Análisis de Riesgos

5.1 Identificación de los Riegos​

El nivel de confidencialidad se determina de acuerdo con los siguientes criterios:

• Valor de la información: según los impactos evaluados durante la evaluación de riesgos.
• Sensibilidad y grado crítico de la información: según el mayor riesgo calculado para cada elemento de información durante la evaluación de riesgos.
• Obligaciones legales y contractuales: según la lista de obligaciones legales, normativas y contractuales y de otra índole.

De la elaboración inicial del análisis de riesgos se obtendrá un documento que se generará en consenso con todos los Responsables de Área/Departamento afectados. La responsabilidad de continuar su elaboración recae en el Responsable de Seguridad de la Organización.

Para intentar minimizar los efectos de un fallo de seguridad, se realiza un análisis de riesgo, término que hace referencia al proceso necesario para dar respuesta a tres preguntas básicas sobre nuestra seguridad:

• ¿Qué queremos proteger?
• ¿Contra quién o qué queremos proteger?
• ¿Cómo queremos protegerlo?

El análisis de riesgos es un enfoque metódico para la determinación de riesgos, teniendo en cuenta que no se han considerado los controles ya desplegados en la Organización para la protección de esos activos. Por tanto, los impactos y riesgos a los que estarían expuestos los activos se medirían si no estuvieran protegidos en absoluto.

A continuación, se identifican los pasos a seguir para realizar el análisis de riesgos en la Organización:

1. Identificación de Activos.

   Se identificarán los activos relevantes para la Organización, su interrelación y su valor, en el sentido de los daños que conllevaría su degradación.

2. Clasificación del Activo del Riesgo:

   Se clasificarán los activos identificados según la clasificación definida por la Organización (Público, Interno, Confidencial, Altamente Confidencial).

3. Tipo de activo:

   Se clasificarán los activos según la siguiente clasificación:

   1. Software
   2. Hardware
   3. Instalaciones
   4. Personal
   5. Información
   6. Servicio
   7. DAFO
   8. Partes Interesadas
   9. Proceso
4. Amenazas:

   Se determinarán las diferentes amenazas a las que está expuesto cada activo.

5. Vulnerabilidades:

   Se determinarán las vulnerabilidades a las que está expuesta la Organización para cada uno de los activos identificados y en base a las amenazas detectadas.

6. Propietario del Activo:

   Se identificarán los propietarios responsables de cada uno de los activos identificados.

5.2 Análisis del Riesgo​

Un riesgo es la posibilidad de un impacto particular sobre un activo, un conjunto de activos o toda la organización.

La metodología utilizada en el análisis de riesgos debe perseguir un objetivo claro: un valor que indique el riesgo asociado a los activos y que nos permita tomar decisiones priorizadas.

El análisis de los riesgos se llevará a cabo de la siguiente manera:

1. CIDAT: se determinará el grado de confidencialidad (C), integridad (I) disponibilidad (D), autenticidad (A) y trazabilidad (T) de cada una de las entradas del análisis de riesgos.

   Los criterios para evaluar la Confidencialidad, Integridad y Disponibilidad se establecen según lo establecido en el anexo I "Criterios de Valoración" del presente procedimiento.

2. Impacto: se determinará el valor que determina la extensión del daño que se produce en un activo a partir de la materialización de una amenaza (impacto).

   Dicho impacto se calcula sumando los valores establecidos de confidencialidad (C), integridad (I), disponibilidad (D), autenticidad (A) y trazabilidad (T), pudiendo tener un valor desde 5 a 15.

3. Probabilidad (P): Indica la frecuencia o probabilidad de que se materialice una amenaza. Los criterios para evaluar la Probabilidad son:

   Criterio	Valor
   Menos de una vez al año	1
   Una vez al año	2
   Una vez al trimestre	3
   Una vez a la semana	4

Los riesgos varían de Bajo (B) a Alto (A) y se calculan en función de la probabilidad de ocurrencia de la amenaza y el impacto.

El valor de riesgo asociado con cada amenaza se calcula multiplicando el valor de impacto (I) por la probabilidad (P) de que ocurra la amenaza.

Nivel de Riesgo = Impacto (I) x Probabilidad (P)

5.3 Nivel del Riesgo​

En base a la fórmula descrita anteriormente y para facilitar la interpretación de los datos obtenidos por las técnicas anteriores, se establecerá una escala en la que ubicar cada uno de los riesgos valores.

Los criterios de riesgo aceptable y no aceptable se establecen según la siguiente tabla:

5.4 Control del Riesgo​

Una vez evaluado el nivel de riesgo de cada activo se identificará la salvaguarda o control actual que se está aplicando sobre cada uno de los riesgos identificados. Dichas salvaguardas serán las propias identificadas en la declaración de aplicabilidad de la Organización.

5.5 Plan de Tratamiento​

Una vez identificados los niveles de riesgos, para todos aquellos que hayan tenido un nivel de riesgo aceptable, no será necesario establecer un plan de tratamiento, a parte del control actual que ya se le esté aplicando.

A todos los riesgos que superen el nivel de riesgo de aceptable, es decir que tengan un nivel de riesgo alto, se les aplicará un plan de tratamiento.

El plan de tratamiento contará, como mínimo, con los siguientes apartados:

• Medidas: acciones previstas por la organización para reducir riesgos.
• Periodicidad: el intervalo de tiempo en el que se rastrearán las medidas adoptadas.
• Plazo de ejecución de la medida: fecha prevista por la organización para la consecución de las medidas implantadas.
• Responsable: responsable de lograr los objetivos marcados por la organización.

