©Copyright 2013 ISACA. Todos los derechos reservados Vulnerabilidades Algunos ejemplos de vulnerabilidades son: Falta de funcionalidad de la seguridad. Falta de mantenimiento apropiado. Elección deficiente de contraseñas. Tecnología no probada. Transmisión de comunicaciones no protegidas. Falta de redundancia. Comunicaciones gerenciales deficientes.

©Copyright 2013 ISACA. Todos los derechos reservados Riesgo El Gerente de Seguridad de Información debe entender el perfil de riesgo de negocio de una organización. El riesgo es inherente al negocio. Dado que resulta impráctico y costoso eliminar todos los riesgos, cada organización tiene un apetito de riesgo (nivel de riesgo que está dispuesto a aceptar). Para determinar el nivel razonable de riesgo aceptable, el Gerente de Riesgos debe determinar el punto óptimo en el cual el costo de las pérdidas se intersecta con el costo de mitigar el riesgo. La falta de una adecuada gestión de riesgos genera una asignación inapropiada de los esfuerzos.

©Copyright 2013 ISACA. Todos los derechos reservados Análisis de riesgos relevantes El análisis de riesgos es la fase en la cual se valoran y entienden tanto el nivel de riesgo como su naturaleza. El análisis de riesgos implica: —Una inspección rigurosa de las fuentes de riesgo. —Sus consecuencias negativas y positivas. —La probabilidad de que dichas consecuencias ocurran y los factores que influyen en ellas. —La evaluación de cualquier control o proceso existente que tienda a minimizar los riesgos negativos o a mejorar los riesgos positivos.

©Copyright 2013 ISACA. Todos los derechos reservados. El nivel de riesgo puede determinarse utilizando análisis estadístico y cálculos que combinen el impacto y la probabilidad. La información utilizada para calcular el impacto y la probabilidad suele provenir de: —experiencia o datos y registros pasados (por ejemplo notificación de incidentes); —prácticas confiables, normas o lineamientos internacionales; —investigación y análisis de mercado; —experimentos y prototipos; —modelos económicos, de ingeniería o de otro tipo; —asesoría de especialistas y expertos Análisis de riesgos relevantes

©Copyright 2013 ISACA. Todos los derechos reservados Análisis de riesgos relevantes Entre las técnicas de análisis de riesgos se encuentran las siguientes: —entrevistas con expertos en el área de interés y cuestionarios; —uso de modelos existentes y simulaciones. El análisis de riesgos puede ser: —Cuantitativo. —Semi-cuantitativo. —Cualitativo.

©Copyright 2013 ISACA. Todos los derechos reservados. Análisis cuantitativo: —Se asignan valores numéricos tanto al impacto como a la probabilidad. —Las consecuencias pueden expresarse en varios términos de criterios monetarios, técnicos, operativos, impacto humano. Análisis semicuantitativo: —El objetivo es intentar asignar algunos valores a las escalas que se utilizan en la valoración cualitativa. Análisis cualitativo: —La magnitud y la probabilidad de las posibles consecuencias se presentan y describen en forma detallada. —Las escalas que se utilizan pueden formarse o ajustarse para adaptarse a las circunstancias Análisis de riesgos relevantes