METODOLOGIA DE GESTION DE RIESGOS DE SEGURIDAD DE LA INFORMACION DE UNA ORGANIZACION

[pic 1][pic 2]

UNIVERSIDAD INTERNACIONAL DE LA RIOJA

MAESTRIA EN SEGURIDAD INFORMATICA

CURSO: ANALISIS DE RIESGOS INFORMATICOS

ACTIVIDAD 1

METODOLOGIA DE GESTION DE RIESGOS DE SEGURIDAD DE

LA INFORMACION DE UNA ORGANIZACION

PROFESOR DE LA ASIGNATURA

FEDERICO EDUARDO VIDAL MARTINEZ

PRESENTA:

SERGIO MARTINEZ AGUILAR

18 de Julio de 2022

1.        INTRODUCCIÓN        3

2.        REFERENCIAS NORMATIVAS        3

3.        OBJETIVOS        4

4.        ALCANCE        4

5.        DESARROLLO DE LA METODOLOGIA        4

5.1.        Selección de la metodología        4

5.2.        Identificación de los activos de la empresa        4

5.3.        Valoración de los activos        5

5.4.        Determinación de amenazas potenciales        5

5.5.        Estimación del impacto        6

5.6.        Calculo del riesgo        7

5.7.        Identificación de salvaguardas        8

5.8.        Controles de seguridad        8

6.        Conclusiones        9

7.        Bibliografía        9

1. INTRODUCCIÓN

En la presente actividad se pretende realizar el desarrollo de la metodología MAGERIT, para él análisis y gestión de riesgos de la empresa AQUIP S.A., una empresa dedicada al diseño, fabricación, instalación, distribución y comercialización de productos químicos para el tratamiento aguas, industriales, residuales y potables.

Derivado del uso de la tecnología de la información dentro de la organización, la información representa un activo muy vulnerable, motivo por el cual es de vital importancia preservar la integridad, disponibilidad y confidencialidad de la información, para debemos implementar controles que nos ayuden a salvaguardar la integridad de nuestra información, y tener una mejora continua para amenazas informáticas, brindando seguridad en todo momento de la información confidencial de la empresa.

1. REFERENCIAS NORMATIVAS

• ISO 27001. Sistemas de Gestión de Seguridad de la Información.
• ISO 27002. Manual de las buenas prácticas en las que se describen los objetivos de control y las evaluaciones recomendables.
• ISO 27003. Manual para implementar un Sistema de Gestión de Seguridad de la Información y nos da información necesaria para la utilización de PHVA (Planificar, Hacer, Verificar y Actuar).
• ISO 27004. En este estándar se especifican las técnicas de medida, aplicables a la determinación de la eficiencia.
• ISO 27005. Establece las diferentes directrices para la gestión de Riesgos de la Seguridad de la Información.
• ISO 27006. Especifica todos os requisitos para lograr la acreditación de las entidades de auditoria y certificación.
• ISO 27007. Es un manual de auditoria de un Sistema de Gestión de Seguridad de la Información.
• ISO 31000:2018. Gestión del Riesgo.

1. OBJETIVOS

Desarrollo de la metodología MAGERIT, para la empresa caso de estudio AQUIP S.A, para analizar y evaluar el riesgo operacional de la misma.

1. ALCANCE

AQUIP S.A. ha determinado los límites y la aplicabilidad del Sistema de Gestión de Seguridad de la Información y de esta manera establece su alcance.

Cumpliendo con los requerimientos del Sistema de Gestión de Seguridad de la Información el sistema está implantado en las Oficinas en la Ciudad de México y en la planta ubicada en Parque Industrial Jilotepec, Estado de México, y aplicara a los activos esenciales de la empresa como, información, servicios, servidor local, fórmulas de productos, equipos de cómputo y base de datos administrativa.

1. DESARROLLO DE LA METODOLOGIA

1. Selección de la metodología

Nuestra metodología que utilizaremos es MAGERIT, que es la metodología de análisis y gestión de riesgos de los sistemas de información que esta fue creada por el consejo superior de administración electrónica. Siendo su primera publicación en 1997, la Versión 1.0, y actualmente se encuentra en la Versión 3.0, y esta se conforma por tres libros, el método, el catálogo de elementos y las guías técnicas.

1. Identificación de los activos de la empresa

Dentro de la empresa se encontraron los siguientes activos:

Servicios

Servidor local

Equipos de cómputo

Fórmulas de los productos

Base de datos

1. Valoración de los activos

Teniendo identificados nuestros activos procederemos a la valoración de los mismos, siguiendo con la metodología los valoraremos teniendo en cuenta las diferentes dimensiones de la seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Para realizar la valoración de los activos se considera la siguiente tabla de ponderación.

Aplicando esta tabla de ponderación sobre los activos identificados nos encontramos que:

...