Nombre
Marcos Ismel Rosario Restituyo
Matricula
20-SISN-1-037
Asignatura
Gestión del Riesgo
Profesor
Julio Serrano Carlos
Tema
Análisis de Riesgo
Introducción
El Análisis de Riesgo es un proceso crítico dentro de la seguridad de la información y la
gestión de TI. Consiste en identificar, evaluar y priorizar los riesgos que puedan afectar
los activos de una organización, permitiendo tomar decisiones informadas sobre cómo
gestionarlos. Este análisis no solo ayuda a proteger los sistemas y datos, sino que también
contribuye a minimizar las pérdidas económicas, cumplir con las regulaciones y mantener
la confianza de los usuarios.
En este documento, se exploran los principales elementos del Análisis de Riesgo,
incluyendo su definición, fases, metodologías y beneficios. Además, se incluyen ejemplos
prácticos y visuales para ilustrar los conceptos y facilitar su aplicación en entornos reales.
Análisis de Riesgo
El Análisis de Riesgo es un proceso sistemático que permite identificar y evaluar los
riesgos potenciales que pueden afectar los activos de una organización. Los riesgos se
definen como la combinación de la probabilidad de que ocurra un evento y el impacto
que este tendría en caso de materializarse.
El objetivo principal del Análisis de Riesgo es proporcionar información que permita a
las organizaciones priorizar sus esfuerzos de mitigación y establecer controles adecuados
para proteger sus recursos.
Importancia
Una empresa debe conocer y evaluar los riesgos que enfrenta para conocer sus
debilidades, determinar si la empresa está sobreexpuesta, priorizar las brechas y mitigar
el riesgo. Si está sobreexpuesta, una empresa debe tomar medidas en función de los
recursos disponibles y las prioridades de riesgo, que se determinan utilizando el cálculo
de riesgo que se analiza a continuación.
Fases del Análisis de Riesgo
El proceso de gestión de riesgos de TI es una tarea que una empresa puede realizar
internamente mediante el proceso de cinco pasos que se analiza a continuación o una
evaluación de riesgos externa, como la ISO 27005. Este es un estándar internacional que
describe cómo realizar una evaluación de riesgos de seguridad de la información de
acuerdo con los requisitos de ISO 27001.
Estos son los 5 pasos que debe seguir una empresa para identificar los riesgos de TI.
1. Identifique las vulnerabilidades. El departamento de TI debe definir todas las
posibles debilidades y los riesgos en la infraestructura de TI.
2. Etiquete y clasifique los datos de la organización. Este es un paso crítico porque
una empresa solo puede proteger los datos si sabe qué datos proteger. Este paso
brinda una oportunidad para que la empresa identifique datos personales y
confidenciales, que son los datos más cruciales para asegurar y proteger.
3. Priorice las vulnerabilidades. Esta tarea debe realizarse en una reunión conjunta con
la Línea de Negocio (LOB, por sus siglas en inglés), que puede identificar los
sistemas críticos que deben estar siempre en funcionamiento, y el departamento de
TI, que puede determinar si los servicios críticos están protegidos. Durante este paso,
TI y LOB también realizarán:
• Análisis de riesgo para determinar la frecuencia con la que ocurrirá un evento,
la probabilidad de que ocurra y las consecuencias.
• Evaluación de riesgos. La "fórmula" para calcular un riesgo es: Riesgo =
amenaza x vulnerabilidad x consecuencia. Esta no es una fórmula matemática,
pero debe usarse como guía.
A continuación, se muestran algunos ejemplos de cómo evaluar el riesgo mediante la
"fórmula".
Si una empresa no realiza copias de seguridad de sus sistemas, la probabilidad de que un
error humano, un desastre natural o provocado por el hombre o un ataque
malintencionado provoque la caída de sus sistemas es alta y las consecuencias de la
pérdida de datos son importantes. Esta vulnerabilidad sería de alto riesgo y requeriría una
reparación inmediata. La empresa reconoce que los anuncios de correos electrónicos no
deseados pueden ser una molestia para los usuarios. Si bien esto es algo común, el impacto
no es significativo, por lo que se consideraría una segunda prioridad para la remediación.
