DESARROLLO SEGURO DE

SOFTWARE Y AUDITORÍA
Actividad: 1 Metodologías modelado de amenazas

Descripción breve
Análisis de diferentes metodologías modelado de amenazas

DIEGO GERNADO GONZALEZ DELGADO

Contenido
1. Introducción .................................................................................................................................... 2

2. Estudio de metodologías ................................................................................................................ 3

2.1. CORAS (Consultative Objective Risk Analysis System). ......................................................... 3

2.2. CIGITAL's architectural risk analysis process. ........................................................................ 3

2.3. OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation). ...................... 4

2.4. PTA Technologies Calculative Threat Modeling Methodology (CTMM). .............................. 4

2.5. Trike. Metodología de evaluación de amenazas. .................................................................. 5

2.6. TAM (Microsoft Threat Analysis and Modeling).................................................................... 5

2.7. PASTA (Process for Attack Simulation and Threat Analysis). ................................................ 5

3. Comparación de metodologías. ...................................................................................................... 6

3.1. Tipo de modelado: los tipos de modelado dependen de las características, los
requerimientos y objetivos del análisis del sistema ........................................................................... 6

3.2. Herramientas ......................................................................................................................... 7

3.3. Necesidades de cocimiento interno de la aplicación ............................................................ 9

3.4. Orientación de la metodología. ........................................................................................... 10

3.5. Tipo (Centrada en los activos, atacante o en el software). ................................................. 12

3.6. Puntos adicionales ............................................................................................................... 13

4. Propuesta de una nueva metodología de amenazas. .............................................................. 15

4.1. Magerit. ............................................................................................................................... 15

5. Conclusiones ............................................................................................................................ 17

6. Bibliografía .................................................................................................................................... 18

4
1. Introducción

La implementación de modelo de amenazas en una organización implica identificar las

necesidades y la importancia de entender los riesgos y vulnerabilidades a los que están
expuestos, aplicar estas metodologías ayuda a proteger sus activos y datos sensibles
permitiendo identificar, analizar y mitigar las potenciales amenazas que podrían afectar a un
sistema o aplicación, es por esto que se abordaran las principales características, tipos
(activos, Atacante, software), herramientas, fases, actores, entre otros, de algunos modelos
de amenazas que se describen a continuación.

2
2. Estudio de metodologías

2.1. CORAS (Consultative Objective Risk Analysis System).

Es un método de análisis de riesgos y una herramienta de software utilizada en el área se
seguridad de la información y la ingeniería de sistemas, ayuda a las organizaciones a identificar,
analizar y gestionar los riesgos que se pueden localizar en sistemas complejos como aquellos que
involucran tecnología de la información.

CORAS permite identificar, evaluar y mitigar riesgos. Esta metodología permite al usuario
identificarlos mediante el análisis de la arquitectura del sistema, funcionalidades e interacciones
concluyendo con la identificación de activos, amenazas, vulnerabilidades y posibles consecuencias
que pueda traer al sistema, la evaluación una vez que los riesgos son identificados permite evaluar
probabilidades e impacto de cada uno utilizando diversas técnicas como análisis de probabilidad
y evaluando el impacto para poder cuantificar el nivel de riesgo asociado con la amenaza
identificada; una vez se culminan los dos procesos anteriormente mencionados permite
desarrollar estrategias de mitigación con el fin de reducir la probabilidad o el impacto de los
riesgos que fueron identificados, llevando a la organización a implementar controles de seguridad
y modificando la arquitectura del sistema o los procesos por mejorar, y por ultimo CORAS trabaja
con herramientas para gestionar y hacer el seguimientos de los riesgos que fueron identificados
incluyendo el monitoreo y la efectividad de las estrategias que se establecieron para la mitigación
del riesgo, actualizando y comunicando la información a las partes interesadas.

