COMO IDENTIFICAR, ANALIZAR Y GESTIONAR RIESGOS EN EL DESARROLLO DE SOFTWARE
Existen
varias metodologías de análisis de riesgos como: OCTAVE, MEHARI, MAGERIT, CRAMM, EBIOS y NIST SP
800-30, las cuales se orientan hacia el mismo objetivo,
pero tienen características propias que las hacen atractivas para las empresas en todos los sectores.
METODOLOGÍAS DE ANÁLISIS
DE RIESGOS
OCTAVE
La metodología OCTAVE (Operationally Critical Threats Assets and Vulnerability Evaluation)
[5], desarrollada por el Equipo de Respuesta ante
Emergencias Informáticas (CERT, por sus siglas
en inglés), evalúa los riesgos de seguridad de la
información y propone un plan de mitigación de
los mismos dentro de una empresa. Por tanto, se tienen en cuenta las necesidades de la empresa donde se está implementando, permitiendo
reducir los riesgos de seguridad de información,
para lograr una mayor protección a estos elementos dentro del sistema. OCTAVE equilibra aspectos de riesgos operativos, prácticas de seguridad
y tecnología para que a partir de éstos, los entes
empresariales puedan tomar decisiones de protección de información basado en los principios
de la seguridad de la información. Esta metodología persigue dos objetivos específicos que
son: concientizar a la organización que la seguridad informática no es un asunto solamente técnico y presentar los estándares internacionales que
guían la implementación de seguridad de aquellos
aspectos no técnicos .
Hasta la fecha han sido publicadas tres metodologías de este tipo: OCTAVE que ha sido definida
para grandes organizaciones de trecientos o más
empleados, OCTAVE – S que se enfoca para pequeñas empresas, por ejemplo, PYMES con veinte a ochenta empleados y finalmente, OCTAVE
ALLEGRO que permite analizar riesgos con mayor enfoque en activos de información, cada
una de estas metodologías ejecuta las fases mencionadas con algunas variaciones dependiendo de
las necesidades.
Con una metodología de análisis de riesgos como
OCTAVE la empresa puede obtener beneficios
como: dirigir y gestionar adecuadamente sus evaluaciones de riesgos, tomar decisiones basándose
en los mismos, proteger los activos de información y, por último, comunicar de forma efectiva
la información clave de seguridad los cuales
se derivan de las siguientes características: en
primera medida, se establecen equipos auto dirigidos dentro de la organización con la finalidad
de dar solución a las necesidades de seguridad
que esta puede tener. Y por otro lado, se dice que
este método es FLEXIBLE ya que es adaptable a
todo tipo de organización independientemente del entorno porque se basa en los riesgos, la capacidad de recuperación y la experiencia que se tenga en este tema. Finalmente, es importante
mencionar que OCTAVE busca asegurar la continuidad del negocio, identificar y medir riesgos,
establecer controles para mitigarlos, conservar la
información (activo más importante) e intervenir
en todas las dependencias de la organización, ya
que de esta manera puede aprovechar al máximo
el conocimiento de los distintos niveles de la empresa.
MEHARI
MEHARI (Method for Harmonized Analysis of
Risk), es definida por la organización francesa especializada en la seguridad de los sistemas
de información (CLUSIF) como una metodología
que proporciona un conjunto de herramientas que
permiten hacer un análisis de riesgos cualitativo y
cuantitativo, cuando sea necesario para tener una
adecuada gestión de seguridad. De lo anterior, se deduce que está diseñada para acompañar
los procesos de análisis de riesgos empresariales
tanto actuales como futuros. En la metodología
MEHARI se hace un análisis de la seguridad basado en tres criterios básicos: confidencialidad,
integridad y disponibilidad.
MAGERIT
MAGERIT (Metodología de Análisis y Gestión
de Riesgos de los Sistemas de Información) es
reconocida por ENISA (Agencia Europea de Seguridad de las Redes y de la Información) y
promovida por el Consejo Superior de Administración Electrónica con el fin de sistematizar el
análisis de los riesgos que pueden presentar los
activos de una organización. Esta metodología es importante porque el crecimiento de la
tecnología dentro de las organizaciones se está
dando de manera exponencial y, por lo tanto, es
necesario minimizar los riesgos asociados al uso
de los sistemas garantizando la autenticidad, confidencialidad, integridad, disponibilidad y
trazabilidad de los mismos, con la finalidad de generar confianza en los clientes tanto internos como externos de la organización; de igual
manera, presenta una guía de cómo llevar a cabo
el análisis de riesgos y se divide en 3 libros, el primero describe la estructura del modelo de gestión
de riesgos, el segundo presenta el inventario para
enfocar el análisis de riesgos y el último compila
una guía de técnicas de trabajo para dicho fin.
MAGERIT fue creada con el fin de cumplir con
objetivos como conocer el estado de seguridad de
los sistemas de información y la implementación
de medidas de seguridad, garantizar que no hayan
elementos que queden fuera del análisis para que
haya una profundidad adecuada en el mismo, mitigar las vulnerabilidades y asegurar el desarrollo
del sistema en todas las fases de desarrollo.