No obstante, aun teniendo un nivel de riesgo aceptable, y en función de los controles actuales que se les esté aplicando, la Dirección y/o el Responsable del riesgo, en colaboración con el Responsable de Seguridad, podrán llevar a cabo un plan de tratamiento, si así lo consideran.

En algunos casos, este nivel se reducirá a un nivel por debajo del nivel de riesgo aceptable (niveles de riesgo bajo y medio), y en los casos en que el nivel de riesgo se mantenga por encima del nivel aceptable, tendremos que continuar tratándolos, o simplemente tomar el riesgo.

Este riesgo que continuará eliminándose después de aplicar el plan de tratamiento de riesgos, es lo que llamaremos riesgo residual.

5.6 Riesgo Residual​

El cálculo del riesgo residual se realizará de acuerdo con la metodología expuesta anteriormente, pero teniendo en cuenta que el plan de procesamiento ya está en los activos. Por tanto, se realizará un segundo análisis de riesgo donde se introducirá un nuevo parámetro, el plan de tratamiento, y se estudiará o analizará el impacto que pueda tener para recalcular el nuevo riesgo.

Una vez calculado el riesgo residual, si el nivel de riesgo aún se encuentra por encima del nivel establecido como aceptable, se decidirá una de las siguientes acciones:

• Transferir (Transfer): para algunos riesgos, la mejor respuesta puede ser transferirlos. Esto puede hacerse mediante seguros convencionales o apoyando a un tercero para que asuma el riesgo de otra manera.

• Tolerar (Tolerate): la capacidad de hacer algo frente a algunos riesgos puede ser limitada, o el costo de tomar cualquier acción puede ser desproporcionado en relación con el beneficio potencial obtenido. Este curso de acción es común para grandes riesgos externos. En estos casos, la respuesta puede ser la tolerancia o asunción del riesgo, pero éste debe ser monitorizado para que los directivos estén preparados para reconsiderarlo si comienza a intensificarse. Deben establecerse niveles de tolerancia que determinen cuánto riesgo puede asumirse en cada nivel y estos deben orientar la toma de decisiones.

• Tratar (Treat): con diferencia, la mayoría de los riesgos pertenecerán a esta categoría. El propósito de tomar acciones para reducir la probabilidad de que el riesgo ocurra no es necesariamente eliminarlo, sino contenerlo a un nivel aceptable. El riesgo se transmitirá hacia arriba y hacia abajo en la cadena corporativa. Los riesgos de alto nivel pueden tener que escalarse a un nivel superior de responsabilidad para decidir una acción, mientras que otros riesgos pueden traducirse en actividades diseñadas para mitigarlos. Defina qué criterios darán lugar a que el riesgo sea escalado dentro del sistema de gestión corporativa.

• Eliminar (Terminate): terminar el riesgo haciendo las cosas de manera diferente, eliminándolo cuando sea factible hacerlo.

En caso de asumirlo, por razones internas, la Organización tuvo conocimiento y asumió que podría tener un impacto negativo en la Organización.

5.7 Actualización del Análisis de Riesgos​

Tras la implementación de los objetivos planteados en el plan de tratamiento de riesgos, y al menos una vez al año, se reevalúan para verificar la efectividad del tratamiento.

Una vez realizada esta reevaluación, la alta Dirección (o el Comité de Seguridad) deberá aprobar tanto la nueva evaluación de riesgos como la aceptación de la misma y el plan de tratamiento correspondiente.

El Responsable de Seguridad informará a la alta Dirección de los resultados de la evaluación de riesgos, así como del estado del plan de tratamiento de riesgos.

5.8 Análisis de las Oportunidades​

La metodología empleada para el análisis y evaluación de las Oportunidades queda identificada en el registro Análisis de Riesgos y Oportunidades de Seguridad de la Información”.

Para la identificación de las Oportunidades se llevarán a cabo los siguientes pasos:

1. Oportunidades:

   Se determinarán las diferentes Oportunidades en Seguridad de la Información que haya identificado la Organización.

2. Fortalezas:

   Se determinarán las fortalezas que adquiriría la Organización, en base a las oportunidades detectadas.

3. Propietario de la Oportunidad:

   Se identificarán los propietarios responsables de cada una de las oportunidades identificadas.

Tras la identificación de las Oportunidades, se procederá a una evaluación del Beneficio (B) de ocurrencia de dichos escenarios.

La clasificación se llevará a cabo en base a los siguientes criterios:

Tras la determinación del Beneficio, se procederá a la determinación de la Probabilidad (P) de que ocurran dichos escenarios, para cada una de las oportunidades potenciales identificadas. La clasificación se llevará a cabo en base a los siguientes criterios:

Para las Oportunidades identificadas, y una vez determinada su Beneficio (B) y su Probabilidad (P), se procederá a su priorización. Pare ello se calcula, para cada Oportunidad, su nivel de priorización. Ese nivel se obtiene de la suma de la valoración de las 2 variables identificadas anteriormente:

NPO = Beneficio (B) x Probabilidad (P)

Con el nivel de la Oportunidad lo que se consigue es priorizar la actuación sobre las oportunidades identificadas.

5.9 Tratamiento de las Oportunidades​

El tratamiento de las Oportunidades identificadas se realizará en base a su beneficio calculado de acuerdo a la siguiente tabla, siempre bajo la aprobación final de la Dirección:

Anexo I - Criterios de Valoración del Riesgo​