EAR > FAQ
|
 |
 |
EAR / FAQ Entorno de análisis de riesgos |
|
El análisis del riesgo es una técnica para recopilar los activos, valorarlos en la medida en que el negocio se vería afectado por su pérdida y levantar un mapa de las amenazas a las que está expuesto. El resultado es un mapa de riesgos y una valoración de los activos en base a su nivel o estado de riesgo que es, en definitiva, la medida de lo que puede perder la organización.
Se requiere que el sistema esté sometido a una disciplina continua de análisis y toma de decisiones para mantener actualizada la posición de riesgo.
El ENS establece el análisis de riesgos como uno de los principios básicos que deben regir toda actuación en materia de seguridad.
El análisis de riesgos es en sí mismo un requisito mínimo.
El ENS establece tres niveles de exigencia en el análisis de riesgos que debe realizarse. Sólo en los sistemas de categoría alta se exige un análisis formal; pero PILAR puede utilizarse en cualquier sistema.
En sistemas sencillos, de categoría básica, basta hacer un análisis de trazo grueso, con los activos que intuitivamente se consideran más valiosos, o con una identificación somera de los bloques que constituyen el sistema (o sea, media docena de activos para reflejar que hay información, que hay equipos, que hay instalaciones y que hay personal, sin entrar en un inventario exhaustivo).
Está pendiente del desarrollo de las guías de implantación que precisen qué se va a requerir para el cumplimiento de cada medida del Anexo II.
Pero es natural que los organismos implanten algún sistema de gestión para dar solidez a los principios y garantizar la madurez de las medidas de protección que se exigen.
La existencia de un sistema de gestión aparece entre los objetivos de las auditorías.
Concretamente, es la parte que, basada en un enfoque de riesgo empresarial, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información.
El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.
PILAR se utiliza dentro de los procesos de gestión de riesgos:
PILAR ambién permite estimar el grado de cumplimiento de diferentes normativas o perfiles de seguridad, como por ejemplo 27002 de ISO.
Magerit es acorde con normas internacionales como ISO/IEC 27005:2008.
Magerit es acorde con normas nacionales como UNE 71504:2008.
El número de activos no tiene ningún límite, aunque un número elevado oscurece el análisis y dificulta la interpretación de resultados, amen de ser difícil de mantener. La frontera suele estar en unos 200-400 activos.
Se pueden hacer análisis de riesgos con 1 sólo activo. Para ello, declare un activo y acumule sobre él todas las características (clases de activos) que sean de aplicación. Los resultados son muy rápidos, aunque podo precisos.
Se pueden hacer análisis de activos con pocos activos (como una docena) si usa "activos gordos" que agrupan bajo un único activo varios elementos o componentes.
Se pueden analizar las salvaguardas con mucho detalle, o hacer una evaluación grosera (lo que pilar denomina "nivel básico") evaluando sólo los grandes epígrafes de las medidas posibles. Los resultados son muy rápidos, aunque podo precisos.
Es habitual realizar en primera instancia un análisis rápido e impreciso y posteriormente refinar el análisis en aquellos puntos donde haymás riesgo o donde hay una riqueza y variedad de componentes que exigen precisar sin poder generalizar.
PILAR proporciona varios conceptos para agrupar de forma que luego se puede precisar de forma incremental:
PILAR no garantiza la "compatibilidad hacia atrás"; o sea que, en general, no es posible abrir un proyecto con una versión anterior.
Cuando se utiliza una base de datos, las tablas sustituyen a los ficheros .mgr.
Los ficheros .mhr van cifrados y protegidos criptográficamente por una contraseña de acceso. En una base de datos, el control de acceso se realiza con el sistema de control proporcionado por la propia base de datos y el sistema que la hospeda.
PILAR permite trasladar la información de un fichero .mgr a una base de datos y viceversa, de forma que es posible trabajar normalmente sobre la base de datos y utilizar el formato .mgr para comunicaciones, para trabajar en un portátil o incluso para cambiar de base de datos, transportando la información de una a otra.
PILAR permite cierta concurrencia en torno a una base de datos: