12. tesis. capítulo 2

19

CAPITULO 2

2. MARCO TEÓRICO: ADMINISTRACIÓN DE

RIESGOS DE TECNOLOGÍA DE INFORMACIÓN.

2.1.- Fundamentación Teórica

2.1.1.- Riesgos

2.1.1.1. Conceptos: Se definen tres conceptos de Riesgos a

continuación:

Según Fernando Izquierdo Duarte: “El Riesgo es un incidente o

situación, que ocurre en un sitio concreto durante un intervalo de

tiempo determinado, con consecuencias positivas o negativas que

podrían afectar el cumplimiento de los objetivos”.

Según Alberto Cancelado González: “El riesgo es una condición

del mundo real en el cual hay una exposición a la adversidad,

conformada por una combinación de circunstancias del entorno,

donde hay posibilidad de pérdidas”.

20

Según Martín Vilches Troncoso: “El riesgo es cualquier variable

importante de incertidumbre que interfiera con el logro de los objetivos

y estrategias del negocio. Es decir es la posibilidad de la ocurrencia de

un hecho o suceso no deseado o la no-ocurrencia de uno deseado”.

2.1.1.2. Clasificación de Riesgos.-

2.1.1.2.1. Riesgo de Negocios: Es el riego de los negocios

estratégicos de la empresa y de sus procesos claves. En otras

palabras es un riesgo crítico de la empresa.

2.1.1.2.2. Riesgo Inherente: Es la posibilidad de errores o

irregularidades en la información financiera, administrativa u operativa,

antes de considerar la efectividad de los controles internos diseñados

y aplicados por el ente.

2.1.1.2.3. Riesgo de Auditoría: Existe al aplicar los programas de

auditoría, cuyos procedimientos no son suficientes para descubrir

errores o irregularidades significativas.

21

2.1.1.2.4. Riesgo de Control: Está asociado con la posibilidad de

que los procedimientos de control interno, incluyendo a la unidad de

auditoría interna, no puedan prevenir o detectar los errores e

irregularidades significativas de manera oportuna.

2.1.1.2.5. Riesgo Estratégico: Se asocia con la forma en que se

administra la Entidad. El manejo del riesgo estratégico se enfoca a

asuntos globales relacionados con el cumplimiento de la misión de la

Entidad, la cual busca la vigilancia de la conducta de los servidores

públicos, defender el orden jurídico y los derechos fundamentales.

2.1.1.2.6. Riesgo Operativo: Comprende tanto el riesgo en sistemas

como operativo provenientes de deficiencias en los sistemas de

información, procesos, estructura, que conducen a ineficiencias,

oportunidad de corrupción o incumplimiento de los derechos

fundamentales.

22

2.1.1.2.7. Riesgo Financiero: Se relaciona con las exposiciones

financieras de la empresa. El manejo del riesgo financiero toca

actividades de tesorería, presupuesto, contabilidad y reportes

financieros, entre otros.

2.1.1.2.8. Riesgo de Cumplimiento: Se asocia con la capacidad de la

empresa para cumplir con los requisitos regulativos, legales,

contractuales, de ética pública, democracia y participación, servicio a

la comunidad, interacción con el ciudadano, respeto a los derechos, a

la individualidad, la equidad y la igualdad.

2.1.1.2.9. Riesgo de Tecnología: Se asocia con la capacidad de la

empresa en que la tecnología disponible satisfaga las necesidades

actuales y futuras de la empresa y soporten el cumplimiento de la

misión.

23

2.1.1.2.10. Riesgo Profesional: Conjunto de entidades públicas y

privadas, normas y procedimientos, destinados a prevenir, proteger y

atender a los trabajadores de los efectos, de las enfermedades y los

accidentes que puedan ocurrirles con ocasión o como consecuencia

del trabajo que desarrollan.

2.1.1.3. Tipos de Causas de Riesgos de TI: Las causas de riesgo

más comunes, para efectos del tema, se dividen en:

• Externas e

• Internas.

Las causas de riesgo externas pueden ser de dos clases:

• Naturales y

• Motivadas por el Hombre.

Las causas de riesgo naturales son normalmente las siguientes:

• Inundaciones

• Temblores

• Tornados

24

• Tormentas Eléctricas

• Huracanes

• Erupciones Volcánicas

Las causas de riesgo originadas por el hombre, son entre otras, las

siguientes:

• Incendios

• Explosiones

• Accidentes laborales

• Destrucción intencional

• Sabotaje

• Robo

• Fraude

• Contaminación Ambiental

Las causas internas de riesgo, se generan a partir de las mismas

empresas. Son más frecuentes las causas internas de riesgo que las

causas externas.

Entre las causas internas de riesgo tenemos básicamente:

25

• Robo: de materiales, de dinero y de información

• Sabotaje

• Insuficiencia de Dinero

• Destrucción: de datos y de recursos

• Personal No capacitado

• Huelgas

• Fraudes

• Ausencia de seguridades físicas tanto de la

empresa como dela información.

2.1.2. Riesgos de Tecnología de Información.-

2.1.2.1. Concepto: El concepto de riesgo de TI puede definirse como

el efecto de una causa multiplicado por la frecuencia probable de

ocurrencia dentro del entorno de TI. Es el control el que actúa sobre la

causa del riesgo para minimizar sus efectos. Cuando se dice que los

controles minimizan los riesgos, lo que en verdad hacen es actuar

sobre las causas de los riesgos, para minimizar sus efectos.

2.1.2.2. Valoración del Riesgo: La valoración del riesgo consta de

tres etapas: La identificación, el análisis y la determinación del nivel

26

del riesgo. Para cada una de ellas es necesario tener en cuenta la

mayor cantidad de datos disponibles y contar con la participación de

las personas que ejecutan los procesos y procedimientos para lograr

que las acciones determinadas alcancen los niveles de efectividad

esperados. Para adelantarlas deben utilizarse las diferentes fuentes

de información.

2.1.2.3. Identificación del Riesgo: El proceso de la identificación del

riesgo debe ser permanente, integrado al proceso de planeación y

responder a las preguntas qué, como y por qué se pueden originar

hechos que influyen en la obtención de resultados.

Una manera de realizar la identificación del riesgo es a través de la

elaboración de un mapa de riesgos, el cual como herramienta

metodológica permite hacer un inventario de los mismos ordenada y

sistemáticamente, definiendo en primera instancia los riesgos,

posteriormente presentando una descripción de cada uno de ellos y

las posibles consecuencias.

27

TABLA I

ETAPAS DE LA IDENTIFICACIÓN DEL RIESGO

RIESGO. DESCRIPCIÓN POSIBLES

CONSECUENCIAS

Posibilidad de Se refiere a las

ocurrencia de características Corresponde a los

aquella situación generales o las posibles efectos

que pueda formas en que se ocasionados por el

entorpecer el observa o riesgo, los cuales se

normal desarrollo manifiesta el riesgo pueden traducir en

de las funciones identificado daños de tipo

de la entidad y le económico, social,

impidan el logro administrativo, entre

de sus objetivos. otros

2.1.2.4. Análisis del Riesgo:

2.1.2.4.1. Objetivo General del Análisis de Riesgo: Su objetivo es

establecer una valoración y priorización de los riesgos con base en la

información ofrecida por los mapas elaborados en la etapa de

28

identificación, con el fin de clasificar los riesgos y proveer información

para establecer el nivel de riesgo y las acciones que se van a

implementar.

Se han establecido dos aspectos para realizar el análisis de los

riesgos identificados:

Probabilidad: La posibilidad de ocurrencia del riesgo, la cual puede ser

medida con criterios de frecuencia o teniendo en cuenta la presencia

de factores internos y externos que puedan propiciar el riesgo, aunque

éste no se haya presentado nunca.

Para el análisis cualitativo se establece una escala de medida

cualitativa en donde se establecen unas categorías a utilizar y la

descripción de cada una de ellas, con el fin que cada persona la

aplique, por ejemplo:

ALTA: Es muy factible que el hecho se presente

MEDIA: Es factible que el hecho se presente

BAJA: Es poco factible que el hecho se presente

29

Impacto: Consecuencias que puede ocasionar a la organización la

materialización del riesgo.

Ese mismo diseño puede aplicarse para la escala de medida

cualitativa de IMPACTO, estableciendo las categorías y la descripción,

por ejemplo:

ALTO: Si el hecho llegara a presentarse, tendría alto impacto o efecto

sobre la Entidad.

MEDIO: Si el hecho llegara a presentarse tendría medio impacto o

efecto en la entidad.

BAJO: Si el hecho llegara a presentarse tendría bajo impacto o efecto

en la entidad.

2.1.2.4.2. Objetivos Específicos del Análisis de Riesgo:

• Analizar el tiempo, esfuerzo y recursos disponibles y

necesarios para atacar los problemas.

• Definir cuáles son los recursos existentes.

30

• Llevar a cabo un minuciosos análisis de los riesgos y

debilidades.

• Identificar, definir y revisar todos los controles de seguridad

ya existentes.

• Determinar si es necesario incrementar las medidas de

seguridad, los costos del riesgo y los beneficios esperados.

2.1.2.5. Matriz de Priorización de los Riesgos: Una vez realizado el

análisis de los riesgos con base en los aspectos de probabilidad e

impacto, se recomienda utilizar la matriz de priorización que permite

determinar cuales riesgos requieren de un tratamiento inmediato.

