CALIDAD Y TÉCNICAS DE EVALUACIÓN DE LOS SISTEMAS UNIDAD I

Presentación del tema: "CALIDAD Y TÉCNICAS DE EVALUACIÓN DE LOS SISTEMAS UNIDAD I"— Transcripción de la presentación:

1 CALIDAD Y TÉCNICAS DE EVALUACIÓN DE LOS SISTEMAS UNIDAD I
INTRODUCCIÓN A LA EVALUACIÓN DE PROYECTOS INFORMÁTICOS Y A LA GESTIÓN DE PROCESOS TI PIERRE SERGEI ZUPPA AZÚA

2 PROCESOS BÁSICOS DE GESTIÓN DE TI
Nivel de Estratégico: procesos de Estrategia Gobierno de TI. Nivel Operativo: Cadena de valor para el cliente: G. Demanda G. Proyectos G. Aplicaciones G. Explotación G. Infraestructura G. del Servicio. Nivel de Soporte: procesos transversales de Soporte Monitorización Gestión de Proveedores.

3 SÍNTOMAS DE UN PROYECTO EN CRISIS
Baja comunicación. Planeación y administración inadecuada. Requerimientos inestables. Falta de entrenamiento. Cronograma no realista /no realizable. Alta rotación del personal. Uso inadecuado de recursos. Ambiente de trabajo inadecuado. Personal atado a tecnología obsoleta. Carencia de compromiso a largo plazo. Baja implicación o compromiso de los participantes.  Baja definición de roles y responsabilidades

4 FASE DE PREOCUPACIÓN EN UN PROYECTO

5 DIAGRAMA DE ACCIÓN Fin 1. Identificación Acciones correctivas
2. Análisis de la No conformidad potencial u oportunidad de mejora Acciones correctivas Deben ocurrir cuando un problema surge. 3. Ejecución de la acción preventiva Acciones preventivas Cuando ocurren cambios en el proyecto que no fueron previstos. 4. Cierre de la acción preventiva ¿Conforme? 5. Seguimiento ¿Conforme? Fin

6 DETECCIÓN DE PROBLEMAS EN UN PROYECTO

7 FACTORES CRÍTICOS PARA EJECUTAR UNA RECUPERACIÓN
Compromiso. Habilidades. Capacidades. Entendimiento verdadero. Revisión. FODA. Manejo de la política.

8 LEY DE MORPHY Si algo puede salir mal, saldrá mal, en el peor momento y en el peor lugar. Todo suceso malo, es susceptible de empeorar. Cambiar de cola siempre produce el efecto de enlentecer en la que te encuentras. Si requieres de un tiempo limitado para realizar un proyecto, requerirás como mínimo del doble. Siempre existirá usuarios que ofrezcan resistencia al cambio. El número de incidencias con un usuario es inversamente proporcional a su descontento con el proyecto. Cualquier grado de seguridad impuesto será vulnerado a la primera. A mayor diferencia tecnológica con clientes y proveedores, mayor necesidad de integración con ellos. A mayor violación de las obligaciones legales, mayor necesidad de aparentar legalidad. A la creencia de menor necesidad del cambio tecnológico, mayor es ésta.

9 CUADRO DE RIESGOS Componentes Niveles Desempeño Soporte Costo
Calendarización Catastrófico Crítica Marginal Despreciable

10 TIPOS DE ANÁLISIS Cuantitativo Cualitativo
Evalúa la prioridad de los riesgos identificados mediante valores numéricos para los costes de daños y controles de seguridad. Impacto sobre los objetivos como: Costos. Cronograma. Alcance. Calidad. Establece un rango de valores para determinar los costos de daños y controles de seguridad. La matriz de probabilidad e impacto puede usarse para clasificar los riesgos según su importancia individual. La prioridad de los riesgos puede establecerse para el: Costo. Tiempo. Alcance. Calidad.

11 MÉTODOS CUALITATIVOS Listas de chequeos. Análisis preliminar de riesgos PHA. What if?. Análisis de modo de falla y efecto FMEA. HAZID. HPA. HAZOP.