2.2. CIGITAL's architectural risk analysis process.

CIGITAL's es un proceso de análisis de riesgos arquitectónicos enfocado y estructurado para
identificar y mitigar los posibles riegos en el diseño y la arquitectura del software. Este proceso
inicia con la identificación de riesgos examinando la arquitectura del software para identificar
vulnerabilidades, debilidades de diseño o amenazas potenciales, una vez realizado este proceso
evalúa el impacto y la probabilidad que ocurra, llevando a determinar cómo cada riesgo podría
afectar la seguridad, fiabilidad y el rendimiento del sistema. Priorizar los riesgos identificados es
el siguiente paso que se efectúa allí se clasifican según la gravedad para saber cuál abordar de
primero lo que permite asegurar que los recursos se asignen de manera eficiente, la última fase
es la mitigación donde se desarrolla y aplican las estrategias para reducir o eliminar los riesgos
que se identificaron, se debe tener en cuenta que pueden llegar a haber cambios en el diseño de
la arquitectura, la implementación de controles de seguridad o la adopción de mejores prácticas

3
para el desarrollo de software. Es importante mencionar que una ves culminadas todas las fases
se continua con un seguimiento y reevaluación constante que permite monitorear el sistema para
detectar un nuevo riesgo o verificar la efectividad de las estrategias que se implementaron.

2.3. OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation).

Es una metodología que evalúa riesgos en una organización en función de objetivos comerciales
y necesidades operativas permitiendo identificar y priorizar los riesgos de seguridad de la
información, como enfoque integral involucra equipos interfuncionales enfatizando en
comprender los activos de la organización, identificando posibles amenazas y evaluando las
posibles vulnerabilidades. Al proporcionar un marco estructurado para las evaluaciones de los
riesgos y el desarrollo de estrategias de gestión de riesgos permite adaptarse a las necesidades
específicas de cada organización.

Es una metodología que evalúa riesgos en una organización en función de objetivos comerciales
y necesidades operativas permitiendo identificar y priorizar los riesgos de seguridad de la
información, como enfoque integral involucra equipos interfuncionales enfatizando en
comprender los activos de la organización, identificando posibles amenazas y evaluando las
posibles vulnerabilidades. Al proporcionar un marco estructurado para las evaluaciones de los
riesgos y el desarrollo de estrategias de gestión de riesgos permite adaptarse a las necesidades
específicas de cada organización.

2.4. PTA Technologies Calculative Threat Modeling Methodology (CTMM).

Esta metodología se basa en un enfoque cuantitativo permitiendo identificar, evaluar, gestionar y
mitigar las amenazas potenciales en sistemas de tecnología de la información. Los activos de una
organización son su objetivo, la primera fase es identificando los activos críticos de información y
los recursos dentro del sistema que se deben proteger, seguidamente identifica las amenazas para
comprender cuales podrían afectar los activos, evalúa las vulnerabilidades existentes en el sistema
que podrían ser explotadas por las amenazas identificadas incluyendo vulnerabilidades de
software o configuraciones inseguras. Análisis de riesgo lo realiza una vez que identifica la
amenaza considerando la probabilidad de ocurrencia y el impacto que pueda traer, y desarrolla
contramedidas para mitigar los riesgos identificados, puedes ser técnicas, políticas y
procedimientos.

4
2.5. Trike. Metodología de evaluación de amenazas.
Esta metodología está enfocada para identificar, evaluar y priorizar las amenazas en un sistema
de red, TRIKE representa los pasos del proceso:

Táctico: se comprenden las características generales de la organización identificando los activos

críticos incluyendo evaluación de la infraestructura de red, las aplicaciones utilizadas y cualquier
otro elemento relevante.

Reactividad: Se analizar los métodos que podrían emplear los ciberdelincuentes, como el phishing,
la ingeniería social, la explotación de vulnerabilidades, etc. se analizan las tácticas, técnicas y
procedimientos de los posibles atacantes.

Identificación: se identifican las amenazas específicas que podrían afectar a los activos críticos,
analizando amenazas tanto internas como externas, así como amenazas emergentes y
persistentes.

Kinético: se evalúa cómo podrían llevarse a cabo las amenazas identificadas y se considera cómo
los atacantes podrían aprovechar las vulnerabilidades existentes para comprometer los activos
críticos de la organización.

Evasión: se desarrollan estrategias para evitar o mitigar las amenazas identificadas incluyendo la
implementación de controles de seguridad adicionales, la actualización de software para corregir
vulnerabilidades conocidas y la concienciación del personal sobre prácticas seguras.