FIGURA 2.1.

MATRIZ DE PRIORIZACIÓN DE RIESGOS

Alta A B
PROBABILIDAD

C D
Baja

Bajo Alto

IMPACTO

31

Cuando se ubican los riesgos en la matriz se define cuales de ellos

requieren acciones inmediatas, que en este caso son los del

cuadrante B, es decir los de alto impacto y alta probabilidad, respecto

a los riesgos que queden ubicados en el cuadrante A y D, se debe

seleccionar de acuerdo a la naturaleza del riesgo, ya que estos

pueden ser peligrosos para el alcance de los objetivos institucionales

por las consecuencias que presentan los ubicados en el cuadrante D o

por la constante de su presencia en el caso del cuadrante A.

Podemos citar como ejemplo, una matriz de frecuencia de revisión de

sistemas, donde cada índice tiene una ponderación y cada cuenta del

sistema es analizada y calificada de acuerdo a la ponderación

determinada.

TABLA II

MATRIZ DE FRECUENCIA DE REVISIÓN DE SISTEMAS

Sistem a Modo Mov. Cant. Monto Com pl. Rentab Irreg.
Proc. Fdos. T rx. T rx.
Ponderador 4 10 6 8 4 10 10
Ctas.Ctes. 3 3 3 2 3 3 2
C. Ahorros 3 3 2 2 3 2 2
Plazo Fijo 3 3 2 3 2 1 1
Inf. DGI 1 1 1 1 1 1 1

32

2.1.2.6. Determinación del Nivel del Riesgo: La determinación del

nivel de riesgo es el resultado de confrontar el impacto y la

probabilidad con los controles existentes al interior de los diferentes

procesos y procedimientos que se realizan. Para adelantar esta

etapa se deben tener muy claros los puntos de control existentes en

los diferentes procesos, los cuales permiten obtener información para

efectos de tomar decisiones, estos niveles de riesgo pueden ser:

ALTO: Cuando el riesgo hace altamente vulnerable a la entidad o

dependencia. (Impacto y probabilidad alta versus controles existentes)

MEDIO: Cuando el riesgo presenta una vulnerabilidad media.

(Impacto alto - probabilidad baja o Impacto bajo - probabilidad alta

versus controles existentes).

BAJO: Cuando el riesgo presenta vulnerabilidad baja.( Impacto y

probabilidad baja versus controles existentes).

Lo anterior significa que a pesar que la probabilidad y el impacto son

altos confrontado con los controles se puede afirmar que el nivel de

riesgo es medio y por lo tanto las acciones que se implementen

33

entraran a reforzar los controles existentes y a valorar la efectividad de

los mismos.

2.1.2.7. Manejo del Riesgo: Cualquier esfuerzo que emprendan las

entidades en torno a la valoración del riesgo llega a ser en vano, si no

culmina en un adecuado manejo y control de los mismos definiendo

acciones factibles y efectivas, tales como la implantación de políticas,

estándares, procedimientos y cambios físicos entre otros, que hagan

parte de un plan de manejo.

Para el manejo del riesgo se pueden tener en cuenta algunas de las

siguientes opciones, las cuales pueden considerarse cada una de

ellas independientemente, interrelacionadas o en conjunto.

Evitar el riesgo: Es siempre la primera alternativa a considerar. Se

logra cuando al interior de los procesos se generan cambios

sustanciales por mejoramiento, rediseño o eliminación, resultado de

unos adecuados controles y acciones emprendidas. Un ejemplo de

esto puede ser el control de calidad, manejo de los insumos,

mantenimiento preventivo de los equipos, desarrollo tecnológico, etc.

34

Reducir el riesgo: Si el riesgo no puede ser evitado porque crea

grandes dificultades operacionales, el siguiente paso es reducirlo al

más bajo nivel posible. La reducción del riesgo es probablemente el

método más sencillo y económico para superar las debilidades antes

de aplicar medidas más costosas y difíciles. Se consigue mediante la

optimización de los procedimientos y la implementación de controles.

Dispersar y atomizar el riesgo: Se logra mediante la distribución o

localización del riesgo en diversos lugares. Es así como por ejemplo,

la información de gran importancia se puede duplicar y almacenar en

un lugar distante y de ubicación segura, en vez de dejarla concentrada

en un solo lugar ejemplo de ello el procedimiento utilizado por la

Oficina de Sistemas para la salvaguarda de la información que se

genera diariamente en la Entidad.

Transferir el riesgo: Hace referencia a buscar respaldo y compartir con

otro parte del riesgo como por ejemplo tomar pólizas de seguros; se

traslada el riesgo a otra parte o físicamente se traslada a otro lugar.

Esta técnica es usada para eliminar el riesgo de un lugar y pasarlo a

otro o de un grupo a otro. Así mismo, el riesgo puede ser minimizado

compartiéndolo con otro grupo o dependencia.

35

Asumir el riesgo: Luego que el riesgo ha sido reducido o transferido

puede quedar un riesgo residual que se mantiene. En este caso, el

gerente del proceso simplemente acepta la pérdida residual probable y

elabora planes de contingencia para su manejo.

Una vez establecidos cuáles de los anteriores manejos del riesgo se

van a concretar, éstos deben evaluarse con relación al beneficio-costo

para definir, cuáles son susceptibles de ser aplicados y proceder a

elaborar el plan de manejo de riesgo, teniendo en cuenta, el análisis

elaborado para cada uno de los riesgos de acuerdo con su impacto,

probabilidad y nivel de riesgo.

Posteriormente se definen los responsables de llevar a cabo las

acciones especificando el grado de participación de las dependencias

en el desarrollo de cada una de ellas. Así mismo, es importante

construir indicadores, entendidos como los elementos que permiten

determinar de forma práctica el comportamiento de las variables de

riesgo, que van a permitir medir el impacto de las acciones.

2.1.2.7.1. Plan de manejo de Riesgos: Para elaborar el plan de

manejo de riesgos es necesario tener en cuenta si las acciones

36

propuestas reducen la materialización del riesgo y hacer una

evaluación jurídica, técnica, institucional, financiera y económica, es

decir considerar la viabilidad de su adopción. La selección de las

acciones más convenientes para la entidad se puede realizar con

base en los siguientes factores:

a) el nivel del riesgo

b) el balance entre el costo de la implementación de cada acción

contra el beneficio de la misma.

Una vez realizada la selección de las acciones más convenientes se

debe proceder a la preparación e implantar del plan, identificando

responsabilidades, programas, resultados esperados, medidas para

verificar el cumplimiento y las características del monitoreo. El éxito

de la adopción y/o ejecución del plan requiere de un sistema gerencial

efectivo el cual tenga claro el método que se va a aplicar.

Es importante tener en cuenta que los objetivos están consignados en

la planeación anual de la entidad, por tal razón se sugiere incluir el

plan de manejo de riesgos dentro de la planeación, con el fin de no

solo alcanzar los objetivos sino de definir también las acciones.

37

2.1.2.8. Matriz de Riesgos:

2.1.2.8.1. Utilidad del Método Matricial para el análisis de Riesgos:

Este método utiliza una matriz para mostrar gráficamente tanto las

amenazas a que están expuestos los sistemas computarizados como

los objetos que comprenden el sistema.

Dentro de cada celda se muestran los controles que atacan a las

amenazas.

2.1.2.8.2. Tipos de Matrices de Riesgo:

2.1.2.8.2.1. Matriz de Riesgos Críticos Vs. Escenarios de Riesgo: En

esta se representan los escenarios o puntos del proceso que pueden

ser impactados por los riesgos potenciales críticos. Con una "x" se

señalan las celdas en donde podría presentarse cada riesgo. Para

completar el significado de esta matriz, en hoja separada se describe la

forma como podría presentarse cada riesgo en los diferentes

escenarios marcado con "x”.

38

TABLA III

MATRIZ DE LOCALIZACIÓN DE RIESGOS POTENCIALES

CRÍTICOS EN LOS ESCENARIOS DE RIESGO

LOCALIZACION DE RIESGOS CRÍTICOS EN LOS

ESCENARIOS DE RIESGO

Proceso de Negocio o Sistema : CDTs.

No Escenario de Riesgo Fraude Exces Sanci Pérdid

o de o-nes a

Egres legale Credib

os s i-lidad
1 Generación y Registro de X X

Transacciones
2 Ingreso de los datos al sistema X
3 Procesamiento de las X X X X

transacciones y actualización

de la base de datos
4 Utilización y control de los X

resultados por parte de los

usuarios del sistema
5 Custodia de títulos valores X X
6 Registro contable de las X X

transacciones

2.1.2.8.2.2. Matriz de Riesgos Críticos Vs. Dependencias. En esta

se representan las dependencias que pueden ser impactadas por los

riesgos potenciales críticos. Con una "x" se señalan las celdas en

39

donde podría presentarse cada riesgo. Para completar el significado de

esta matriz, en hoja separada se describe la forma como podría

presentarse cada riesgo en las dependencias marcadas con "x".

