Actividad evaluativa eje 3
Sistemas de gestión de seguridad informática
Estudiante
Sigifredo Thomas Campo
PRESENTADO A:
GUSTAVO ENRIQUE TABARES PARRA
FUNDACION UNIVERSITARIA DEL AREA ANDINA
INGENERIA DE SISTEMAS
2022
INTRODUCCIÓN
El análisis de riesgos informáticos es un proceso que comprende la
identificación de activos informáticos, sus vulnerabilidades y amenazas a los
que se encuentran expuestos, así como su probabilidad de ocurrencia y el
impacto de las mismas, a fin de determinar los controles adecuados para
aceptar, disminuir, transferir o evitar la ocurrencia del riesgo El análisis de
riesgos informáticos es un proceso que comprende la identificación de activos
informáticos, sus vulnerabilidades y amenazas a los que se encuentran
expuestos, así como su probabilidad de ocurrencia y el impacto de las mismas,
a fin de determinar los controles adecuados para aceptar, disminuir, transferir o
evitar la ocurrencia del riesgo
En la presente tarea se dará respuesta al objetivo planteado logrando identificar
y establecer relaciones entre los conceptos clave que se aplican en el análisis,
evaluación y gestión de riesgos informáticos
muchas organizaciones están expuestas a ataques que afectan la operatividad y
su funcionamiento de forma normal ¿, el objetivo es generar un plan para evitar y
resolver los problemas de vulnerabilidad
Objetivos
1. General
Identificar los elementos clave relacionados con el análisis y gestión de riesgos, y
detectar un plan estratégico para gestionar la vulnerabilidad amenazas y riesgos
Específicos
1. Elaborar un análisis de las vulnerabilidades de una red informática
preferible-
mente empresarial, incluyendo topología y cantidad de equipos conectados.
2. Analizar posibles amenazas que puedan afectar el funcionamiento de la red
3. Analizar los riesgos de seguridad informática, donde se relaciones el
impacto de cada una de estas
Analisis de vulnerabilidad:
Estudiamos una serie de características diferentes de una organización o área de
la misma que predisponga de sufrir algún daño por ataque cibernético externo, y
que deje algún daño que dificulte la recuperación de recursos que se encuentran
en equipos de comunicación
Debemos tener en cuenta la funcionalidad, necesidad y efectividad; algunas
amenazas de TI son:
Aplicaciones en condiciones vulnerables
Sistemas Operativos, vulnerables y sin actualizaciones
Tecnologías obsoletas
Mal rendimiento de la infraestructura de TI
Uso ilegal de la red empresarial (USUARIOS)
topología de red
Esta foto
de Autor
descono
cido está
bajo
licencia
CC BY-SA
los riesgos los podemos definir como el resultado de la suma de las amenazas y
nuestras vulnerabilidades frente a nuestra capacidad de reacción y recuperación
Dentro de este sistema se conectarán los equipos por LAN
La detección de vulnerabilidad dentro de la empresa se basa en tres fases, en la
cual se
tiene como objetivo buscar las vulnerabilidades de los equipos de la empresa, ya
sea que los
equipos estén por cableado o por wifi.
riesgos Factores de riesgo impacto categoría descripción
humano plataforma infraestructura
Información de operador Implementación de medio Datos de registros Información en
inicio de sesión almacenamiento bases de datos
obsoleto
Acceso a ingeniero Deficiencia en la alto Redes de Déficit en
servidores seguridad de las comunicaciones implementación
remotos conexiones remotas VPN
Carpeta de secretaria Todas las carpetas se alto Redes de Sin políticas de
registro contable encuentran comunicaciones seguridad en
compartidas información
compartida
Respaldos de ingeniero Viola la política de No se hace una bajo cuentas y equipos de Dependencia de
información de habeas data correcta gestión de respaldo trabajo manual
la aplicación la información sobre backups
Tipos de riesgos
Tipo de riesgo Probabilidad Tipo o Zona de riesgo consecuncias
de categoría
riesgos ocurrencia del riesgo
Posible medio importante Registro de cuentas, acceso a
Keylogger contraseñas
Y números de tarjetas de crédito
probable alto importante Vulnerabilidad con los puertos
Escaneo de físicos en el sistema, daño en el
puertos hardware, y acceso a la información
Posible Alto importante Robo de información, acceso a
FISICA Ataque de contraseñas, cuantas de usuario y
ingeniería social números de tarjetas
Rara vez bajo moderado Acceso a la información o
Ataque ARP interrupción de la misma, ataque de
Spoofing malware y virus
posible alto importante Acceso a información confidencial,
Ataque de de las personas correos tarjetas,
phishing contraseñas
Tipo de riesgo Probabilidad Tipo o Zona de CONSECUENCIAS
de categoría riesgo
Política ocurrencia del riesgo
Malware Posible alto importante Daño en el sofware de servidor, acceso
a información de la empresa
CAM Table Rara vez medio importante Inhabilidad de equipos de
comunicación, lentitud, bloqueo de
Overflow MAC
Ataque ICPM Posible Alto moderado Acceso a información confidencial y
Lógico equipos de computo
Tunneling
Ataque Man-In- Rara vez bajo moderado Robo de datos, acceso a contraseñas
de usuario, y conversaciones
The-Middle
Ataque Dos posible alto importante Ataque de virus, malware, daño de
software y hardware
CONCLUSIÓN
Es importante que las organizaciones altamente dependientes de las tecnologías
de la información entiendan los pasos necesarios para implementar una buena
gestión de riesgos, como por ejemplo la identificación de riesgos, cómo mitigarlos,
cómo tener un balance donde los activos más importantes estén protegidos sin
olvidar el impacto que esto pueden conllevar, tampoco se debe olvidar que hay
riesgos que se deben aceptar y las metodologías empleadas y plataformas que
cumplan con las normas vigentes y que se adapten a las reglas de negocio
existentes.
Lista de referencias
Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información.
(2006). Retrieved from [Link]
NIST . (2012) . Guide for conducting risk assessment . Retrieved from
[Link]
Vraalsen, F. (2006). The CORAS Model-based Method for Security Risk Analysis.
Retrieved from
[Link]
[Link]
- Estupiñan, A. D. C. A., Pulido, J. A., & Jaime, J. A. B. (2013). Análisis de Riesgos en Seguridad
de la Información. Ciencia, innovación y tecnología, 1, 40-53.
- Mogollón, A. (2008). Análisis comparativo: metodologías de análisis de riesgos. Recuperado
de [Link]