2.6. TAM (Microsoft Threat Analysis and Modeling).

Esta metodología es desarrollada por Microsoft para ayudar a identificar y mitigar los riesgos de
seguridad en aplicaciones y sistemas de software, permite ayudar a los equipos de desarrollo a
comprender y abordar las posibles vulnerabilidades y amenazas de seguridad desde las etapas
iniciales del ciclo de vida del desarrollo de software. Esta metodología incluye varias etapas, como
la identificación de activos y recursos críticos, la evaluación de las amenazas potenciales que
podrían afectar a esos activos, la modelización de las amenazas y la implementación de
contramedidas para mitigar los riesgos identificados.

2.7. PASTA (Process for Attack Simulation and Threat Analysis).

Esta metodología se basa en el modelado de amenazas centrada en riesgos, reúne los objetivos y
requisitos técnicos de una organización, crea un equipo de colaboración entre equipos tanto

5
 técnicos como a los que toman las decisiones satisfaciendo las necesidades regulatorias como de
cumplimiento, el alcance técnico y las vulnerabilidades potenciales.

3. Comparación de metodologías.

3.1. Tipo de modelado: los tipos de modelado dependen de las características, los
requerimientos y objetivos del análisis del sistema

• CORAS (Consultative Objective Risk Analysis System): Modelado de procesos basado en

diagramas de flujo, Modelado de procesos de negocio o modelados de actividad son algunos
tipos de esta metodología.
• CIGITAL's architectural risk analysis process: esta metodología se basa en modelos
arquitectónicos y diagramas que representan la estructura y el diseño del software algunas
son: Modelado de Arquitectura de Software incluye componentes, relaciones, interfaces y
dependencias, diagramas de flujo de datos identifica posibles puntos de entrada y salida de
datos que podrían ser vulnerables a ataques, diagramas de secuencia que identifican posibles
vulnerabilidades en el flujo de control y comunicación, diagramas de amenazas ayuda a
comprender mejor los riesgos potenciales, modelado de accesos y permisos identifica posibles
puntos débiles en el control de acceso.

• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation): abarca una amplia
gama de disciplinas comerciales y operativas lo que lleva a utilizar modelado matemático
incluye modelos de regresión, modelos de optimización, modelos de simulación, modelado
de sistemas, modelado conceptual incluye modelos de entidad-relación en el diseño de bases
de datos, o modelos conceptuales en el diseño de software, modelado de aprendizaje
automático y AI Incluye modelos de redes neuronales, modelos de árboles de decisión, y
modelos de regresión.

• PTA Technologies Calculative Threat Modeling Methodology (CTMM): se identifica el

modelado de activos que puede incluir diagramas de arquitectura de sistemas, inventarios de
datos y recursos, modelado de contramedidas que incluye políticas de seguridad, controles
de acceso, parches de software y otras medidas de seguridad técnica y organizativa, modelado
de amenazas, modelado de vulnerabilidades y modelado de riesgos.

6
• Trike. Metodología de evaluación de amenazas: se puede desarrollar con modelado
matemático, modelado de datos que incluye base de datos, modelos de forma entidad-
relación y diagramas de flujo, modelo computacional se utiliza para para simular y analizar
sistemas mediante el uso de modelos matemáticos y algoritmos y modelo conceptual
representando conceptos, ideas o sistemas.

• TAM (Microsoft Threat Analysis and Modeling): se pueden identificar el modelado de

contramedidas que reconoce las medidas de seguridad necesarias en el sistema, modelado de
ataques comprende cómo podrían ser explotadas las vulnerabilidades del sistema, modelado
de flujo de datos, modelado de amenazas y modelado de flujo de procesos.

• PASTA (Process for Attack Simulation and Threat Analysis): se puede desarrollar con modelado
de defensas identificando las medidas de seguridad para proteger los activos del sistema,
modelado de ataques desarrollando escenarios de ataques basados en amenazas, modelado
de riesgos, modelado de activos.

3.2. Herramientas

• CORAS (Consultative Objective Risk Analysis System):

CORAS Toolset.
- Microsoft excel: puede utilizarse para crear matrices de riesgos, realizar cálculos y análisis
de datos, y generar informes.
- IRA: puede utilizarse para planificar y seguir el progreso del análisis de riesgos.
- OpenVas: analiza vulnerabilidades de código abierto.
- ArchiMate: puede utilizarse para representar la arquitectura de sistemas y sus
componentes en un formato estructurado.