TABLA IV

MATRIZ DE LOCALIZACIÓN DE LOS RIESGOS CRÍTICOS

EN LAS DEPENDENCIAS

LOCALIZACION DE RIESGOS CRÍTICOS EN LAS DEPENDENCIAS QUE

MANEJAN LA INFORMACION


No Dependencias Fraude Exceso de Sanciones Pérdida

Egresos legales Credibilidad
1 Sucursales X X
2 Dpto. de X X X

Sistemas
3 Contabilidad X
4 DECEVAL X

40

2.1.2.8.2.3. Localización de los Riesgos Críticos en Matriz de

Dependencias Vs Escenarios de Riesgo: Es el resultado de combinar

las dos matrices anteriores. En las celdas de esta matriz se escriben las

identificaciones de los riesgos críticos que correspondan. Ver figura 5:

Localización de riesgos críticos en las Dependencias que intervienen en

el proceso o sistema.

Utilizando códigos de identificación alfanuméricos para los riesgos

potenciales críticos, dentro de esta matriz se identifican los riesgos

que podrían materializarse en cada pareja “escenario –

dependencia”.

R1: Fraude. R2: Sanciones Legales. R3: Pérdida de

Credibilidad Pública.

41

TABLA V

MAPA DE RIESGOS POTENCIALES CRÍTICOS.

LOCALIZACION DE RIESGOS CRÍTICOS EN MATRIZ DE

ESCENARIOS DE RIESGO – DEPENDENCIAS


No Escenario de Riesgo Sucursales Sistemas Deceval Contabilidad

1 Generación de Transacciones R1, R2
2 Ingreso de los datos al sistema R1
3 Procesamiento de las R1,R2

transacciones y actualización

de la base de datos
4 Utilización y control de los R2

resultados por parte de los

usuarios del sistema
5 Custodia de títulos valores R1,R3
6 Registro contable de las R2

transacciones

42

2.1.3. Administración de Riesgos.- En la economía global, las

organizaciones necesitan tomar riesgos para sobrevivir, la mayoría de

ellas necesitan incrementar el nivel de riesgos que toman para ser

exitosas a largo plazo. Con el significativo incremento en la

competencia, los objetivos y metas agresivos de las corporaciones se

están convirtiendo en norma. Para direccionar este cambio, los líderes

mundiales están fortaleciendo sustancialmente sus prácticas de

administración de riesgos para asegurar que si las iniciativas o el

43

funcionamiento de las unidades de negocio “se descarrilan”, esto se

identifique rápidamente poder actuar para corregir la situación.

2.1.3.1. Definición: Es un proceso interactivo e iterativo basado en el

conocimiento, evaluación y manejo de los riesgos y sus impactos, con

el propósito de mejorar la toma de decisiones organizacionales.

Es aplicable a cualquier situación donde un resultado no deseado o

inesperado pueda ser significativo o donde se identifiquen

oportunidades de mejora.

2.1.3.2. Beneficios para la Organización:

 Facilita el logro de los objetivos de la organización.

 Hace a la organización más segura y consciente de sus

riesgos.

 Mejoramiento continuo del Sistema de Control Interno.

 Optimiza la asignación de recursos.

 Aprovechamiento de oportunidades de negocio.

44

 Fortalece la cultura de autocontrol.

 Mayor estabilidad ante cambios del entorno.

2.1.3.3. Beneficios para el Departamento de Auditoria:

 Soporta el logro de los objetivos de la auditoria.

 Estandarización en el método de trabajo.

 Integración del concepto de control en las políticas

organizacionales.

 Mayor efectividad en la planeación general de Auditoria.

 Evaluaciones enfocadas en riesgos.

 Mayor cobertura de la administración de riesgos.

 Auditorias más efectivas y con mayor valor agregado.

2.1.3.4. Factores a considerar: Los principales factores que se

deben considerar en la Administración de Riesgos de TI son:

 Seguridades

45

 Controles: Preventivos, Detectivos y Correctivos

 Objetivos

 Manuales de usuarios

 Políticas

Si no existe una adecuada consideración de los factores antes

descritos y si nuestros controles y seguridades fueran errados,

nuestros planes organizacionales, financieros, administrativos y de

sistemas se verían seriamente afectados, ya que no sólo el área de

sistemas será el afectado.

2.1.4.- Administración de Riesgos de TI.-

2.1.4.1. Concepto: La Administración de Riesgos de TI es el proceso

continuo basado en el conocimiento, evaluación, manejo de los

riesgos y sus impactos que mejora la toma de decisiones

organizacionales, frente a los riesgos de TI.

Es entonces la administración de riesgos el término asociado al

conjunto de pasos secuenciales, lógicos y sistemáticos que debe

46

seguir el analista de riesgos para identificar, valorar y manejar los

riesgos asociados a los procesos de TI de la organización, los cuales

ejecutados en forma organizada le permiten encontrar soluciones

reales a los riesgos detectados minimizando las pérdidas o

maximizando las oportunidades de mejora.

2.1.4.2. Beneficios: Se pueden mencionar los siguientes beneficios:

A nivel organizacional:

 Alcance o logro de los objetivos organizacionales.

 Énfasis en prioridades de negocio: permite a los

directivos enfocar sus recursos en los objetivos

primarios. Tomar acción para prevenir y reducir pérdidas,

antes que corregir después de los hechos, es una

estrategia efectiva de administración del riesgo.

 Fortalecimiento del proceso de planeación.

 Apoyo en la identificación de oportunidades.

 Fortalecimiento de la cultura de autocontrol.

Al proceso de administración:

47

 Cambio cultural que soporta discusiones abiertas sobre

riesgos e información potencialmente peligrosa. La

nueva cultura tolera equivocaciones pero no tolera

errores escondidos. La nueva cultura también hace

énfasis en el aprendizaje de los errores.

 Mejor administración financiera y operacional al asegurar

que los riesgos sean adecuadamente considerados en el

proceso de toma de decisiones. Una mejor

administración operacional generará servicios más

efectivos y eficientes. Anticipando los problemas, los

directivos tendrán mayor oportunidad de reacción y

tomar acciones. La organización será capaz de cumplir

con sus promesas de servicio.

 Mayor responsabilidad de los administradores en el corto

plazo. A largo plazo, se mejorarán todas las capacidades

de los directivos.

2.1.4.3. Características Generales:

48

 La Administración de Riesgos debe estar apoyada por la

Alta Gerencia de la Organización.

 La Administración de Riesgos debe ser parte integral del

proceso administrativo utilizado por la Dirección de la

Organización.

La Administración de Riesgos es un proceso multifacético y

participativo, el cual es frecuentemente mejor llevado a cabo por un

equipo multidisciplinario.

2.1.4.4. Proceso de Administración de Riesgos de TI: A

continuación se describen las principales etapas definidas para el

Proceso de Administración de Riesgos de TI.

FIGURA 2.2.

49

PROCESO DE ADMINISTRACIÓN DE RIESGO de TI

2.1.4.4.1. Establecimiento de la Metodología de TI: Permite, a

través del conocimiento del entorno y de la organización, establecer

criterios generales que serán utilizados para implementar el enfoque

de Administración de Riesgos de TI en el área de sistemas de la

Organización.

Durante esta etapa se debe establecer la metodología que será

utilizada para la Administración de Riesgos de TI en el área de

sistemas de la empresa.

50

Consiste en analizar los riesgos existentes en el área y de acuerdo a

este análisis, determinar cual de las alternativas propuestas

(metodologías) va a ser la mejor opción para la realización del trabajo.

2.1.4.4.2. Identificación de Riesgos de TI: Mediante el

establecimiento de un marco de acción específico se puede entender

el objeto sobre el cual se aplicará el proceso de Administración de

Riesgos de TI.

El propósito final de esta etapa es proveer los mecanismos necesarios

para recopilar la información relacionada con los riesgos, impactos y

sus causas.

Algo importante en esta etapa, es tener claro la definición de Riesgo.

Para la mayoría de partes, los riesgos son percibidos como cualquier

cosa o evento que podría apoyar la forma en que la organización

alcance sus objetivos.

51

Por consiguiente, la Administración de Riesgos de TI no está dirigida

exclusivamente a evitarlos. Su enfoque está en identificar, evaluar,

controlar y “dominar” los riesgos.

2.1.4.4.3. Análisis del Riesgos de TI: En esta etapa se busca

obtener el entendimiento y conocimiento de los riesgos identificados

de tal manera que se pueda recopilar información que permita el

cálculo del nivel de riesgo al cual está expuesto el objeto, Identificar

los controles existentes implementados para mitigar el impacto ante la

ocurrencia de los riesgos de TI, permitiendo de esta manera valorar

los niveles del riesgo, la efectividad de los controles y el nivel de

exposición.

El riesgo de TI es analizado a través de la combinación de estimativos

de probabilidad y de las consecuencias en el contexto de las medidas

de control existentes. El análisis de riesgos de TI involucra un debido

examen de las fuentes de riesgo, sus consecuencias y la probabilidad

de que esas consecuencias puedan ocurrir. Pueden llegar a

identificarse factores que afectan tanto las consecuencias como la

probabilidad.

52

Los estimativos pueden determinarse utilizando análisis, estadísticas y

cálculos. Alternativamente donde no hay datos históricos disponibles,

se pueden hacer estimativos subjetivos que reflejen el grado de

creencia de un grupo o de un individuo en que un evento en particular

o suceso ocurran.

