Análisis de riesgos. Un caso práctico. Ing. Jorge Eterovic, MBA

Análisis de riesgos. Un caso práctico.

Descripción de la organización Tipo de Organización Universidad Nacional Actividad principal Educación Universitaria de pregrado, grado y posgrado Personas que la integran 18.000 alumnos activos 1.200 profesores e investigadores 400 empleados administrativos Localización física La Universidad ocupa un predio de 10 hectáreas en la localidad de San Justo, gran Buenos Aires. Anteriormente fue una fábrica de automóviles. Análisis de riesgos. Un caso práctico.

¿Que debemos proteger? Hardware Electrónica de Red Software 580 Computadoras personales, 180 Impresoras, 20 Scanners, 2 Plotters, 7 Notebooks, 15 Proyectores, 10 Retroproyectores, 20 Servidores de Red, 1 Central telefónica, 1 Robot de Backup, 1UPS de 12 KVA para los servidores, 30 UPS de 600 VA para PC´s de usuarios Electrónica de Red 1 Switch Router layer 3, 2 Routers, 1 Array de 10 Modems analógicos, 12 Racks departamentales de comunicaciones 12 Switches departamentales con conexión de fibra óptica, 22 Hubs, Backbone de la red de datos (fibra óptica), 1000 bocas de red Categoría 5E Software De base (sistemas operativos Windows, Mac, Solaris, Linux) Utilitarios (Office, Autocad, Corel Draw, Netscape) Desarrollos propios Sistemas desarrollados por el Ministerio de Educación y customizados (recursos humanos, contable, de alumnos,tesorería) Información Académica, De los alumnos, Del personal de la Universidad, Administrativa, Contable, Bibliotecológica Back-up de información Diskettes, CD-ROM´s, DAT´s, Zips Discos rígidos Análisis de riesgos. Un caso práctico.

Análisis de riesgos. Un caso práctico. En el análisis de riesgos se deben responder las preguntas: ¿A qué riesgos en la seguridad informática está expuesta la Universidad? ¿Qué probabilidad hay de que se produzca un incidente de seguridad para cada uno de los riesgos encontrados? ¿Qué nos arriesgamos a perder en caso de ocurrir cada uno de los riesgos? Análisis de riesgos. Un caso práctico.

Análisis de riesgos. Un caso práctico. Amenazas Análisis de riesgos. Un caso práctico.

Análisis de riesgos (I) Terremoto Provocaría la destrucción de la infraestructura, los equipos y la información almacenada. Fuego Puede destruir la infraestructura, los equipos, la información computarizada y la información en papel. Inundación Implicaría pérdida de equipos, de información o indisposición de los mismos y de los sectores de trabajo. Rayo Implicaría perdida de equipos (total o parcial) y/o indisposición de algunos servicios (enlaces). Vientos fuertes Pérdida o destrucción de antenas de comunicación de datos Robo o hurto (físico) Implicaría el robo de las computadoras (o parte de ellas) y la información que contienen, backups, documentación de respaldo, etc. Análisis de riesgos. Un caso práctico.

Análisis de riesgos (II) Vandalismo / atentados Implicaría daño de las computadoras y la información que contienen y los edificios Robo de datos Implicaría el acceso y la disposición de información confidencial (no pública). Accesos no autorizados Implicaría la difusión, borrado y/o alteración de información confidencial y sabotaje del sistema. Virus informático Implicaría daño a la información. Impericias Implicarían daños a la información almacenada y a los equipos. Fallas de los equipos Implicarían daños a la información almacenada. Análisis de riesgos. Un caso práctico.

Análisis de probabilidad de ocurrencia de los riesgos (F) Índice (F) Terremoto 1 / 0 Fuego 4 Inundación Rayo 3 Vientos fuertes 2 Robo o hurto (físico) Riesgo Índice (F) Vandalismo / Atentados 2 Robo de datos 4 Accesos no autorizados 5 Virus informático Impericias Fallas de los equipos 3 Análisis de riesgos. Un caso práctico.

Evaluación de los riesgos (E) Descripción de las Pérdidas Tabla de Índices de Evaluación del Riesgo (E) Nula Mínima 1 Credibilidad 2 Hardware 3 Hardware, Software y Comunicaciones 4 Operatividad 5 Operatividad e Información 6 Hardware, Software e Información 7 Hardware, Software, Comunicaciones, Información 8 Totales 9 Análisis de riesgos. Un caso práctico.

Análisis de la criticidad de los riesgos (I)   Riesgo Índice de Factor de riesgo (F) Pérdidas por Evaluación del Riesgo Índice de Evaluación del Riesgo (E) Índice de Criticidad C=(I x E) Fuego en Área de Servidores 4 Hardware Software Comunicaciones Información 8 32 Virus informáticos Operatividad 6 24 Robo o hurto en 3 7 21 Inundaciones en Administración y Laboratorios 5 20 Análisis de riesgos. Un caso práctico.

Análisis de la criticidad de los riesgos (II)   Riesgo Índice de Factor de riesgo (F) Pérdidas por Evaluación del Riesgo Índice de Evaluación del Riesgo (E) Índice de Criticidad C=(I x E) Fuego en Administración y Laboratorios 4 Hardware Software Comunicaciones 16 Rayo en Área de Servidores 2 Totales 8 Vandalismo en Información 7 14 Robo o hurto en  Hardware 3 12 Accesos no autorizados 6 Credibilidad Análisis de riesgos. Un caso práctico.

Análisis de la criticidad de los riesgos (III)   Riesgo Índice de Factor de riesgo (F) Pérdidas por Evaluación del Riesgo Índice de Evaluación del Riesgo (E) Índice de Criticidad C=(I x E) Fallas de los equipos 6 Mínima 2 12 Inundaciones en Área de Servidores 1 Nula 8 Robo de datos 4 Credibilidad Vandalismo en Administración y Laboratorios Hardware 3 Vientos fuertes Operatividad Impericias Terremoto Totales 9 Análisis de riesgos. Un caso práctico.

Conclusiones Este análisis considera que si un riesgo tiene un Índice de Criticidad alto, será el que potencialmente tendrá mas probabilidades de ocurrir, por lo que queda determinado cuales son los riesgos que se deben atacar primero. Análisis de riesgos. Un caso práctico.

Análisis de riesgos. Un caso práctico. PREGUNTAS? Análisis de riesgos. Un caso práctico.