• CIGITAL's architectural risk analysis process:

- Microsoft Threat Modeling Tool: modela posibles amenazas y riesgos en el diseño de
software.
- OWASP Dependency-Check: modela posibles amenazas y riesgos en el diseño de software.

7
 - Archni: escáner de seguridad web de código abierto que detecta vulnerabilidades como
inyecciones SQL, cross-site scripting (XSS) y otros problemas de seguridad en aplicaciones
web.
- IBM Rational AppScan: dentifica y remedia vulnerabilidades de seguridad en aplicaciones
web y móviles durante el desarrollo y las pruebas.

• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation).

- Snipe-IT: permite la gestión de activos que permite realizar un seguimiento de los activos
de hardware y software.
- Nessus: escanea vulnerabilidades en sistemas operativos, aplicaciones y dispositivos de
red.
- Confluence: documenta hallazgos, compartir información, colaborar en la elaboración de
informes y mantener un registro centralizado de la evaluación de amenazas y
vulnerabilidades.
- PTA Technologies Calculative Threat Modeling Methodology (CTMM).
- Snipe-IT
- Open-AudIT
- Recorded Future.

• PTA Technologies Calculative Threat Modeling Methodology (CTMM).

- Snipe-IT
- Open-AudIT
- Recorded Future.

• Trike. Metodología de evaluación de amenazas.

- Microsoft Azure Security Center: visibilidad de los activos en la nube, identificación de
riesgos y recomendaciones de seguridad para proteger los recursos en Azure.
- Cobalt Strike: la postura de seguridad de una organización desde la perspectiva del
atacante.
- Burp Suite: utilizada para escaneo de vulnerabilidades, interceptación de tráfico y
manipulación de datos.

8
• TAM (Microsoft Threat Analysis and Modeling).
- Visual Studio Team Services (VSTS): documenta y gestiona actividades del proceso de
desarrollo de software.
- Microsoft Security Development Lifecycle (SDL): directrices y prácticas recomendadas
para integrar la seguridad en todo el ciclo de vida del desarrollo de software.

• PASTA (Process for Attack Simulation and Threat.

- Nmap (Network Mapper): ayuda con la identificación de dispositivos en una red, el
descubrimiento de puertos abiertos y la detección de servicios en ejecución.
- Wireshark: permite a los investigadores de seguridad examinar el tráfico de red en tiempo
real y analizarlo en busca de posibles amenazas.
- OWASP Threat Dragon: permite a los equipos de desarrollo visualizar, analizar y mitigar
las amenazas de seguridad en sus aplicaciones web.

3.3. Necesidades de cocimiento interno de la aplicación

• CORAS (Consultative Objective Risk Analysis System): compresión del sistema,

conocimiento de riesgos, Habilidades de Análisis de Riesgos, Conciencia de Seguridad,
Experiencia en Mitigación de Riesgos, Habilidades de Comunicación, esto con el fin de
asegurar que el análisis de riesgos sea más efectivo.

• CIGITAL's architectural risk analysis process: Conocimiento de Arquitectura de Software

para comprender los principios y patrones del diseño del software, conocimiento de
Seguridad de la Información, experiencia en análisis de riesgos, comprensión de las
Amenazas y Vulnerabilidades Comunes, conocimiento de Normativas y Estándares de
Seguridad.

• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation): precisión del
modelo, identificación de variables relevantes, toma de decisiones informada para
evaluar diferentes escenarios y opciones estratégicas.

9
 • PTA Technologies Calculative Threat Modeling Methodology (CTMM): conocimiento en
redes, sistemas operativos, administración de sistemas, habilidades de Scripting,
seguridad de la información.

• Trike. Metodología de evaluación de amenazas: conocimiento del dominio para,

conocimientos técnicos específicos como en matemáticas para análisis numérico, análisis
y resolución de problemas, habilidades de comunicación.

• TAM (Microsoft Threat Analysis and Modeling): identificación de activos críticos,

desarrollo de contra medidas efectivas para bodar las amenazas ientificadas, tene cultura
de seguridad para involucrr a los empleados en la identificación de riesgos de seguridad.