2.1.4.4.4. Evaluación y Priorización de Riesgos de TI: La

evaluación de riesgos de TI incluye comparar el nivel de riesgo

encontrado durante el proceso de análisis contra el criterio de riesgo

establecido previamente, y decidir si los riesgos pueden ser

aceptados.

El análisis de riesgos y los criterios contra los cuales los riesgos son

comparados en la valoración deben ser considerados sobre la misma

base. Así, evaluaciones cualitativas incluyen la comparación de un

nivel cualitativo de riesgo contra criterios cualitativos, y evaluaciones

cuantitativas involucran la comparación de niveles estimados de riesgo

contra criterios que pueden ser expresados como números

específicos, tales como fatalidad, frecuencia o valores monetarios.

53

El resultado de una evaluación de riesgos es una lista priorizada de

riesgos para definirles acciones de tratamiento posteriores.

Para evaluar riesgos hay que considerar, entre otros factores, el tipo

de información almacenada, procesada y transmitida, la criticidad de

las aplicaciones, la tecnología usada, el marco legal aplicable, el

sector de la entidad, la entidad misma y el momento.

2.1.4.4.5. Tratamiento de Riesgos de TI (Controles Definitivos):

Después de valorar y priorizar los riesgos de TI, y dependiendo del

nivel de exposición, se debe determinar la opción de tratamiento que

más conviene aplicar en cada caso. El tratamiento de riesgos de TI

incluye la identificación de la gama de opciones de tratamiento del

riesgo de TI, la evaluación de las mismas, la preparación de planes de

tratamiento de riesgos de TI y su posterior implementación por parte

de la Gerencia de la empresa.

Las opciones de tratamiento que se relacionan a continuación no son

mutuamente exclusivas ni serán apropiadas en todas las

circunstancias:

54

EVITAR el riesgo: Se decide, donde sea práctico, no proceder con

procesos y/o actividades que podrían generar riesgos inaceptables,

buscando con ello eludir el riesgo inherente asociado a esos objetos.

Es siempre la primera alternativa que debe considerarse.

REDUCIR el riesgo: La organización decide prevenir y/o reducir el

riesgo de TI. Si el riesgo no se puede evitar porque crea grandes

dificultades en el departamento, el siguiente paso es reducirlo al más

bajo nivel posible, el cual debe ser compatible con las actividades del

área. Se consigue mediante la optimización de los procedimientos y la

implementación de controles.

REDUCIR la probabilidad de ocurrencia: Prevención del riesgo a

través de la implementación de acciones tendientes a controlar su

frecuencia o probabilidad.

REDUCIR las consecuencias o MITIGAR el riesgo: reducción del

riesgo a través de la implementación de acciones o medidas de

control dirigidas a disminuir el impacto o severidad de las

consecuencias del riesgo si éste ocurre.

55

ASUMIR el riesgo: La organización decide aceptar los riesgos como

ellos existen en la actualidad, y establece políticas o estrategias

apropiadas para su tratamiento.

Otra manera de ASUMIR los riesgos, pero debe hacerse a un nivel

adecuado en la entidad y considerando que puede ser mucho mayor

el costo de la inseguridad que el de la seguridad, lo que a veces sólo

se sabe cuando ha ocurrido algo. ¿Cuál es el riesgo máximo admisible

que puede permitirse una entidad? Alguna vez se nos ha hecho la

pregunta, y depende de lo crítica que sea para la entidad la

información así como disponer de ella, e incluso puede depender del

momento.

2.1.4.4.6. Monitoreo y Revisión: Pocos riesgos permanecen

estáticos. Por ello, los riesgos y la efectividad de sus medidas de

control necesitan ser monitoreados continuamente para asegurar que

circunstancias cambiantes no alteren las prioridades.

Revisiones progresivas son esenciales para asegurar que los planes

de la administración permanecen relevantes. Los factores que afectan

56

la probabilidad y la consecuencia de un resultado puede cambiar, al

igual que los factores que afectan la viabilidad o el costo de las

opciones de tratamiento.

2.1.4.5. Metodologías de Administración de Riesgos de TI y

Seguridad:

2.1.4.5.1. Introducción a las Metodologías: Según el Diccionario,

Método es el “modo de decir o hacer con orden una cosa”. Asimismo

define el diccionario la palabra Metodología como “conjunto de

métodos que se siguen en una investigación científica”. Esto significa

que cualquier proceso cinético debe estar sujeto a una disciplina de

proceso defina con anterioridad que llamaremos Metodología.

La Informática ha sido tradicionalmente una materia compleja en todos

sus aspectos, por lo que se hace necesaria la utilización de

metodologías en cada doctrina que la componen, desde su diseño de

ingeniería hasta la auditoria de los sistemas de información.

Las metodologías usadas por un profesional dicen mucho de su forma

de entender su trabajo, y están directamente relacionadas con su

57

experiencia profesional acumulada como parte del comportamiento

humano de “acierto / error”.

Asimismo una metodología es necesaria para que un equipo de

profesionales alcance un resultado homogéneo tal como si lo hiciera

uno solo, por lo que resulta habitual el uso de metodologías en las

empresas auditoras / consultoras profesionales, desarrolladas por los

más expertos, para conseguir resultados homogéneos en equipos de

trabajo heterogéneos.

La proliferación de metodologías en el mundo de la auditoria y el

control informático se pueden observar en los primeros años de la

década de los ochenta, paralelamente al nacimiento y

comercialización de determinadas herramientas metodológicas. Pero

el uso de métodos de auditoria es casi paralelo al nacimiento de la

informática, en la que existen muchas disciplinas cuyo uso de

metodologías constituye una práctica habitual. Una de ellas es la

seguridad de los sistemas de información.

Aunque de forma simplista se trata de identificar la seguridad

informática a la seguridad lógica de los sistemas, nada está más lejos

58

de la realidad hoy en día, extendiéndose sus raíces a todos los

aspectos que suponen riesgos para la informática.

Si definimos la “Seguridad delos Sistemas de Información” como la

doctrina que trata de los riesgos informáticos o creados por la

informática, entonces la auditoría es una de las figuras involucradas

en este proceso de protección y preservación de la información y de

sus medios de proceso.

Por lo tanto, el nivel de seguridad informática en una entidad es un

objetivo a evaluar y está directamente relacionado con la calidad y

eficacia de un conjunto de acciones y medidas destinadas a proteger y

preservar la información de la entidad y sus medios de proceso.

2.1.4.5.1.1. Los Procedimientos de Control: Son los procedimientos

operativos de las distintas áreas de a empresa, obtenidos con una

metodología apropiada, para la consecución de uno o varios objetivos

de control y, por tanto, deben de estar documentados y aprobados por

la dirección. La tendencia habitual de los informáticos es la de dar más

peso a la herramienta que al “control o contramedida”, pero no se

debe olvidar que “una herramienta nunca es una solución sino una

59

ayuda para conseguir un control mejor”. Sin la existencia de estos

procedimientos, las herramientas de control son sólo una anécdota.

2.1.4.5.1.2. Dentro de la Tecnología de Seguridad están todos los

elementos ya sean hardware o software, que ayudan a controlar un

riesgo informático. Dentro de este concepto están los cifradores,

autentificadores, equipos “tolerantes al fallo”, las herramientas de

control, etc.

2.1.4.5.1.3. Las herramientas de control son los elementos software

que permiten definir uno o varios procedimientos de control para

cumplir una normativa y un objetivo de control.

Todos estos factores están relacionados entre sí, así como la calidad

de cada uno con la de los demás. Cuando se evalúa el nivel de

Seguridad de Sistemas en una institución, se están evaluando todos

estos factores y se plantea un Plan de Seguridad nuevo que mejore

todos los factores, aunque conforme se vayan realizando los distintos

proyectos del plan, no se irán mejorando todos por igual. Al finalizar el

plan se habrá conseguido una situación nueva en la que el nivel de

control sea superior al anterior.

60

Se llamará Plan de Seguridad a una estrategia planificada de acciones

y productos que lleven a un sistema de información y sus centros de

proceso de una situación inicial determinada (y a mejorar) a una

situación mejorada.

2.1.4.5.2. Metodologías de Evaluación de Sistemas:

2.1.4.5.2.1. Conceptos Fundamentales: En el mundo de la seguridad

de sistemas se utilizan todas las metodologías necesarias para

realizar un plan de seguridad además de las de auditoría informática.

Las dos metodologías de evaluación de sistemas por excelencia son

las de Análisis de Riesgos y las de Auditoría Informática, con dos

enfoques distintos. La auditoría informática sólo identifica el nivel de

“exposición” por la falta de controles, mientras el análisis de riesgos

facilita la “evaluación” de los riesgos y recomienda acciones en base al

costo-beneficio de las mismas.

Se introducirán una serie de definiciones para profundizar en estas

metodologías.

61

Amenaza: Una(s) persona(s) o cosa(s) vista(s) como posible fuente de

peligro o catástrofe. Ejemplo: inundación, incendio, robo de datos,

sabotaje, aplicaciones mal diseñadas, etc.

Vulnerabilidad: La situación creada, por la falta de uno o varios

controles, con la que la amenaza pudiera suceder y así afectar el

entorno informático. Ejemplos: falta de control de acceso lógico,

inexistencia de un control de soportes magnéticos, falta de cifrado en

las telecomunicaciones, etc.