Estos objetivos han posicionado a MAGERIT
como una de las metodologías más utilizadas en
el ámbito empresarial ya que les permite prepararse para procesos de auditorías, certificaciones
y acreditaciones.
CRAMM
CRAMM (CCTA Risk Analysis and Management Method), es el método de análisis y
control de riesgos de la Central Computer and Telecommunications Agency (CCTA) del gobierno
británico, permite identificar, medir y reducir al
mínimo los ataques a los que están expuestas las
organizaciones día a día y es definida como una
metodología que aplica los conceptos de manera
formal, estructurada y disciplinada protegiendo
los principios de seguridad de la información de
un sistema y de sus activos. Cabe resaltar que CRAMM realiza un análisis de riesgos
cualitativo y cuantitativo por lo que se conoce
como una metodología mixta, ésta se apoya de
una herramienta de gestión, lo que permite a las
organizaciones tener una visión clara y priorizada de las amenazas a las que está expuesta y que
pueden afectar los recursos y la continuidad del
negocio, basándose en una matriz donde las
filas representan los activos y las columnas los riesgos que podrían afectar la integridad, disponibilidad y confidencialidad de los mismos,
por otro lado, CRAMM proporciona información
acerca de las características de funcionamiento
del sistema y una identificación profunda y clara
de los activos que se encuentran más expuestos.
Los elementos que se deben tener en cuenta para
realizar un adecuado análisis de riesgos con la
metodología CRAMM son: activos, vulnerabilidades, riesgos, amenazas, contramedidas, implementación y auditoría, los cuales permiten obtener un mejor resultado y asegurar la continuidad
de negocio.
EBIOS
EBIOS (Expresión de las Necesidades e Identificación de los Objetos de Seguridad), es una
metodología francesa de gestión de riesgos, fue
creada por la dirección Central de seguridad de
los sistemas de Información de Francia DCSSI,
con el fin de posibilitar la comunicación con los
clientes internos y externos para contribuir al proceso de la gestión de riesgos de seguridad de los
sistemas de información, de igual manera,
ayuda a la empresa a tener un mayor reconocimiento en sus actividades de seguridad ya que
esta tiene compatibilidad con las normas internacionales como la ISO.
Este procedimiento permite a la organización tener un mayor conocimiento de sus activos y las
necesidades de seguridad identificando las amenazas y vulnerabilidades a las que se encuentran
expuestos para su posterior mitigación.
NIST SP 800:30
(Guía de Gestión de Riesgos de los Sistemas de Tecnología de la Información), Es
un estándar desarrollado por el Instituto Nacional
de Estándares y Tecnología (NIST), fue formulado para la evaluación de riesgos de seguridad de
la información especialmente a los sistemas de TI
(Tecnología de la Información), proporciona un
guía para la seguridad de las infraestructuras de
la misma desde una perspectiva técnica. Por
otro lado, esta guía provee fundamentos para la
administración de riesgos así como la evaluación
y mitigación de los riesgos identificados dentro
del sistema de TI con el objetivo de apoyar a las
organizaciones con todo lo relacionado a Tecnología.
La metodología NIST SP 800:30 está compuesta por nueve fases: caracterización del sistema,
la cual permite establecer el alcance y los límites
operacionales de la evaluación de riesgos en la
empresa; identificación de amenazas, es donde
se definen las fuentes de motivación de las mismas; identificación de vulnerabilidades, en esta
fase desarrolla una lista de defectos o debilidades
del sistema que podrían ser explotadas por una
amenaza; análisis de controles; determinación de
la probabilidad; análisis de impacto; fase de determinación del riesgo, ayuda a evaluar el riesgo
en el sistema de información, recomendaciones
de control en donde se proporcionan los controles
que podrían mitigar el riesgo identificado disminuyendo hasta un nivel aceptable, finalmente
está la documentación de resultados la cual genera un informe con la descripción de amenazas y
vulnerabilidades, midiendo el riesgo y generando
recomendaciones para la implementación de controles.
RAZONES POR LAS CUALES SE
DEBE APLICAR UNA METODOLOGÍA
DE ANÁLISIS DE RIESGOS EN LA
EMPRESA
En este entorno empresarial, creciente y complejo
es importante que las empresas tomen conciencia de aplicar continuamente una metodología de
análisis de riesgo para garantizar el rendimiento
de los sistemas y procesos dentro de la organización, algunas de las razones por las que las empresas deben utilizarla son:
• Permite tener claramente identificados los activos y las políticas de seguridad para que a
partir de estos se puedan tomar decisiones y
hacer mejoras en los procesos internos de la
organización.
• Se garantiza la continuidad de negocio ya
que permite tener en cuenta componentes y
factores tanto internos como externos que
intervienen en los objetivos misionales de la
organización.
• Proporciona herramientas que permiten mitigar los riesgos a los que está expuesta la organización por medio de la creación de planes de contingencia y controles que aseguren el
los sistemas de información.
• Por medio de los procesos de auditabilidad,
las metodologías de análisis permiten encontrar inconsistencias
dentro del sistema que no han sido identificadas y no se sospechaba de su existencia.
• Con la ayuda de las metodologías de análisis
de riesgos, las empresas pueden optimizar sus
procesos y obtener un retorno de inversión.
