas así como los criterios. Normalmente deberíamos tener en cuenta para ello la fuente de la amenaza, los agentes y las motivaciones.

Otra forma de resolver esta cuestión seria considerar las amenazas bajo el prisma del impacto que pueden causar en la seguridad de la información

Aquí les proponemos identificar primero las amenazas para en un segundo paso analizar el nivel de impacto de cada una aplicada cada activo de información

Existen numerosos catálogos de amenazas, a modo de ejemplo les proponemos un catálogo genérico

Ejemplo de catálogo de amenazas para la seguridad de la información:

Valoración de las amenazas Para la Seguridad de la Información

Frecuencia o probabilidad de ocurrencia

Para cada amenaza deberemos identificar la probabilidad de que ocurra o la frecuencia con la que puede presentarse determinando en una escala su valor.

La escala para definir la frecuencia podría ser:

Probabilidad Mínima o muy baja:
No se identifican agresores o incidentes ni hay antecedentes (valor 0)

Probabilidad Potencial o Baja:
Se identifica historial de este tipo de agresiones así como incidentes dentro del sector o área geográfica, pero no hay incidentes registrados en nuestra organización. Se esperan posibles incidentes de forma esporádica (Valor 1)

Probabilidad Creíble o Media:
Se identifica historial de este tipo de agresiones así como incidentes en nuestra organización. Se esperan posibles incidentes de forma periódica sin frecuencia determinada. (Valor 2)

Probabilidad Definida o Alta:
Se identifica historial de este tipo de agresiones e incidentes en nuestra organización identificándose el origen. Incidentes o eventos de esta naturaleza ocurren con frecuencia conocidos (Valor 3)

Nivel de vulnerabilidad

La vulnerabilidad considera el impacto potencial de la perdida de información si la amenaza se produce. Se trata de considerar en qué grado la organización se ve afectada cuando la amenaza se realiza.

Un componente clave de la evaluación de la vulnerabilidad es definir adecuadamente las calificaciones para el impacto de la pérdida y la vulnerabilidad ya que esto puede variar para distintos activos.

No es lo mismo la indisponibilidad de datos de varios minutos en un sistema de control de tráfico ferroviario que en la indisponibilidad de minutos de la base de datos de empleados de la misma organización.

Ejemplo de escala de valoración de vulnerabilidades de una amenaza determinada

Menor deterioro inexistente (Valor 0):
No hay impacto en las instalaciones ni en las operaciones. La interrupción es menor a 2 horas. No hay pérdida ni daño en activos importantes.

Perceptible o deterioro bajo (Valor 1):
Las instalaciones quedan temporalmente cerrada o no puede operar, pero puede continuar su actividad. La interrupcion es menor a 8 horas. Existe un daño limitado de activos. La mayoría de las instalaciones no se verán afectadas.

Grave o deterioro medio (Valor 2):
Instalaciónes parcialmente dañadas (climatización, agua, humo, impacto o incendio en algunas áreas etc.).

Algunos activos de información están dañados sin posibilidad de reparación, pero la instalación permanece intacta en su mayoría. Toda la instalación puede estar cerrada por un período de hasta una semana y una parte de la instalación puede estar cerrada por un período prolongado (hasta 4 semanas). Es posible que se deba mover algunos activos a ubicaciones remotas para protegerlos del daño ambiental.

Catastrófica o deterioro alto (Valor 3):
Daños irreparables en instalaciones / afectada más allá del uso habitable. La mayoría de los datos y activos se pierden, destruyen o dañan sin posibilidad de reparación o restauración.

Análisis de Riesgos

Ante una amenaza potencial podemos ahora establecer un análisis en base a los parámetros de la frecuencia y el valor de la vulnerabilidad.

Esto lo haremos en diferentes pasos

PASO 1 Definir Niveles de Impacto de las amenazas

Cada amenaza tendrá un nivel de impacto en base a su Nivel de Vulnerabilidad que a su vez estará condicionada al nivel asociado a cada dimensión del activo.

Así obtenemos un nivel de impacto asociado a cada dimensión (Confidencialidad, Disponibilidad e Integridad) del activo

PASO 2 Calcular los valores de Impacto de Cada Activo

Con los datos que ya tenemos

Podemos entrar en la valoración de activos

PASO 3 Calcular Nivel de impacto

Basados en la tabla anterior donde tenemos la valoración de los activos en cuanto a su probabilidad y grado de deterioro, podemos calcular el nivel de impacto para cada valor combinado de ambos valores buscando su equivalencia en la tabla tabla 1 Valores de Impactos.

Valor Probabilidad/Ocurrencia & Valor Deterioro = Nivel de impacto

Así obtendremos una tabla como la que sigue.

PASO 4 Calcular RIESGO

El objetivo final es asignar un valor de riesgo para cada activo de información detallado para cada amenaza a la que está expuesta para así poder asignar luego un tratamiento para los riesgos que resulten con niveles altos. Esto lo veremos más adelante.

