©Copyright 2013 ISACA. Todos los derechos reservados. 2.4 Visión general de la gestión de riesgos Desafíos de la gestión de riesgos Existe un alto potencial de mal uso e interpretación errónea de los términos clave: —Riesgo —Amenazas —Vulnerabilidades Existen diferentes técnicas y enfoques: —Cualitativo —Cuantitativo: ALE / VAR —Semi-cuantitativo 1

©Copyright 2013 ISACA. Todos los derechos reservados. Desafíos de la gestión de riesgos Gestión de riesgos…. 2 Significa diferentes cosas para diferentes unidades de negocios y personas en la organización. Necesita operar a múltiples niveles en una organización: —Nivel estratégico —Nivel gerencial —Nivel operativo

©Copyright 2013 ISACA. Todos los derechos reservados Importancia de la gestión de riesgos La gestión de riesgos es una función fundamental de la seguridad de la información: —Proporciona la razón y la justificación para casi todas las actividades relacionadas con la seguridad de la información.

©Copyright 2013 ISACA. Todos los derechos reservados Resultados de la gestión de riesgos Toma de decisiones informadas, basadas en la comprensión de: amenazas, vulnerabilidades y perfil de riesgo. exposición al riesgo y las posibles consecuencias del compromiso. Resulta en: Una estrategia organizacional de mitigación de riesgos adecuada para obtener consecuencias aceptables. Aceptación/Atención organizacional con base en un entendimiento de las posibles consecuencias del riesgo residual. Evidencia cuantificable de que los recursos de la gerencia se utilizan de forma apropiada y con una adecuada relación costo/efectividad.

©Copyright 2013 ISACA. Todos los derechos reservados. 2.5 Estrategia de gestión de riesgos Una estrategia de gestión de riesgos: − Es un proceso de negocios integrado. − Tiene objetivos definidos. − Incorpora todos los procesos de gestión de riesgos, actividades, metodologías y políticas adoptadas y llevadas a cabo en una organización.

©Copyright 2013 ISACA. Todos los derechos reservados. 2.6 Gestión eficaz de riesgos de seguridad de la información Las actividades relacionadas con una gestión eficaz de los riesgos de seguridad de la información deben contar con el respaldo continuo de la alta gerencia. Para alcanzar los objetivos del programa se requiere de una cultura de calidad integrada con el compromiso de la alta dirección. El personal debe: —Entender sus responsabilidades. —Estar entrenado en los procedimientos de control aplicables. Se debe probar y exigir el cumplimiento de los controles de seguridad de la información de manera continua.

©Copyright 2013 ISACA. Todos los derechos reservados. Los pasos básicos para desarrollar un programa de gestión de riesgos son los siguientes: Contexto y propósito del programa Alcance y estatutos Identificación, clasificación y propiedad de activos Objetivos La metodología que se utilizará El equipo de implementación Desarrollo de un Programa de Gestión de Riesgos

©Copyright 2013 ISACA. Todos los derechos reservados Desarrollo de un Programa de Gestión de Riesgos Requerimientos para desarrollar el programa: Establecer el contexto y propósito del programa Definir el alcance y los estatutos Identificación, clasificación y propiedad de activos Determinar objetivos Determinar la metodología que se utilizará Designar el equipo de desarrollo del programa

©Copyright 2013 ISACA. Todos los derechos reservados Roles y responsabilidades La gestión de los riesgos de seguridad de información es parte integral del gobierno de la seguridad: —Es responsabilidad del consejo directivo o su equivalente, asegurar que tales esfuerzos sean efectivos. La gerencia debe participar y aprobar los niveles aceptables de riesgo, así como los objetivos de la gestión de riesgos.

©Copyright 2013 ISACA. Todos los derechos reservados. Un comité de dirección debe: —Establecer las prioridades de la gestión de riesgos. —Definir los objetivos de la gestión de riesgos a fin de respaldar la estrategia de negocios. El Gerente de Seguridad de Información es responsable de desarrollar, gestionar y contribuir con el programa de gestión de riesgos de seguridad de la información para alcanzar los objetivos definidos Roles y responsabilidades