• PASTA (Process for Attack Simulation and Threat Analysis): conocimiento de la

organización, políticas de seguridad y cumplimiento, conocimiento de la infraestructura
para identificar posibles amenazas.

3.4. Orientación de la metodología.

• CORAS (Consultative Objective Risk Analysis System): todos los miembros de la

organización deben comprender la metodología y ser involucrados en el proceso de
análisis y gestión de riesgos comprendan en detalle los principios para realizar una
adaptación al contexto y los requisitos específicos definiendo roles y responsabilidades,
líder proyecto, encargados en la identificación de os riesgos y encargados de aplicar y
monitorear las medidas de mitigación.
• CIGITAL's architectural risk analysis process: al basarse en un enfoque estructurado y
sistemático se debe planificar el alcance del análisis de riesgos, identificar los activos
críticos, establecer criterios de evaluación, recopilar información relevante como
diagramas de arquitectura, identificar los riesgos y priorizarlos para continuar con la
aplicación y seguimiento de las medidas de mitigación.

• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation): esta

metodología está orientada a los activos críticos de la organización con un enfoque
integral para la evaluación y gestión de riesgos evaluando e identificando las
vulnerabilidades.

10
• PTA Technologies Calculative Threat Modeling Methodology (CTMM): uno de los puntos
clave para la orientación de esta metodología está basado en la base de datos utilizando
análisis de riesgos probabilísticos y cualitativos, siendo un proceso que se realiza de forma
continua y se encuentra en constante evolución centrado en los activos, además, se centra
en identificar contramedidas realistas y costo-efectivas.

• Trike. Metodología de evaluación de amenazas: para orientar esta metodología es

importante tener una comprensión de los activos críticos de la organización, definir cuál
es el alcance y los objetivos permitiendo identificar los activos que serán evaluados para
analizar, identificar y realizar el monitoreo de las medidas de mitigación.

• TAM (Microsoft Threat Analysis and Modeling): esta metodología está centrada en los
activos de la organización promoviendo la integración de actividades del modelo de
amenazas abordando los problemas de seguridad para prevenir correcciones futuras en
el desarrollo.

• PASTA (Process for Attack Simulation and Threat Analysis): su oritencacion se basa
difiniendo el alcance del proyecto incluyendo los activos a proteger, los sistemas a
analizar.

11
 3.5. Tipo (Centrada en los activos, atacante o en el software).
Metodología Tipo (activo – atacante – software)
CORAS (Consultative Objective Risk Analysis
Activos
System):
Puede abordar los tres tipos: Analiza activos críticos como datos,
funciones, o recursos, tipo atacante analizando amenazas, evaluando
vectores de ataque e implementa medidas de seguridad, y por parte de
CIGITAL's architectural risk analysis process
software evalúa las vulnerabilidades, analiza la seguridad del código
utilizando herramientas de análisis estático y dinámico para corregir
vulnerabilidades.
OCTAVE (Operationally Critical Threat, Asset,
Activos
and Vulnerability Evaluation)
PTA Technologies Calculative Threat Modeling Puede abordar los tres tipos: Analiza activos como datos sensibles,
Methodology (CTMM). información confidencial, infraestructura de TI, hardware, software, tipo
atacante analiza los posibles atacantes que podrían intentar
comprometer los activos del sistema y tipo software examinando el
software desarrollado esto incluye sistemas operativos, bibliotecas de
software, frameworks.
Trike. Metodología de evaluación de
Atacante
amenazas.
TAM (Microsoft Threat Analysis and Modeling). Puede abordar los tres tipos: Analiza activos sistemas de información y
recursos de infraestructura, tipo atacante identificar los motivos,
capacidades y métodos de los posibles atacantes y tipo software
examina el diseño, la arquitectura y la implementación.
PASTA (Process for Attack Simulation and
Activos
Threat Analysis).

