Análisis y gestión de riesgos de una instalación IT

Actividad grupal:

Análisis y gestión de riesgos 
de una instalación IT

Integrantes del Grupo 18:

1. Gustavo Rojas
2. José Molina
3. Bryam Guzmán
4. Yoselyn Armijos
5. Cristian Acuña

1. Introducción

Para llevar a cabo un análisis de riesgos con la herramienta PILAR, se debe seguir un proceso estructurado que abarca la identificación de activos, la valoración de los mismos, la identificación de amenazas y vulnerabilidades, la evaluación del riesgo y la definición de salvaguardas. Esto permite entender los riesgos asociados a los activos de información, y tomar medidas para protegerlos de manera efectiva.

1. Configuración del Proyecto

1. Datos del proyecto

[pic 1]

Ilustración 1 Datos del Proyecto

1. Dominios de seguridad

En el desarrollo de esta actividad, se realiza una evaluación de los dominios de seguridad, los cuales se definen en función de los activos asociados y los riesgos de seguridad correspondientes. En este contexto, se identifican tres dominios de seguridad: seguridad física, seguridad de red y seguridad de la información.

[pic 2]

Ilustración 2 Dominios de Seguridad

1. Fases del proyecto

La definición de fases permite dividir el proyecto de análisis y gestión de riesgos en etapas manejables, lo que facilita la planificación, organización, ejecución y control del mismo. En el ámbito de la actividad con la herramienta PILAR, se definen 4 fases: current(), intermedia uno, intermedia dos y target.

[pic 3]

Ilustración 3 Fases del proyecto

1. Diseño de Activos

Se procede a identificar y valorar los activos de la empresa de estudio, de esta forma se identifican los elementos de información más importantes y cuáles requieren mayores medidas de protección.

1. Identificación de Activos 

Según el análisis realizado, se identificaron los siguientes activos:

Activos esenciales. 

• Tramitación presencial. 
• Tramitación remota. 

• Información de expedientes en proceso. 

Servicios internos. 

• Mensajería electrónica. 
• Archivo histórico central. 

Equipamiento informático. 

• Software de tramitación de expedientes. 
• Puesto de trabajo del usuario final. 
• Servidores. 
• Firewall.
• LAN

Servicios subcontratados. 

• ADSL (conexión a internet)
• Enlace Digital RDSI respaldo

Instalaciones

• Oficinas. 

• Sala de equipos. 

Personal

• Usuarios internos

1. Identificación de Activos en PILAR

La herramienta Pilar permite realizar una evaluación de riesgos asociados a los activos de información de la organización, Identificados los activos, el siguiente paso es registrarlos en la herramienta PILAR, cada activo debe identificarse mediante un código, un nombre, un dominio de seguridad (sino existen más dominios, por defecto se registran en el dominio base) y posteriormente asignar clases de activos. (ver ilustración 4).

[pic 4]

[pic 5]

Finalmente, los activos registrados quedan de la siguiente manera:

...