12 METODOLOGÍA DE EVALUACIÓN DE RIESGO
Selección de ámbitos e identificación de activos Asociación de amenazas y vulnerabilidades a activos Ejecución de la evaluación de riesgos Plan de tratamiento de riesgos

13 MARCO REFERENCIAL INTERNACIONAL
ISO 31000:2009 Principles and Guidelines on Implementation ISO/IEC 31010:2009 Risk Management - Risk Assessment Techniques ISO Guide 73:2009 Risk Management - Vocabulary

14 MODELOS DE CÁLCULO DE RIESGO

15 MODELO PRAGMÁTICO DE RIESGO
Riesgo = Amenaza * Vulnerabilidad * Impacto SI Amenaza Alta, Media, Baja  3,2,1 Vulnerabilidad  Alta, Media, Baja  3,2,1 Impacto  Alto, Medio, Bajo  3,2,1 ENTONCES Riesgo  (3x3x3) ... (1x1x1) 

16 ESTIMACIÓN DE RIESGOS Probabilidad

17 ESTIMACIÓN DE RIESGOS Impacto

18 MODELO DE CÁLCULO DE RIESGO
Factores del Riesgo Frecuencia de la Pérdida Frecuencia de la amenaza Tiempo de Contacto No Programada Programada Única vez Periódica Acción del atacante Beneficio Esfuerzo Sanción / Pena Vulnerabilidad Fortaleza de los controles Capacidad de la Amenaza Impacto Impacto Primario Según Activo Criticidad Costo Sensitividad Reputación Competitividad Compliance General Según Amenaza Competencia Acción Acceso Uso indebido Divulgación Modificación DoS Interna / Externa Impacto Secundario Según Organización Tiempo Debido Cuidado Respuesta Contención Remediación Recuperación Detección Factores Externos Legal y Regulatorio Competidores Medio Accionistas

19 OBJETIVO DE EVALUACIÓN DE RIESGO
Seleccionar aquellos controles que permitan mitigar los riesgos no tolerables hasta niveles aceptables para la organización.

20 CICLO DE MITIGACIÓN DE RIESGOS
Agente de la amenaza Activa Amenaza Puede explotar Vulnerabilidad Evidencia Interviene directamente RIESGO Protección Puede ser contrarrestado Activo Puede Dañar Exposición Representa una

21 GESTIÓN DE RIESGOS (ISO 31000)

22 GESTIÓN DE RIESGOS

23 ANÁLISIS DE RIESGO Salvaguardas Niveles de riesgo de la organización
Vulnerabilidades Amenazas Niveles de riesgo de la organización

24 ANÁLISIS DE RIESGO Cubre las necesidades de Seguridad de la organización considerando: Recursos económicos. Recursos humanos. Inversión proporcional al riesgo. Objetividad. Tomas de decisiones. Criterios Definidos Usos sucesivos Comparación Inventario de riesgos.

25 SGSI METODOLOGÍA BENEFICIOS
Analizar y ordenar la estructura de los sistemas de información. Definición de procedimientos de trabajo para mantener su seguridad. Controles que permitan medir la eficiencia de las medidas tomadas. Reducción de riesgos. Ahorro de los costos por el aprovechamiento de los recursos. Seguridad. Cumplimiento con la legislación vigente. Respetar los derechos de nuestros clientes y proveedores. Evitar infracciones y sanciones. Mejorar la competitividad en el mercado. Medir la eficiencia de las medidas tomadas. Controlar el CID (Confidencialidad, Integridad y Disponibilidad) para mejora la imagen

26 FASES DE IMPLEMENTACIÓN
Concienciación y formación Organización de la seguridad Política de seguridad Alcance Debe contar la empresa con una estructura organizativa. Se diseña de acuerdo a los objetivos, necesidades y estructura de la empresa

27 NIVELES DE DOCUMENTACIÓN
Políticas Procedimientos Instrucciones Registros Objetivo Generales Desarrollo de los objetivos Comandos técnicos Indicadores, métrica

28 TÉCNICAS DE IDENTIFICACIÓN DE RIESGOS
Técnicas de Recopilación de Información Tormenta de ideas Técnica Delphi Entrevistas Técnica de organización de información Diagramas de afinidad Análisis mediante lista de control Análisis de suposiciones Técnicas de diagramación Diagramas de causa y efecto Diagramas de flujo o de sistemas Diagramas de influencias

29 TÉCNICAS DE ANÁLISIS DE RIESGOS
Análisis cualitativo análisis cuantitativo Técnica Delphi Matriz probabilidad – impacto CBA (Cost Benefit Analysis) Modelado y Simulación Análisis del valor ganado Árboles de decisión Análisis de sensibilidad

30 METODOLOGÍA ANÁLISIS DE RIESGOS
MAGERIT OCTAVE NIST ª