12
 3.6. Puntos adicionales
Metodología Actores involucrados Fases
CORAS (Consultative Objective Equipo de proyecto, stakeholders, expertos en 1. Inicio y Preparación.
Risk Analysis System): seguridad, desarrolladores de sistemas, 2. Identificación de Activos.
usuarios finales, directivos y responsables de 3. Identificación de Amenazas.
toma de decisiones, analistas de riesgos, 4. Evaluación de Vulnerabilidades.
personal de ti, auditores internos o externos, 5. Análisis de Riesgos.
consultores externos (si aplica). 6. Mitigación de Riesgos.
Equipo de desarrollo, equipo de seguridad de 1. Planificación y Preparación.
la información, arquitectos de software, 2. Recopilación de Información y
gerentes de proyecto, responsables de Análisis de Arquitectura.
cumplimiento normativo, usuarios finales o 3. Identificación de Riesgos.
CIGITAL's architectural risk
stakeholders, auditores externos (en algunos 4. Análisis y Evaluación de Riesgos.
analysis process
casos). 5. Desarrollo de Estrategias de
Mitigación.
6. Implementación y Seguimiento.
7. Revisión y Mejora Continua.
OCTAVE (Operationally Critical Equipo de liderazgo ejecutivo, equipo de 1. Fase de Preparación
Threat, Asset, and gestión de riesgos, equipo de seguridad de la 2. Fase de Evaluación
Vulnerability Evaluation) información, personal técnico y de ti, usuarios 3. Fase de Mitigación
finales o partes interesadas relevantes
PTA Technologies Calculative Equipo de seguridad de la información, 1. Identificación de Activos
Threat Modeling Methodology administradores de sistemas y redes, equipo 2.Identificación de Amenazas
(CTMM). de desarrollo de software, equipo de gestión 3. Evaluación de Vulnerabilidades
de riesgos, usuarios finales, equipo ejecutivo 4. Análisis de Riesgos
5. Desarrollo de Contramedidas
6. Implementación y Seguimiento
Trike. Metodología de Analistas de seguridad, equipos de seguridad 1. Fase Táctica.
evaluación de amenazas. informática, Administradores de sistemas, 2. Fase de Reactividad.
Administradores de red, Personal de TI, 3. Fase de Identificación.
Personal de gestión de riesgos, Personal de 4. Fase Kinética.
cumplimiento normativo, Personal de 5. Fase de Evasión.
inteligencia de amenazas, Personal de

13
 respuesta a incidentes de seguridad, Directivos
y líderes de la organización.
TAM (Microsoft Threat Equipo de desarrollo de software, Equipo T1. Definición del alcance
Analysis and Modeling). de seguridad de la información, 2. Recopilación de datos
Administradores de sistemas, Gerentes de 3. Modelado de amenazas
proyecto, Stakeholders del negocio, 4. Mitigación de riesgos
Expertos en seguridad externos (en 5. Informe de resultados
algunos casos), Usuarios finales (en 6. Revisión y mantenimiento
términos de proporcionar información
sobre casos de uso y requisitos)
PASTA (Process for Attack Equipo de seguridad de la información, 1. Preparación
Simulation and Threat Equipo de desarrollo de software, Personal 2. Análisis de amenazas
Analysis). de TI y administradores de sistemas, 3. Modelado de ataques
Stakeholders o partes interesadas 4. Evaluación de riesgos
relevantes, Posibles atacantes o expertos 5. Planificación de mitigación
en seguridad externos (en el contexto de 6. Ejecución de mitigación
simulación de ataques) 7. Validación de mitigación

14
4. Propuesta de una nueva metodología de amenazas.

4.1. Magerit.

Es un modelo de amenazas que está diseñada para orientar a las organizaciones en identificar,
analizar y gestionar los riesgos relacionados con la seguridad de la información. Sus principales
características son su estructura metodológica y sistemática ayudando con pasos necesarios para
el desarrollo del análisis no solo se enfoca en el análisis de vulnerabilidades y amenazas sino
también en los activos, es flexible al adaptarse a las necesidades específicas y tiene un enfoque
probabilístico para evaluar de ocurrencia y amenazas.

En cuanto a tipo de modelado se centra en identificar las amenazas que podrían afectar la
organización, identificando vulnerabilidades en los sistemas de información, al igual que identifica
y clasifica lo activos que deben protegerse y describe medidas de seguridad.

• Herramientas:
- FAIR (Factor Analysis of Information Risk).
- OpenVAS.
- Asana, Trello.