Riesgo: La probabilidad de que una amenaza llegue a suceder por

una vulnerabilidad. Ejemplo: los datos estadísticos de cada evento de

una base de datos de incidentes.

Exposición o Impacto: La evaluación del efecto del riesgo. Ejemplo: es

frecuente evaluar el impacto en términos económicos, aunque no

siempre lo es, como vidas humanas, imagen de la empresa, honor,

defensa nacional, etc.

Todos los riesgos que se presentan podemos:

62

 Evitarlos (por ejemplo: no construir un centro donde hay

peligro constante de inundaciones).

 Transferirlos (por ejemplo: uso de un centro de cálculo

controlado).

 Reducirlos (por ejemplo: sistema de detección y extinción de

incendios).

 Asumirlos. Que es lo que se hace si no se controla el riesgo

en absoluto.

Para los tres primeros, se actúa si se establecen controles o

contramedidas. Todas las metodologías existentes en seguridad de

sistemas van encaminadas a establecer y mejorar un entramado de

contramedidas que garanticen que la probabilidad de que las

amenazas se materialicen en hechos (por falta de control) sea lo más

baja posible o al menos quede reducida de una forma razonable en

costo – beneficio.

2.1.4.5.2.2. Tipos de Metodologías: Todas las metodologías

existentes desarrolladas y utilizadas en la auditoría y el control

informático, se pueden agrupar en dos grandes familias. Éstas son:

63

 Cuantitativas: Basadas en un modelo matemático numérico

que ayuda a la realización del trabajo.

 Cualitativas: Basadas en el criterio y raciocinio humano

capaz de definir un proceso de trabajo, para seleccionar en

base a la experiencia acumulada.

2.1.4.5.2.2.1. Metodologías Cuantitativas: Este tipo de metodologías

han sido diseñadas para producir una lista de riesgos que pueden

comparables entre sí, con facilidad de poder asignarles valores

numéricos. Estos valores en el caso de metodologías de análisis de

riesgos, son datos de probabilidad de ocurrencia de una situación o

evento que se debe extraer de un registro de incidencias donde el

número de incidencias sea suficientemente grande o tienda al infinito.

Esto no se aplica con precisión en la práctica, pero se aproxima ese

valor de forma subjetiva restando así rigor científico al cálculo. Pero

dado que el cálculo se hace para ayudar a elegir el método entre

varias contramedidas podría ser aceptado.

Hay varios coeficientes que conviene definir:

64

 A.L.E. (Annualized Loss Expentacy): multiplicar la pérdida

máxima posible de cada bien /recurso por la amenaza con

probabilidad más alta.

 Retorno de la Inversión (R.O.I.): A.L.E. original menos A.L.E.

reducido (como resultado de la medida), dividido por el

coste anualizado de la medida.

 Reducción del A.L.E. (Annualized Loss Expectancy): Es el

cociente entre el coste anualizado de la instalación y el

mantenimiento de la medida contra el valor total del bien

/recurso que se está protegiendo, en tanto por ciento.

Estos coeficientes y algunos otros son utilizados para la simulación

que permite elegir entre varias contramedidas en el análisis de

riesgos.

Por consiguiente, se nota con claridad los dos grandes inconvenientes

o problemas que presentan estas metodologías: por una parte la

debilidad de los datos de la probabilidad de ocurrencia por los pocos

registros y la poca significación de los mismos a nivel mundial, y por

otra la imposibilidad o dificultad de evaluar económicamente todos los

65

impactos que pueden suceder frente a la ventaja de poder usar un

modelo matemático para el análisis.

2.1.4.5.2.2.2. Metodologías Cualitativas: Precisan de la

involucración de un profesional experimentado. Basadas en métodos

estadísticos y lógica borrosa (humana, no matemática). Pero

requieren menos recursos humanos / tiempo que las metodologías

cuantitativas.

La tendencia de uso en la realidad es la mezcla de ambas. A

continuaciones muestra un cuadro comparativo de las comparaciones

entre estos dos tipos de metodologías:

66

TABLA VI

COMPARACIÓN ENTRE LAS METODOLOGÍAS CUANTITATIVAS Y

CUALITATIVAS

Cuantitativa Cualitativa
- Enfoca pensamientos - Enfoque lo amplio que se
mediante el uso de números. desee.
Facilita la comparación de - Plan de trabajo flexible o
P
vulnerabilidades muy reactivo.
r distintas. - Se concentra en la
- Proporciona una cifra identificación de eventos.
o
justificante para cada - Incluye factores
s
contramedida. intangibles.

- Estimación de probabilidad - Depende fuertemente de la
depende de estadísticas habilidad y calidad del
fiables inexistentes. personal involucrado.
C - Estimación de las pérdidas - Puede excluir riesgos
potenciales sólo si son significantes desconocidos
o
valores cuantificables. (depende de la capacidad
n
- Metodologías estándares. del profesional para usar la
t - Difíciles de mantener o guía).
modificar. - Identificación de eventos
r
- Dependencia de un reales más claros al no tener
a
profesional. que aplicarles
s probabilidades complejas de
calcular.
- Dependencia de un
profesional.

67

2.1.4.5.2.3. Metodologías más comunes: Las metodologías más

comunes de evaluación de sistemas que podemos encontrar son de

análisis de riesgos o de diagnósticos de seguridad, las de plan de

contingencias, y las de auditoría de controles generales.

68

2.1.4.5.2.3.1. Metodologías de Análisis de Riesgo: Están

desarrolladas para la identificación de la falta de controles y el

establecimiento de un plan de contramedidas. Existen dos tipos: Las

cuantitativas y las cualitativas, de las que existen gran cantidad de

ambas clases y sólo citaremos algunas de ellas.

El esquema básico de una metodología de análisis de riesgos es, en

esencia, el representado a continuación:

FIGURA 2.3.

FUNCIONAMIENTO ESQUEMÁTICO BÁSICO DE

CUALQUIER METODOLOGÍA

Cuestionario Etapa 1
Identificar los Riesgos Etapa 2
Calcular el impacto Etapa 3
Identificar las contramedidas y el coste Etapa 4
En base a estos cuestionarios se identifican vulnerabilidades y riesgos
Simulaciones Etapa 5
y se evalúa el impacto para más tarde identificar las contramedidas y
Creación de los Informes Etapa 6
el coste. La siguiente etapa es la más importante, pues mediante un

juego de simulación (que se llamará “¿Qué pasa si..?”) que analizará

el efecto de las distintas contramedidas en la disminución de los

69

riesgos analizados, eligiendo de esta manera un plan de

contramedidas (plan de seguridad) que compondrá el informe final de

la evaluación.

De forma genérica las metodologías existentes se diferencian en:

• Si son cuantitativas o cualitativas, o sea si para el

“¿Qué pasa si...?” utilizan un modelo matemático o

algún sistema cercano a la elección subjetiva. Aunque,

bien pensado, al aproximar las probabilidades por

esperanzas matemáticas subjetivamente, las

metodologías cuantitativas, aunque utilicen aparatos

matemáticos en sus simulaciones, tienen un gran

componente subjetivo.

• Y además se diferencian en el propio sistema de

simulación.

Se han identificado 66 metodologías. Entre ellas están: ANALIZY,

BDSS, BIS RISK ASESOR, BUDDY SYSTEM, COBRA, CRAMM,

DDIS MARION AP+, MELISA, RISAN, RISKPAC, RISKWATCH.

70

Después de estas metodologías han nacido muchas otras como la

MAGERIT, desarrollada por la administración española; MARION,

PRIMA (Prevención de Riesgos Informáticos con Metodología Abierta)

y DELPHI. A continuación se detallan algunas de las metodologías:

2.1.4.5.2.3.1.1. Metodología MAGERIT (Metodología de Análisis y

Sesión de Riesgos de los Sistemas de Información)

: El esquema completo de Etapas, Actividades y Tareas del

Submodelo de Procesos de MAGERIT es el siguiente:

Etapa 1. Planificación del Análisis y Gestión de Riesgos

Actividad 1.1. Oportunidad de Realización

Tarea 1.1.1. (única) Clarificar la oportunidad de realización

Actividad 1.2. Definición de Dominio y Objetivos

Tarea 1.2.1. Especificar los objetivos del proyecto

Tarea 1.2.2. Definir el dominio y los límites del proyecto

Tarea 1.2.3. Identificar el entorno y restricciones generales

Tarea 1.2.4. Estimar dimensión, costos y retornos del proyecto

Actividad 1.3. Planificación del Proyecto

Tarea 1.3.1. Evaluar cargas y planificar entrevistas

Tarea 1.3.2. Organizar a los participantes

Tarea 1.3.3. Planificar el trabajo

71

Actividad 1.4. Lanzamiento del Proyecto

Tarea 1.4.1. Adaptar los cuestionarios

Tarea 1.4.2. Seleccionar criterios de evaluación y técnicas para

el proyecto

Tarea 1.4.3. Asignar los recursos necesarios

Tarea 1.4.4. Sensibilizar (campaña informativa)

