ISO 27005: ¿Cómo identificar los riesgos?

ISO 27005

La norma ISO 27005 contiene diferentes recomendaciones y directrices generales para la gestión de riesgo en Sistemas de Gestión de Seguridad de la Información. Puedes conocer más sobre la norma ISO 27005 en el siguiente post ISO/IEC 27005. Gestión de riesgos de la Seguridad la Información.

Es compatible con los conceptos generales especificados en la norma ISO 27001 y se encuentra diseñada como soporte para aplicar de forma satisfactoria un SGSI basado en el enfoque de gestión de riesgo.

La norma ISO 27005 reemplaza a la norma ISO 13335-2 “Gestión de Seguridad de la Información y la tecnología de las comunicaciones”. La norma fue publicada por primera vez en junio de 2008, aunque existe una versión mejorada del año 2011.
El riesgo se define como una amenaza que explota la vulnerabilidad de un activo pudiendo causar daños. El riesgo se encuentra relacionado con el uso, propiedad, operación, distribución y la adopción de las tecnologías de la información de la empresa. Aunque no existe un método concreto de cómo gestionar riesgos, se recomienda utilizar un proceso estructurado, sistemático y riguroso de análisis de riesgos para la creación del plan de tratamiento de riesgos.

Los indicadores de riesgo muestran si la empresa se encuentra sujeta o tiene alta probabilidad de ser sometida a un riesgo que excede el riesgo permitido.

Gestión de Riesgos en Tecnologías de la Información con ISO 27005

La gestión del riesgo es una actividad recurrente que se refiere al análisis, a la planificación, la ejecución, el control y el seguimiento de todas las medidas implantadas y la política de seguridad que ha sido impuesta.

La actualización del establecimiento, mantenimiento y mejora continua de un SGSI ofrecen una clara indicación de que una organización está utilizando un enfoque sistemático para la identificación, evaluación y gestión de riesgos de seguridad de la información.

Identificación de riegos

Un evento solo es un riesgo si existe un grado de incertidumbre. El valor de un activo puede cambiar su valor durante la ejecución de un proyecto, por experiencia esto es cierto pero ¿Cuánto puede cambiar? No lo sabemos. Por lo tanto es un riesgo que debemos evitar en un proyecto pequeño. Debemos estar seguros de identificar el riesgo en realidad y no sus causas o efectos.

Si consideramos otro ejemplo, debemos instalar una determinada aplicación de software en varias sucursales de una organización, pero no todas las oficinas poseen la misma capacidad de almacenamiento o de las últimas actualizaciones de sistemas operativos.

• ¿Es un riesgo la instalación? No, es un requisito.
• ¿Es un riesgo de que alguna sucursal termine sin usar la aplicación? No, este es un efecto en este proyecto, sin embargo puede ser un riesgo futuro que la sucursal no tenga la aplicación.
• ¿Es un riesgo que la aplicación no se pueda instalar por algún motivo? Sí, es incierto, solo lo sabremos cuando los intentemos.

Ejemplos de riesgos en IT

• Aplicaciones en condiciones vulnerables
• Sistemas operativos, vulnerables y sin actualizaciones
• Diseñar aplicaciones inapropiadas, incompletas, con bugs y errores recurrentes
• Tecnologías obsoletas
• Mal rendimiento de la infraestructura IT

Evaluación de los riesgos

Es necesario establecer un vínculo entre los escenarios de riesgos IT y el impacto empresarial que estaos generarían, para así comprender el efecto de los eventos adversos que se pueden desencadenar.

La evaluación de riesgos se ejecuta en los puntos discretos de tiempo y hasta que el rendimiento de la próxima evaluación proporciona una visión temporal de los riesgos evaluados.
La evaluación de riesgos se realiza a menudo en más de una interación, la primera es una evaluación de alto nivel para identificar los riesgos altos, mientras que las interacciones posteriores detallan el análisis de los riesgos principales y tolerables. Varios factores ayudan a seleccionar eventos con cierto grado de riesgo:

• Probabilidad
• Consecuencias
• Ocurrencia
• Urgencia
• Maleabilidad
• Dependencia
• Proximidad

La evaluación de riesgos requiere de los siguientes puntos:

• Un estudio de la vulnerabilidad, amenazas, probabilidad, pérdidas y la eficacia de las medidas de seguridad. Los directivos de la empresa utilizan los resultados de la evaluación del riesgo para desarrollar los requisitos de seguridad y sus especificaciones.
• El proceso de evaluación de amenazas y vulnerabilidades, para estimar el efecto producido en caso de pérdidas y establecer el grado de aceptación y aplicabilidad de las operaciones del negocio.
• Identificar los activos y las facilidades que pueden ser afectadas por las amenazas y vulnerabilidades.
• Análisis de los activos del sistema y las vulnerabilidades para establecer un estimado de pérdida esperada en caso de que ocurra ciertos eventos y la probabilidad estimada cuando ocurra. El propósito de una evaluación del riesgo es determinar si las contramedidas son adecuadas para reducir la probabilidad de la pérdida o impacto de la pérdida dentro del nivel aceptable.
• Es una herramienta de gestión que proporciona un enfoque sistemático que determine el valor relativo a: la sensibilidad al instalar activos informáticos, la evaluación de vulnerabilidades, la evaluación de la expectativa de pérdidas, la percepción de los niveles de exposición al riesgo, la evaluación de las características de protección existentes, las alternativas adicionales de protección, la aceptación de riesgos y la documentación de las decisiones de gestión.

Software ISO 27001

El Software ISOTools Excellence para la norma ISO 27001, se encuentra capacitado para responder a numerosos controles para el tratamiento de la información gracias a las aplicaciones que contiene y que son totalmente configurables según los requerimientos de cada organización. Además, este software permite la automatización del Sistema de Gestión de Seguridad de la Información.