Teoría De Sistemas Analisis De Riesgo

Teoría General De Sistemas

Orígenes

La teoría general de sistemas (TGS) o teoría de sistemas o enfoque sistémico es un esfuerzo de estudio interdisciplinario que trata de encontrar las propiedades comunes a entidades llamadas sistemas. Éstos se presentan en todos los niveles de la realidad, pero que tradicionalmente son objetivos de disciplinas académicas diferentes. Su puesta en marcha se atribuye al biólogo austriaco Ludwig Von Bertalanffy, quien acuñó la denominación a mediados del siglo xx.

Entre 1948 y 1955 w. Ross Ashby y Norbert Wiener desarrollaron la teoría matemática de la comunicación y control de sistemas a través de la regulación de la retroalimentación (cibernética), que se encuentra estrechamente relacionada con la teoría de control. En 1950 Ludwig von Bertalanffy plantea la teoría general de sistemas. En 1970 René Thom y E.C. Zeeman plantean la teoría de las catástrofes, rama de las matemáticas de acuerdo con bifurcaciones en sistemas dinámicos, que clasifica los fenómenos caracterizados por súbitos desplazamientos en su conducta.

En 1980 David Ruelle, Edward Lorenz, Mitchell Feigenbaum, Steve Smale y James A. york describen la teoría del caos, una teoría matemática de sistemas dinámicos no lineales que describe bifurcaciones, extrañas atracciones y movimientos caóticos. John H. Holland, Murraygell-mann, Harold Morowitz, w. Brian Arthur, y otros en 1990 plantean el sistema adaptativo complejo (cas), una nueva ciencia de la complejidad que describe surgimiento, adaptación y auto-organización. Fue establecida fundamentalmente por investigadores del instituto de santa fe y está basada en simulaciones informáticas. Incluye sistemas de multi agente que han llegado a ser una herramienta importante en el estudio de los sistemas sociales y complejos

Teoría General de Sistema al Análisis de Riesgo

Análisis de riesgos

El activo más importante que se posee es la información y, por lo tanto, deben existir técnicas que la aseguren, más allá de la seguridad física que se establezca sobre los equipos en los cuales se almacena. Estas técnicas las brinda la seguridad lógica que consiste en la aplicación de barreras y procedimientos que resguardan el acceso a los datos y sólo permiten acceder a ellos a las personas autorizadas para hacerlo.

Ejemplo de Aplicación de Análisis de Riesgo

Sin duda alguna, si queremos «empezar por el principio» en materia de ciber seguridad en nuestra empresa, el análisis de riesgos es uno de los trabajos más importantes a la hora de definir proyectos e iniciativas para la mejora de la seguridad de la información. Si consideramos que las herramientas tecnológicas y la información que manejamos son de gran valor para nuestra organización debemos empezar a pensar en poner en práctica un Plan Director de Seguridad. El Plan Director de Seguridad (PDS) se puede simplificar como la definición y priorización de un conjunto de proyectos en materia de seguridad de la información dirigido a reducir los riesgos a los que está expuesta la organización hasta unos niveles aceptables a partir de un análisis de la situación inicial.

Llevar a cabo un buen análisis nos permitirá centrar nuestro foco de atención en los riesgos asociados a los sistemas, procesos y elementos dentro del alcance del PDS. Por otra parte, también podemos obtener beneficios si realizamos un análisis de riesgos de forma aislada en lugar de llevarlo a cabo dentro de un contexto mayor como es el del desarrollo de un PDS.

A continuación veremos de forma sencilla las principales tareas del análisis de riesgos, aportando recomendaciones prácticas sobre cómo llevarlo a cabo, y considerando algunas particularidades a tener en cuenta para que aporte el máximo valor al PDS. Cabe señalar que las fases o etapas que componen un análisis de riesgos dependen de la metodología escogida. En el caso que nos ocupa, hemos seleccionado un conjunto de fases que son comunes en la mayor parte de las metodologías para el análisis de riesgos.

Fase 1. Definir el alcance

El primer paso a la hora de llevar a cabo el análisis de riesgos es establecer el alcance del estudio. Vamos a considerar que este análisis de riesgos forma parte del Plan Director de Seguridad. Por lo tanto, recomendamos que el análisis de riesgos cubra la totalidad del alcance del PDS, dónde se han seleccionado las áreas estratégicas sobre las que mejorar la seguridad. Por otra parte, también es posible definir un alcance más limitado atendiendo a departamentos, procesos o sistemas. Por ejemplo, análisis de riesgos sobre los procesos del departamento Administración, análisis de riesgos sobre los procesos de producción y gestión de almacén o análisis de riesgos sobre los sistemas TIC relacionados con la página web de la empresa, etc. En este caso práctico consideramos que el alcance escogido para el análisis de riesgos es “Los servicios y sistemas del Departamento Informática”.

Fase 2. Identificar los activos

Una vez definido el alcance, debemos identificar los activos más importantes que guardan relación con el departamento, proceso, o sistema objeto del estudio. Para mantener un inventario de activos sencillo puede ser suficiente con hacer uso de una hoja de cálculo o tabla como la que se muestra a continuación a modo de ejemplo:

Fase 3. Identificar / seleccionar las amenazas

Habiendo identificado los principales activos, el siguiente paso consiste en identificar las amenazas a las que estos están expuestos. Tal y como imaginamos, el conjunto de amenazas es amplio y diverso por lo que debemos hacer un esfuerzo en mantener un enfoque práctico y aplicado. Por ejemplo, si nuestra intención es evaluar el riesgo que corremos frente a la destrucción de nuestro servidor de ficheros, es conveniente, considerar las averías del servidor, la posibilidad de daños por agua (rotura de una cañería) o los daños por fuego, en lugar de plantearnos el riesgo de que el CPD sea destruido por un meteorito.

Fase 4. Identificar vulnerabilidades y salvaguardas

La siguiente fase consiste en estudiar las características de nuestros activos para identificar puntos débiles o vulnerabilidades. Por ejemplo, una posible vulnerabilidad puede ser identificar un conjunto de ordenadores o servidores cuyos sistemas antivirus no están actualizados o una serie de activos para los que no existe soporte ni mantenimiento por parte del fabricante. Posteriormente, a la hora de evaluar el riesgo aplicaremos penalizaciones para reflejar las vulnerabilidades identificadas.

Por otra parte, también analizaremos y documentaremos las medidas de seguridad implantadas en nuestra

...