Etapa 2. Análisis de Riesgos

Actividad 2.1. Recogida de Información

Tarea 2.1.1. Preparar la información

Tarea 2.1.2. Realización de las entrevistas

Tarea 2.1.3. Analizar la información recogida

Actividad 2.2. Identificación y Agrupación de Activos

Tarea 2.2.1. Identificar Activos y grupos de Activos

Tarea 2.2.2. Identificar mecanismos de salvaguarda existentes

Tarea 2.2.3. Valorar Activos

Actividad 2.3. Identificación y Evaluación de Amenazas

Tarea 2.3.1. Identificar y Agrupar Amenazas

Tarea 2.3.2. Establecer los árboles de fallos generados por

amenazas

Actividad 2.4. Identificación y Estimación de Vulnerabilidades

Tarea 2.4.1. Identificar vulnerabilidades

72

Tarea 2.4.2. Estimar vulnerabilidades

Actividad 2.5. Identificación y Valoración de Impactos

Tarea 2.5.1. Identificar Impactos

Tarea 2.5.2. Tipificar Impactos

Tarea 2.5.3. Valorar impactos

Actividad 2.6. Evaluación del Riesgo

Tarea 2.6.1. Evaluar el riesgo intrínseco

Tarea 2.6.2. Analizar las funciones de salvaguarda existentes

Tarea 2.6.3. Evaluar el riesgo efectivo

Etapa 3. Gestión del Riesgo

Actividad 3.1. Interpretación del Riesgo

Tarea 3.1.1. (única) Interpretar los riesgos

Actividad 3.2. Identificación y Estimación de Funciones de salvaguarda

Tarea 3.2.1. Identificar funciones de salvaguarda

Tarea 3.2.2. Estimar la efectividad de las funciones de

salvaguarda

Actividad 3.3. Selección de Funciones de Salvaguarda

Tarea 3.3.1. Aplicar los parámetros de selección

Tarea 3.3.2. Evaluar el riesgo

Actividad 3.4. Cumplimiento de Objetivos

Tarea 3.4.1. (única) Determinar el cumplimiento de los objetivos

73

Etapa 4. Selección de Salvaguardas

Actividad 4.1. Identificación de mecanismos de salvaguarda

Tarea 4.1.1. Identificar los mecanismos posibles

Tarea 4.1.2. Estudiar mecanismos implantados

Tarea 4.1.3. Incorporar restricciones

Actividad 4.2. Selección de mecanismos de salvaguarda

Tarea 4.2.1. Identificar mecanismos a implantar

Tarea 4.2.2. Evaluar el riesgo (mecanismos elegidos)

Tarea 4.2.3. Seleccionar mecanismos a implantar

Actividad 4.3. Especificación de los mecanismos a implantar

Tarea 4.3.1. (única) Especificar los mecanismos a implantar

Actividad 4.4. Planificación de la Implantación

Tarea 4.4.1. Priorizar mecanismos

Tarea 4.4.2. Evaluar los recursos necesarios

Tarea 4.4.3. Elaborar cronogramas tentativos

Actividad 4.5. Integración de resultados

Tarea 4.5.1. (única) Integrar los resultados

2.1.4.5.2.3.1.2. Metodología MARION: Método documentado en dos

libros de los cuales el más actual es La Securité des reseaux-

Methodes et Techniques de J.M. Lamere y Leroux, J. Tourly. Tiene

74

dos productos: MARION AP+, para sistemas individuales, y MARION

RSX para sistemas distribuidos y conectividad.

Es un método cuantitativo y se basa en la encuesta anual de

miembros la base de incidentes francesa (C.L.U.S.I.F.). No contempla

probabilidades, sino esperanzas matemáticas que son aproximaciones

numéricas (valores subjetivos).

La MARION AP+ utiliza cuestionarios y parámetros correlacionados

enfocados a las distintas soluciones de contramedidas, en seis

categorías. Las categorías son: seguridad informática general,

factores socioeconómicos, concienciación sobre la seguridad de

software y materiales, seguridad en explotación y seguridad de

desarrollo.

El análisis de riesgos lo hace sobre diez áreas problemáticas. Estas

áreas son: riesgos materiales, sabotajes físicos, averías,

comunicaciones, errores de desarrollo, errores de explotación, fraude,

robo de información, robo de software, problemas de personal.

75

2.1.4.5.2.3.1.3. Metodología RISCKPAC: Todas las metodologías

que se desarrollan en la actualidad están pensadas para su aplicación

en herramientas. La primera de esta familia la desarrolló PROFILE

ANÁLISIS CORPORATION, y la primera instalación en cliente data de

1984. Según DATAPRO es el software más vendido.

Su enfoque es metodología cualitativa. Sus resultados son

exportables a procesadores de texto, bases de datos, hoja electrónica

o sistemas gráficos. Está estructurada en tres niveles: Entorno,

Procesador y Aplicaciones con 26 categorías de riesgo en cada nivel.

Tiene un “¿Qué pasa si...?” con un nivel de riesgo de evaluación

subjetiva del 1 al 5 y ofrece una lista de contramedidas o

recomendaciones básicas para ayudar al informe final o plan de

acciones.

2.1.4.5.2.3.1.4. Metodología CRAMM: Se desarrolló entre 1985 y

1987 por BIS y CCTA (Central Computer & Telecomunication Agency

Risk Análisis & Management Meted, Inglaterra). Implantado en más de

750 organizaciones en Europa, sobre todo de la administración

pública. Es una metodología cualitativa y permite hacer análisis “¿Qué

pasa si...?”.

76

2.1.4.5.2.3.1.5. Metodología PRIMA (Prevención de Riesgos

Informáticos con Metodología Abierta): Es un conjunto de

metodologías españolas desarrolladas entre los años 1990 y la

actualidad con un enfoque subjetivo. Sus características esenciales

son:

• Cubrir las necesidades de los profesionales que

desarrollan cada uno de los proyectos necesarios de

un plan de seguridad.

• Fácilmente adaptable a cualquier tipo de herramienta.

• Posee cuestionarios de preguntas para la identificación

de debilidades o faltas de controles.

• Posee listas de ayuda para los usuarios menos

experimentados de debilidades, riesgos y

contramedidas (sistema de ayuda).

• Permite fácilmente la generación de informes finales.

• Las “Listas de Ayuda” (Ver Figura 2.6.) y los

cuestionarios son abiertos, y por tanto es posible

introducir información nueva o cambiar la existente. De

ahí la expresión abierta de su nombre.

77

• Tiene un “¿Qué pasa si...?” cualitativo, y capacidad de

aprendizaje al poseer una base de conocimiento o

registro de incidentes que van variando las esperanzas

matemáticas de partida y adaptándose a los entornos

de trabajo.

FIGURA 2.4.

FASES DE LA METODOLOGÍA PRIMA

Check list Toma de Identificación Amenazas
datos Debilidades Vulnerabilidades

Ponderación Análisis del
Valoración Impacto y Riesgo
Económica
Definición de contramedidas
Prioridad Juegos de
Duración Valoración de contramedidas Ensayo
Coste Econ. (Opcionales)
Dificultad
Realización del Plan de
Debilidades Acciones y Proyectos
Riesgos Informe Final
Plan de Acciones
Plan de Proyectos

Con la misma filosofía abierta existen en la actualidad las siguientes

metodologías:

• Análisis de Riesgos.

78

• Plan de Contingencias Informática y de recuperación

del negocio.

• Plan de restauración interno informático.

• Clasificación de la información.

• Definición y desarrollo de procedimientos de control

informáticos.

• Plan de cifrado.

• Auditoría Informática.

• Definición y desarrollo de control de acceso lógico.

FIGURA 2.5.

LISTA DE AYUDA DE LA METODOLOGÍA PRIMA

Relación de
eventos por sector
Base de Datos de de actividad
Incidentes (A)
Estadísticas y
Gráficos
Relación de
Debilidades (B)

79

Relación de Riesgos
Menú Base de (C)
Datos del
Conocimiento Relación de
(10) contramedidas (D)

Conocimientos
Generales (E)

Relación de
Proyectos (F)

2.1.4.5.2.3.1.6. Metodología DELPHI: La siguiente metodología

analizada, es la Metodología Delphi. El esquema completo del método

Delphi es el siguiente:

1. Crear la matriz de Amenazas y Objetos: Al comienzo se debe

realizar una reunión con todo el personal involucrado en el trabajo.

Esta reunión tiene por objeto no sólo identificar las amenazas y los

objetos del área, sino también establecer nombres cortos para

denominar las amenazas y los objetos y redactar una breve definición

de cada uno de ellos.

2. Identificar los controles necesarios: Este paso debe darse al

comienzo en la reunión del grupo de personas involucradas en el

80

área. Es allí donde se precisan los controles para salvaguardar los

objetos en relación con las amenazas.

Los miembros del grupo deben discutir los controles que deberán

incluirse. A medida que esos controles se van admitiendo, es

necesario crear una lista con los siguientes datos:

 Número de Identificación,

 Nombre corto que distingue a cada control,

 Breve descripción sobre la funcionalidad y utilidad del

control,

 Identificación de la persona responsable de la

implementación de los controles.

3. Registrar los controles dentro de la matriz: Este paso se ejecuta

para colocar dentro de las celdas el número de identificación de los

controles

4. Categorizar los riesgos: Aquí se identifican las áreas de alto, medio

y bajo riesgo, colocándolas en orden de nivel de exposición. Para la

81

ejecución de este paso se utiliza el método Delphi y la comparación de

los niveles de riesgo.

