Analisis De Riesgo

2. Revisar el plan de continuidad de la empresa.

Su plan de continuidad consiste en hacer copias diarias de la información en un sitio de Internet que está alojado en una computadora de la empresa.

1. Iniciación. Se establece la autoridad, los límites de la aplicación y los recursos financieros para el proyecto. Su objetivo es asegurar lo siguiente:

a. Patrocinador del proyecto.

b. Carta para asegurar responsabilidades y autoridad.

c. Alcance definido (geográfico, sitios, divisiones, departamentos, productos o clientes).

d. Objetivos de negocio específicos (factores críticos de éxito, directriz de la gerencia).

A su vez también se identifican las amenazas, las cuales se dividen en las siguientes categorías:

a. Estratégicas (planeación). Pobre estrategia de mercadeo, cambio en leyes, actitudes del consumidor.

b. Financieras (controles). Fraudes, mala administración de efectivo y crédito, etc.

c. Operacionales (error humano). Errores humanos, apatía, procedimientos equivocados, conflictos de comunicación, políticas, etc.

d. Comerciales (asociaciones). Pérdida de clientes o proveedores clave, fallas en la cadena de suministro, etc.

e. Técnicas (activos). Fallas de equipo, desastres naturales, destrucción, pérdida de uso, etc.

Como auditor de TI, te enfocarás en todas las funciones de TI de la organización y serás capaz de apoyar a los objetivos de la organización, ya que la planeación para la continuidad y la recuperación de desastres solamente será exitosa si está apoyada desde los niveles más altos a los más bajos.

2. Análisis del riesgo. Se documentan y se ponen prioridades de los riesgos actuales, incluyendo los desastres naturales y los errores provocados por la mano del hombre.

Como auditor de TI, debes de enfocarte en que el análisis de riesgo incluya los apartados necesarios donde se calculen los riesgos de algún suceso y que dañen toda la infraestructura informática.

3. Análisis del impacto en la organización (BIA). Se desarrolla un anteproyecto con los procesos de bajo nivel más representativos de la empresa, en donde se determina qué es necesario para sostener la operación de la organización.

Sin un BIA no existe el plan de continuidad, ya que tendrías solamente un plan de recuperación de desastres; recuerda que este análisis descubre la forma de trabajar y las vulnerabilidades de la organización.

Como auditor de TI, debes de asegurarte que toda la información recolectada con este análisis sea protegida y archivada con el nivel de seguridad más alto en la organización.

4. Creación de la estrategia. Se utiliza el análisis del riesgo y el análisis del impacto en la organización para formular una estrategia basada en los hechos y las evidencias encontradas; los procesos se clasifican en las siguientes categorías:

a. Procesos centrales. Son requeridos específicamente en la ruta crítica para la producción de ingresos.

b. Procesos de soporte. Están dirigidos para realizar acciones específicas.

c. Procesos discrecionales. Son todos los demás procesos que no son de soporte o centrales.

Como auditor de TI, debes de enfocarte en verificar que todos los procesos de la empresa estén reflejados en la estrategia, y que toda la información resultante de estos procesos sea almacenada adecuadamente dentro de la infraestructura de las TI.

5. Respuesta en la emergencia. Se integra la estrategia planeada con el encargado de la primera respuesta utilizando el sistema de comando de incidentes.

Debes de verificar que el plan de respuesta a los incidentes o emergencias refleje las acciones necesarias, para que toda la información de la empresa sea respaldada adecuadamente y que no se pierda información en caso de algún evento.

6. Creación del plan. Se crea y organiza un plan, incluyendo las asignaciones personales y procedimientos detallados.

En esta área verificarás que todos los departamentos de TI tengan asignados sus roles, y que los procesos estén detallados lo más específicamente posible para que no pueda haber confusiones al ejecutar el plan.

7. Entrenamiento y conciencia. Se le enseña a cada individuo los roles y las habilidades necesarias para aplicar todas las funciones de los planes de recuperación de desastres y de continuidad; a su vez se educa a la organización acerca de la existencia de los planes y las áreas de cobertura anticipada.

Se verificará que el entrenamiento sea el adecuado para el personal de TI y que toda la organización esté enterada de la planeación.

8. Mantenimiento y pruebas. Todos los individuos en la organización deben de practicar sus roles y acciones para ganar eficiencia, en caso de que sea necesario un cambio de control en el sistema se deberá actualizar toda la documentación.

Debes confirmar que el mantenimiento y las pruebas diseñadas cumplan con su objetivo, y de esta forma evalúen correctamente a los individuos que están a cargo de los procesos de la empresa.

9. Comunicación. La información de los procesos deben de fluir de manera eficaz y se debe de hacer llegar los datos necesarios a los individuos adecuados.

Como auditor de TI, debes revisar que todos los datos e información lleguen al destinatario final y que no haya ningún dato que sea corrompido en el proceso de flujo de la información.

Integración con otras organizaciones. Se integrará con los planes de negocios de socios, proveedores, clientes e incluso agencias gubernamentales.

Identificar los riesgos de la información.

13.1 Análisis de riesgos

La definición de riesgo según ISO es “potencial de que una amenaza determinada explota las vulnerabilidades de un activo o grupo de activos ocasionando pérdida o daño a la organización”.

El análisis de estos riesgos se basa en la detección de las amenazas, las cuales pueden ser operacionales, financieras, del entorno, etcétera. Pero independientemente de su naturaleza, el objetivo será proteger la confidencialidad, integridad y disponibilidad de la información y de la infraestructura de la organización.

En la identificación de activos se debe incluir:

• Hardware.

• Software.

• Empleados.

• Servicios.

• Imagen/Reputación.

• Documentos (en papel y digitales).

13.2 Estimación y tratamiento de riesgos

El proceso de administración de riesgos se compone básicamente de 3 fases. La primera es el análisis de los riesgos

...