Por otro lado, la empresa reconoce que los ataques de phishing (suplantación de
identidad) pueden robar la contraseña de un usuario. Esta es una ocurrencia común y el
impacto puede ser grande, por lo que se consideraría una prioridad máxima que requiere
una reparación inmediata.
4. Aborde los riesgos. Ahora que la empresa conoce los riesgos, debe abordarlos en
función de la priorización, el apetito por el riesgo y la tolerancia.
5. Realice un seguimiento continuo de los riesgos. El proceso de identificación de un
riesgo de TI es un proceso continuo, ya que el panorama de la seguridad siempre está
cambiando debido a fuerzas externas e internas.
6. Monitoreo y revisión:
• Evaluar periódicamente los riesgos y actualizar el análisis según cambios
en el entorno o en los activos.
Medidas de prevención y control
Una vez se tengan identificadas las amenazas y vulnerabilidades de los sistemas y se
tengan definidos todos los riesgos y sus consecuencias, deben establecerse una serie de
medidas y tratamientos de riesgo con dos objetivos claros: evitar que se produzca el riesgo
o minimizar su impacto en caso de que llegue a producirse.
Dentro de este tipo de medidas podemos destacar:
• Instalación de software de seguridad y cortafuegos (por software o hardware).
• Implementación de sistemas de seguridad en la nube automatizados y planes de
Disaster Recovery.
• Añadir protocolos de seguridad para reforzar la seguridad de las contraseñas.
• Revisión de los roles y privilegios de los usuarios (con especial cuidado en la
asignación de los roles con mayores privilegios, como los administradores).
• Contratación de un seguro que cubra los daños ocasionados.
• Implementación de sistemas alternativos o duplicados para asegurar la
disponibilidad del sistema (high availability).
El análisis de riesgos requiere de la elaboración y consolidación de informes sobre la
ciberseguridad y las distintas medidas aplicadas. Estos informes sirven para medir el
grado de éxito que se está obteniendo en la prevención y mitigación, a la vez que permite
detectar puntos débiles o errores que requieran de la aplicación de medidas correctoras.
Metodologías comunes de Análisis de Riesgo
• ISO/IEC 27005: Esta norma internacional proporciona directrices específicas
para la gestión del riesgo en seguridad de la información.
• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability
Evaluation): Un enfoque centrado en identificar y gestionar riesgos en función
de los activos críticos de la organización.
• NIST SP 800-30: Un marco desarrollado por el Instituto Nacional de Estándares
y Tecnología (NIST) para realizar análisis de riesgo en sistemas de información.
Beneficios del Análisis de Riesgo
• Identificar los riesgos más críticos para la organización.
• Mejorar la toma de decisiones mediante un enfoque basado en datos.
• Reducir costos asociados a incidentes de seguridad.
• Cumplir con regulaciones y estándares de la industria.
• Proteger la reputación y la confianza de los usuarios.
Ejemplo Práctico
Una empresa de comercio electrónico realiza un Análisis de Riesgo para su plataforma
web. Identifica activos críticos como la base de datos de clientes y el servidor de la
aplicación. Entre las amenazas se encuentran ataques de inyección SQL y denegación de
servicio (DoS). Como medida de mitigación, implementa un firewall de aplicaciones web
(WAF), realiza pruebas de penetración periódicas y capacita a su personal en buenas
prácticas de seguridad.
Conclusiones
El Análisis de Riesgo es una herramienta indispensable para garantizar la seguridad y
continuidad de las operaciones en cualquier organización. Su correcta aplicación permite
identificar y mitigar los riesgos de manera eficiente, reduciendo posibles impactos
negativos y fortaleciendo la postura de seguridad general. En un entorno tecnológico en
constante evolución, el Análisis de Riesgo debe ser un proceso continuo y adaptable a los
cambios.
Bibliografía
• Gestión de Riesgos de TI - Qué es la gestión de riesgos de TI? - Guía definitiva
• Análisis de riesgos - Análisis de riesgos informáticos y ciberseguridad
• Análisis de Riegos de Seguridad de la Información - Análisis de Riesgos de
Seguridad de la Información - SYCOD: Servicios y soluciones tecnológicas para
el crecimiento de su empresa