El método Delphi, consiste en reunir a un grupo de expertos para

solucionar determinados problemas. Dicho grupo realiza la

categorización individual de las amenazas y de los objetos de riesgo.

El equipo Delphi sesiona conjuntamente para combinar sus

experiencias en la realización de las siguientes tareas:

 Categorizar las amenazas por niveles de riesgos. (Ver

Anexo 6) Para efecto de este ejercicio, se ha organizado un

grupo de cinco personas, quienes se someten a votación

hasta completar la matriz. (Ver Anexo 7) La categorización

se obtiene sumando como se muestra en el anexo 8. Luego

se suman los dos votos para obtener el total final de cada

amenaza. El resultado se utiliza para producir una lista de

categorización de amenazas, por niveles de riesgo de mayor

a menor. (Ver Anexo 8).

 Categorizar la Sensibilidad de los Objetos: Este proceso se

inicia copiando los objetos que registra la matriz de control

82

de riesgos en una hoja de comparación de categorías de

riesgos (Ver Anexo 9). Para categorizar la sensibilidad de

los objetos se utiliza la percepción que tenga cada uno de

los miembros del equipo Delphi sobre cuál objeto de cada

pareja de objetos puede causar mayor pérdida económica si

se daña o causa demoras en el procesamiento. El grupo

vota hasta completar la matiz (Ver Anexo 10). Después se

suman los resultados derechos de diagonales de las

columnas, en forma vertical, y luego se suman los

resultados izquierdos de las diagonales de las columnas, en

forma horizontal, en el sentido de las filas de la matriz. Se

suman los resultados para obtener el total final. (Ver Anexo

11).

 Combinar las dos Categorías: Una vez terminadas las dos

categorías, se elabora una matriz de control de riesgos,

colocando los totales en orden de mayor a menor, en los

dos casos. (Ver Anexo 12).

 Seguidamente se multiplican los correspondientes valores y

con los resultados se organiza una matriz. Terminada esta

83

operación se procede a obtener el nivel de riesgo /

sensibilidad de las celdas de acuerdo con el valor del

producto. Puede ser que al terminar este proceso se

presenten repeticiones.

 Dividir las celdas en regiones de mayor, mediano y menor

riesgo: Este proceso se realiza dividiendo la cantidad de

niveles de riesgo / sensibilidad por cinco (número de

personas del grupo). El cociente se utiliza para indicar las

celdas de mayor o menor riesgo. De manera que las celdas

con niveles de riesgo / sensibilidad inferiores o iguales al

cociente son las celdas de mayor riesgo. Las celdas con

niveles de riesgo / sensibilidad superiores al cociente e

inferiores o iguales a tres veces el cociente son las celdas

de mediano riesgo y las celdas con niveles de riesgo /

sensibilidad superiores a tres veces el cociente son las

celdas de bajo riesgo.

En la matriz se resta al número de celdas las repeticiones (si

es que las hay), para efectos del cálculo. Este valor es

dividido para el número de personas del grupo obteniendo

84

un cociente con el cual se organiza el cuadro de riesgo /

sensibilidad y la matriz correspondiente. (Ver Anexo 13)

5. Diseñar los controles Definitivos: Con el resultado del trabajo

apoyados en el método Delphi, se diseñan y documentan

definitivamente los controles a nivel: preventivo, detectivo y correctivo,

de acuerdo con el área que se esté analizando.

Este es un trabajo dispendioso, debido a que todo depende del

conocimiento que se tenga del área informática y del sistema de

control interno informático deseable.

6. Resultados del Análisis de Riesgos. Los resultados del análisis de

riesgos, deben ser escritos y dados a conocer oportunamente para

que sean incorporados en el área analizada.

2.1.4.5.3. Metodologías de Auditoria Informática: Las únicas

metodologías que podemos encontrar en la auditoría informática son

dos familias distintas: las auditorias de Controles Generales como

producto estándar de la de Auditores Profesionales, que son una

85

homologación de las mismas a nivel internacional, y las Metodologías

de los auditores internos.

Entre las dos metodologías de valuación de sistemas (análisis de

riesgos y auditoría) existen similitudes y grandes diferencias. Ambas

tienen papeles de trabajo obtenidos del trabajo de campo tras el plan

de entrevistas, pero los cuestionarios son totalmente distintos.

Las metodologías de auditoria son del tipo cualitativo / subjetivo. Se

puede decir que son las subjetivas por excelencia. Por lo tanto, están

basadas en profesionales de gran nivel de experiencia y formación,

capaces de dictar recomendaciones técnicas, operativas y jurídicas,

que exigen una gran profesionalidad y formación continuada. Sólo así

esta función se consolidará en las entidades, esto es, por el “respeto

profesional” a los que ejercen la función.

El concepto de las metodologías de análisis de riesgos de “tiempos

medios” es más bien para consultores profesionales que para

auditores internos.

86

2.1.4.5.4. Metodologías de Clasificación de la Información y de

Obtención de los Procedimientos de Control:

2.1.4.5.4.1. Clasificación de la Información: No es frecuente

encontrar metodologías de este tipo, pero la metodología PRIMA tiene

dos módulos que desarrollan estos dos aspectos que se muestran a

continuación.

Se podría preguntar si es suficiente con un análisis de riesgos para

obtener un plan de contramedidas que nos llevará a una situación de

control como se desea. La respuesta es no, dado que todas las

entidades de información a proteger no tienen el mismo grado de

importancia, y el análisis de riesgos metodológicamente no permite

aplicar una diferenciación de contramedidas según el activo o recurso

que protege, sino por la probabilidad del riesgo analizado.

Tiene que ser otro concepto, esto es “si se identifican distintos niveles

de contramedidas para distintas entidades de información con distinto

nivel de criticidad, se estará optimizando la eficiencia de las

contramedidas y reduciendo los costos de las mismas”.

87

Esta metodología es del tipo cualitativo, y como el resto de la

metodología PRIMA tiene listas de ayuda con el concepto abierto, esto

es, que el profesional puede añadir en la herramienta niveles o

jerarquías, estándares y objetivos a cumplir por nivel, y ayudas de

contramedidas.

O sea los factores a considerar son los requerimientos legislativos, la

sensibilidad a la divulgación (confidencialidad), a la modificación

(integridad), y a la destrucción.

Las jerarquías suelen ser cuatro, y según se trate de óptica de

preservación o de protección, los cuatro grupos serían: Vital, Crítica,

valuada y No sensible.

PRIMA, aunque permite definirla a voluntad, básicamente define:

• Estratégica (información muy restringida, muy

confidencial, vital para la subsistencia de la empresa).

• Restringida (a los propietarios de la información).

• De uso interno (a todos los empleados).

• De uso general (sin restricción).

88

Los pasos de la metodología son los siguientes:

1. Identificación de la Información.

2. Inventario de Entidades de Información Residentes y Operativas.

Inventario de programas, archivos de datos, estructuras de datos,

soportes de información, etc.

3. Identificación de Propietarios. Son los que necesitan para su

trabajo, usan o custodian la información.

4. Definición de jerarquías de información. Suelen ser cuatro, por que

es difícil distinguir entre más niveles.

5. Definición de la Matriz de Clasificación. Esto consiste en definir las

políticas, estándares, objetivos de control y contramedidas por

tipos y jerarquías de información.

6. Confección de la Matriz de Clasificación. En esta fase se

complementa toda la matriz, asignándole a cada entidad un nivel

de jerarquía, lo que se asocia a una serie de hitos a cumplir, para

cuyo cumplimiento se deberán desarrollar acciones concretas en el

punto siguiente.

7. Realización del Plan de Acciones. Se confecciona el plan detallado

de acciones. Por ejemplo, se reforma una aplicación de nóminas

89

para que un empleado utilice el programa de subidas de salario y

su supervisor lo apruebe.

8. Implantación y Mantenimiento. Se implanta el plan de acciones y

se mantiene actualizado.

Y así se completa esta metodología.

2.1.4.5.4.2. Obtención de los Procedimientos de Control: Otra

Metodología necesaria para la obtención de los controles es “la

Obtención de los Procedimientos de Control”. Es frecuente encontrar

manuales de procedimientos en todas las áreas de la empresa que

explican las funciones y cómo se realizan las distintas tareas

diariamente, siendo éstos necesarios para que los auditores realicen

sus revisiones operativas, evaluando si los procedimientos son

correctos y están aprobados y sobre todo si se cumplen.

Pero se podría preguntar si desde el punto de vista de control

informático es suficiente y cómo se podrían mejorar.

La respuesta es dada por la metodología que se expone a

continuación, que dará otro plan de acciones que contribuirá

90

sumándose a los distintos proyectos de un plan de seguridad para

mejorar el entramado de contramedidas.

La metodología se muestra a continuación:

Fase I. Definición de Objetivos de Control.

Tarea 1: Análisis de la empresa. Se estudian los procesos,

organigramas y funciones.

Tarea 2: Recopilación de estándares. Se estudian todas las

fuentes de información necesarias para conseguir definir en la

siguiente fase los objetivos de control a cumplir (por ejemplo:

ISO, CISA, etc).

Tarea 3: Definir los objetivos de control.