Ahora en primer lugar tendremos definir nuestra MATRIZ GENERAL DE RIESGOS según los datos que ya tenemos

Para la matriz de riesgos utilizaremos los valores de la Tabla 1 Valores de Impacto a los cuales les asignaremos un valor de Riesgo según la escala de Valores de la probabilidad del riesgo:

Esta será por tanto nuestra matriz general de riesgos con valores de riesgo de 1 al 9

Vamos ahora a calcular el riesgo para cada activo de información. Para ellos nos tenemos que valer de los datos de las tablas

Para cada amenaza calcularemos el valor del riesgo buscando en la tabla 2 el valor de la probabilidad de cada amenaza y en la tabla 3 su correspondiente Valor de impacto para determinar su valor de Riesgo correspondiente en la Tabla 4

Valor Probabilidad/Ocurrencia & Nivel de Impacto = Nivel de Riesgo

Con ello obtendríamos una tabla con la valoración del riesgo denominada mapa de riesgos para cada activo y amenaza

Evaluación de riesgos

Una vez que tenemos determinado un valor de riesgo para cada amenaza que puede afectar a un activo de información deberemos en primer lugar definir los criterios aceptables para el riesgo. En otras palabras, tendremos que designar que niveles de riesgos son asumibles y cuales deberemos tomar medidas

Para nuestro caso de ejemplo vamos a definir 4 niveles de riesgo para establecer los criterios de tratamiento o aceptación de riesgos según las puntuaciones posibles que determinamos en la Tabla 4 Valores de Riesgo

Con base en los hallazgos del análisis de riesgos, el siguiente paso en el proceso es identificar las medidas disminuyan los diversos niveles de riesgo. Estos se denominan dentro de la norma ISO 27001 como controles de riesgos para la seguridad de la información

En primer lugar podríamos considerar realizar un plan urgente para incluir actualizaciones de controles adicionales por encima de los estándares mínimos recomendados por la organización, según sea necesario, para abordar las amenazas específicas y los riesgos inaceptables asociados que se hayan identificado siempre que se hayan evaluado los costes estimados para implementar dichas las medidas.

Tratamiento de riesgos

Una vez identificados y valorados los riesgos el siguiente proceso dentro de la gestión de riesgos es realizar un plan para el tratamiento de los riesgos identificados.

Los resultados de la evaluación de riesgos nos ponen en primer lugar una selección de los riesgos que no son aceptables para la organización.

El tratamiento de estos riesgos inaceptables es la tarea principal del siguiente paso del tratamiento de riesgo.

La pregunta es: ¿Qué opciones tenemos a la hora de afrontar cada uno de los riesgos inaceptables?

Antes de establecer medidas concretas para mitigar estos riesgos tenemos cuatro opciones de tratamiento de riesgo:

• MITIGAR EL RIESGO
Se trata de disminuir los riesgos hasta un nivel de riesgo aceptable mediante la aplicación de controles de seguridad del Anexo A incluidos en el documento “anexo A de la norma ISO 27001” o también referenciado como ISO 27002

• TRANSFERIR EL RIESGO
Dependiendo del tipo de riesgo podemos pensar en transferir el riesgo. La transferencia de riesgos es una estrategia de gestión y control de riesgos que implica el cambio contractual de un riesgo puro de una parte a otra. Un ejemplo es la compra de una póliza de seguro, por la cual se transfiere un riesgo específico de pérdida del titular de la póliza a la aseguradora.

• EVITAR EL RIESGO
Prevenir o evitar un riesgo mediante la eliminación de peligros, actividades y exposiciones que pueden afectar negativamente los activos de información una organización. NO se trata de una gestión propia de los riesgos que tiene como objetivo controlar los daños y las consecuencias financieras de los eventos amenazantes, la prevención de riesgos busca evitar por completo el compromiso de los eventos.

• ACEPTAR EL RIESGO
Aceptar el riesgo significa que, aunque el riesgo está identificado y registrado en el proceso de gestión de riesgos, no se realizará ninguna acción. Simplemente se acepta que pueda suceder y se aplicara un tratamiento específico si así ocurre.

Esta es una buena estrategia para usar con riesgos muy pequeños: riesgos que no tendrán un gran impacto en la actividad de la organización si llega a ocurrir y existe una solución fácil en caso de que surja. Esto lo haremos en el caso que el coste de una estrategia alternativa de gestión de riesgos para enfrentar el riesgo sea mayor que los recursos empleados en asumir el riesgo.

RESPONSABLE DEL RIESGO

El siguiente paso será definir qué estrategia se va a seguir para tratar cada uno de los riesgos identificados. En este proceso ha de identificarse al propietario de los riesgos quien deberá intervenir en la toma de decisión del tratamiento que se va a realizar cada una de las amenazas y riesgos identificados

Resumiendo, en en análisis de riesgos tenemos la documentación sobre

A partir de aquí podemos determinar que vamos a hacer con cada uno de los riesgos y documentarlo explicando la alternativa de tratamiento de riesgos elegida (Mitigar, Trasladar, Evitar o Asumir el riesgo)

Selección de controles: Declaración de Aplicabilidad

La última etapa consiste en identificar los controles de seguridad que vamos a aplicar a los activos que hemos determinado para el tratamiento de mitigación de riesgos.

Para la selección de controles convendría tener un cuadro sobre las características, y clasificación de la información de cada activo para poder seleccionar los controles adecuados

Esta información preferiblemente ya debe ser recogida en el Inventario de activos donde se puede incluir una:

A partir de esta información podremos establecer una serie de controles técnicos y organizativos para proteger el activo de las amenazas.

Finalmente deberemos realizar un análisis de aplicabilidad o Declaración de aplicabilidad tomando en cuenta todos los controles del Anexo A en orden a verificar que no se ha dejado fuera ningún control que se pueda aplicar a la protección de este activo

Obviando los controles obligatorios de la norma ISO 27001 como la asignación de responsabilidades o Política de privacidad, tendremos que realizar y documentar este análisis de aplicabilidad lo que constituirá nuestra declaración de aplicabilidad

Modelo de declaración de aplicabilidad ISO 27001