• Necesidades de conocimiento interno de la aplicación: contar con conocimiento en seguridad

de la información como principios de la seguridad y conocimientos sobre el tipo de amenazas
y vulnerabilidades, experiencia en gestión del riesgo y técnicas de análisis del riesgo.

• Orientación de la metodología: es importante comprender el contexto operativo de la

organización para poder identificar los activos de la organización, incluir a expertos en
seguridad de la información, desarrolladores de aplicaciones, arquitectos de sistemas.

• Tipo (Centrada en los activos, atacante o en el software): esta metodología analiza

principalmente los activos de información identificando las amenazas que los pueden afectar
e implementando medidas de seguridad

• Las fases del Modelo de Amenazas MAGERIT son:

- Inicio: se establecen los objetivos del análisis del riesgo, definen el alcance, e identifican
los activos

15
 - Preparación: Recopilación y organización de la información para el análisis del riesgo.
- Análisis de Riesgos: evaluación de los riesgos identificando posibles amenazas y
vulnerabilidades.
- Gestión de Riesgos: implementación de medidas de seguridad y controles, además, hay
una actualización continua en torno a los cambios de la seguridad de la información.

• Actores: Equipo de seguridad de la información, personal técnico y de desarrollo de

aplicaciones, gerencia y directivos de la organización, usuarios finales y personal operativo,
auditores internos y externos, proveedores de tecnología y servicios, reguladores y
organismos de cumplimiento normativo.

16
5. Conclusiones

• Las metodologías de modelo de amenazas desempeñan un papel importante en la protección

de información sensible en las organizaciones permitiendo identificar, analizar y gestionar los
riesgos de seguridad dando como resultado una preparación y una respuesta oportuna ante
cualquier evento de ciberseguridad.
• Al adoptar una metodología de modelo de amenazas beneficia a la organización al tener una
compresión detallada de las amenazas y vulnerabilidades que pueden estar enfrentados y se
pueden enfocar en mitigar los riesgos más críticos.
• Elegir la metodología depende de las necesidades y capacidades de la organización, algunas
pueden ser enfocadas para proyectos de desarrollo de software, sistemas críticos o activos
importantes, independientemente de la metodología seleccionada y el objetivo de la
aplicación de esta, se debe comprender que la seguridad es un proceso continuo donde las
amenazas evolucionan constantemente por lo que las actividades de evaluación de riesgos
deben ser recurrentes.

17
6. Bibliografía

Allen-Addy, C. (Abril de 2024). iriusrisk. Obtenido de https://www.iriusrisk.com/resources-blog/pasta-

threat-modeling-methodologies

Fluproject. (Abril de 2024). Fluproject. Obtenido de https://www.flu-project.com/2014/06/el-

modelado-de-amenazas-parte-ii.html

HackTricks. (Abril de 2024). HackTricks. Obtenido de https://book.hacktricks.xyz/v/es/generic-

methodologies-and-resources/threat-modeling

Helena Alemán Novoa, C. R. (s.f.). Metodologías Para el Análisis de Riesgos en los SGSi. Recuperado el
abril de 2024, de https://hemeroteca.unad.edu.co/index.php/publicaciones-e-
investigacion/article/view/1435/1874

HERNÁNDEZ, A. F. (Abril de 2024). Repository USTA. Obtenido de

https://repository.usta.edu.co/bitstream/handle/11634/44064/2022andresmelo.pdf?seque
nce=1

Microsoft. (Abril de 2024). Microsoft. Obtenido de https://learn.microsoft.com/es-

es/azure/security/develop/threat-modeling-tool

(s.f.). Process for Attack Simulation & Threat Analysis. Recuperado el Abril de 2024, de
https://cdn2.hubspot.net/hubfs/4598121/Content%20PDFs/VerSprite-PASTA-Threat-
Modeling-Process-for-Attack-Simulation-Threat-Analysis.pdf

sourceforge. (abril de 2024). Obtenido de https://coras.sourceforge.net/

Studocu. (abril de 2024). Studocu. Obtenido de https://www.studocu.com/es-

mx/document/universidad-del-valle-de-mexico/ingenieria-de-software/introduccion-de-
modelado-de-amenazas-alejandro-vega/28645251

versprite. (Abril de 2024). versprite. Obtenido de https://versprite.com/blog/what-is-pasta-threat-

modeling/

18