Fase II. Definición de los Controles.

Tarea 1: Definir los controles. Con los objetivos de control

definidos, se analizan los procesos y se va definiendo los

distintos controles que se necesiten.

Tarea 2: Definición de Necesidades Tecnológicas (hardware y

herramientas de control).

91

Tarea 3: Definición de los Procedimientos de Control. Se

desarrollan los distintos procedimientos que se generan en las

áreas usuarias, informática, control informático y control no

informático.

Tarea 4: Definición de las necesidades de recursos humanos.

Fase III. Implantación de los Controles.

Una vez definidos los controles, las herramientas de control y los

recursos humanos necesarios, no resta más que implantarlos en

forma de acciones específicas.

Terminado el proceso de implantación de acciones habrá que

documentar los procedimientos nuevos y revisar los afectados de

cambio. Los procedimientos resultantes serán:

• Procedimientos propios de control de la actividad informática

(control interno informático).

• Procedimientos de distintas áreas usuarias de la informática,

mejorados.

• Procedimientos de áreas informáticas, mejorados.

92

• Procedimientos de control dual entre control interno

informática y el área informática, los usuarios informáticos, y

el área de control no informático.

2.1.4.5.5. Metodología de Evaluación de Riesgos: Este tipo de

metodología, conocida también por risk oriented approach, es la que

propone la ISACA, y empieza fijando los objetivos de control que

minimizan los riesgos potenciales a los que está sometido el entorno.

2.2. Definiciones Conceptuales

Alcance: Distancia a que llega una cosa. Efectuada la revisión de

antecedentes, se procede a preparar el programa de auditoria,

precisando periodo y alcance del examen.

93

Antecedente: Todo lo que sirve para juzgar hechos posteriores.

Acordada la realización de una auditoria, el grupo designado para

practicarla efectúa una revisión de antecedentes con el estudio de

papeles de trabajo e informes anteriores.

Auditoría: Examen objetivo, sistemático, profesional e independiente,

aplicado a una organización por un auditor competente.

Características: Cualidades o rasgos que sirven para distinguir una

persona o una cosa de sus semejantes. La consideración de las

características de la organización es fundamental en la implantación y

desarrollo de la auditoria interna.

Control en TI: Las políticas, procedimientos, prácticas y estructuras

organizacionales diseñadas para garantizar razonable-mente que los

objetivos del negocio serán alcanzados y que eventos no deseables

serán prevenidos o detectados y corregidos

94

Criterio: Pauta, norma, regla para conocer la verdad; juicio,

discernimiento frente a un asunto determinado. El auditor fundamenta

su trabajo en la evaluación del cumplimiento de criterios establecidos.

Ningún tipo de auditoria es posible si no hay criterios establecidos

sobre los cuales un auditor debe evaluar.

Cronograma: Relación de actividades por desarrollar en fechas

determinadas, las cuales hacen parte de los planes y programas de

las organizaciones y a su vez se constituye en un mecanismo del

control interno.

Desempeñar: Hacer aquello a lo que uno está obligado, lo cual debe

estar garantizado en un alto grado por los mecanismos de control.

Diagnóstico: Análisis que permite determinar el conjunto de síntomas

o características de la evolución o el desarrollo de un proceso

determinado, el cuál resulta muy útil para conocer el grado de

desarrollo y fortalecimiento del sistema de control interno de una

organización.

95

Diseño: Bosquejo formal de un proceso o cosa. Diseño de los

elementos y mecanismos del sistema de control interno.

Economía: Administración recta y prudente de los bienes. A este

requisito que debe tener toda organización debe contribuir

permanentemente el sistema de control interno y de auditoria interna.

Eficacia: Virtud, fuerza y poder para obrar.

Eficiencia: Logro de metas y objetivos en términos de cantidad y

calidad. Virtud y facultad para lograr un efecto determinado.

Énfasis: Fuerza de expresión o entonación. Los programas de

auditoria se confeccionan sobre la base de poner énfasis en las áreas

más importantes y las áreas donde los controles internos son

deficientes.

Estrategia: Procedimiento o plan que se aplica para lograr un

propósito u objetivo.

96

Ética: Parte de la filosofía que trata de la moral y de las obligaciones

del hombre. El auditor cuenta con su propia ética profesional para el

desarrollo de sus funciones.

Evaluar: Valorar, estimar el valor de las cosas o situaciones.

Evidencia: La evidencia se constituye en el soporte y respaldo a las

afirmaciones dadas.

Fase: Cualquiera de los aspectos o cambios dentro de un proceso.

Función: Es el conjunto de actividades u operaciones que dan

características propias y definidas a un cargo, para determinar niveles

de responsabilidad y autoridad, y deben estar formuladas y

documentadas en un manual de funciones y procedimientos el que a

su vez se constituye en el elemento de control.

Gobierno de TI: Una estructura de relaciones y procesos para dirigir y

controlar la empresa con el fin de lograr sus objetivos al añadir valor

97

mientras se equilibran los riesgos contra el re-torno sobre TI y sus

procesos.

Implantar: Establecer y poner en ejecución doctrinas nuevas,

prácticas o costumbres.

Informática: Aplicación racional, sistemática de la información para el

desarrollo económico, social y político.

Inherente: Unido inseparablemente y por naturaleza a una cosa. El

riesgo es inherente al desarrollo de las actividades de una

organización por lo que no se pueden orientar todos los recursos a

eliminarlo totalmente. Lo importante es identificarlo y manejarlo.

Integridad: Calidad de íntegro. Que tiene todas sus partes. Los

papeles de trabajo protegen la integridad profesional del auditor y

ayudan a justificar su actuación.

Manual: Documento guía que describe asuntos o actividades de

acuerdo con un ordenamiento lógico, y está sujeto a permanente

98

evaluación y actualización. Es una de las fuentes de criterios a evaluar

dentro del análisis de riesgos.

Mecanismos: Combinación de partes que producen o transforman un

movimiento. Para que exista un buen control se deben establecer

mecanismos de seguimiento y control.

Método: Modo de obrar con orden. La evaluación de control interno

por el método de cuestionario consiste en convertir en preguntas

todas las normas de control interno, de tal manera que una respuesta

afirmativa indique la existencia y observación de la norma y una

respuesta negativa indique su ausencia o incumplimiento.

Normas: Son los requisitos de calidad relativos a la persona del

auditor, al trabajo que realiza y a la emisión de su opinión.

Objetivo: Relativo al objeto en sí y no a nuestro modo de pensar o

sentir. El informe debe presentar comentarios, conclusiones y

recomendaciones en forma objetiva.

99

Objetivo de Control: Una sentencia del resultado o propósito que se

desea alcanzar implementando procedimientos de control en una

actividad de TI particular.

Oportunidad: Se refiere a la época en que se deben aplicar los

procedimientos del análisis, de tal forma que se obtengan los

resultados más eficientes que sean posibles.

Organización: Unión voluntaria de una serie de individuos; está

integrada por múltiples vínculos contractuales entre factores

(personas, servicio y procesos) con una función de asignación

eficiente de los recursos y bajo la dirección y coordinación de una

autoridad directiva.

Planear: Trazar, formar, disponer el plan de una obra. Forjar planes.

Ponderar: Pesar, determinar el peso de una cosa. Examinar con

atención las razones de una cosa para formar un juicio de ella.

100

Principios: Base, origen, fundamento máximo por el que cada quien

rige sus actuaciones. La actuación del auditor está regida por

principios éticos profesionales.

Procedimiento: Método para hacer alguna cosa. Entonces podemos

referirnos a procedimientos operativos, administrativos y de control.

Proceso: Conjunto de fases sucesivas de un fenómeno o asunto, las

cuales son controladas, supervisadas y evaluadas por el sistema de

control interno.

Programa: Escrito que indica las condiciones de un análisis. El auditor

debe formular un programa general de trabajo que incluye un resumen

de las actividades a desarrollar.

Recomendación: Encargo que se hace a una persona respecto de

otra o de alguna cosa. El informe del análisis debe tener

recomendaciones que permitan subsanar las deficiencias

encontradas.

101

Recursos Materiales: Todo lo referente a mobiliario de oficina y

equipos de computación con que cuenta la organización.

Relevante: Sobresaliente, excelente, importante. El informe del

análisis debe brindar la información necesaria y relevante relacionada

con el examen practicado.

Sábana: Refiérase a los reportes largos que se imprimían antes.

Semicuantificar: Asignar rangos numéricos a las características Alto,

Medio, y Bajo.

Sistemático: Que sigue un sistema. Dícese de quien procede por

principios sometiéndose a un sistema fijo en su conducta, escritos,

opiniones. Es una de las características del examen de auditoría.

Técnica: Conjunto de procedimientos de un arte o ciencia. Habilidad

para usar esos procedimientos. En el desarrollo del examen de

auditoría se hace uso de las técnicas de auditoría.

102

Técnicas: Son los recursos prácticos de investigación y prueba que el

auditor utiliza para obtener la información que necesita.

Verificar: Probar que es verdad una cosa que se duda. La auditoría

es un examen que verifica y evalúa determinadas áreas de una

empresa.

12. tesis. capítulo 2

Más contenido relacionado

La actualidad más candente (20)

Similar a 12. tesis. capítulo 2 (20)

12. tesis. capítulo 2