Ciberseguridad

Administración de Riesgos y Controles de Seguridad

Ciberseguridad

26.1 Administración de riesgos - Tipos de riesgos - Gestión de riesgos - El proceso de Administración de Riesgos 26.2 Evaluación de riesgos - Tipos de Fuentes de Amenazas - Metodología de evaluación de riesgos - Análisis de riesgos - Mitigación de Riesgos - Priorizar los Activos 26.3 Controles de seguridad - Tipos de control - Controles de Seguridad Funcional - Controles y Cumplimiento

Ciberseguridad

tipos de Riesgos

Los riesgos pueden clasificarse en varias categorías, incluyendo:

- Riesgos operativos: relacionados con fallos en procesos internos. - Riesgos financieros: derivados de fluctuaciones en el mercado. - Riesgos de cumplimiento: relacionados con la falta de adherencia a regulaciones. - Riesgos estratégicos: que afectan la dirección y objetivos de la organización.

+INFO

+INFO

+INFO

Ciberseguridad

Responder al Riesgo

Enmarcar el Riesgo

Evaluar el Riesgo

Moniterear el Riesgo

Ciberseguridad

Una amenaza se define como el potencial de que una vulnerabilidad sea identificada y explotada, mientras que un vector de amenaza es el camino que utiliza un atacante para afectar el objetivo. Estos tipos de fuentes de amenazas pueden ser tanto internas como externas.

Tipos de Fuentes de Amenazas

01

Adversarios

Representados por un icono de hacker, se refieren a amenazas de individuos, grupos, organizaciones o naciones.

02

Accidental

Identificado por un signo de admiración en un triángulo, se refiere a acciones que ocurren sin intención maliciosa

03

Estructural

Representado por un escritorio conectado a otros tres, abarca fallas en equipos y software.

04

Ambiental

Simbolizado por un icono de globo, incluye desastres externos, ya sean naturales o provocados por el hombre, como incendios e inundaciones.

Ciberseguridad

Metodología de Evaluación de Riesgos

Contextualiza tu tema con un subtítulo

Análisis de Riesgos

Análisis de riesgo cuantitativo

Un análisis cuantitativo de riesgos asigna valores a activos como el costo de reemplazo de un servidor. El factor de exposición (EF) indica el porcentaje de pérdida por amenazas, y la tasa de ocurrencia anual (ARO) mide la probabilidad de pérdidas en un año. La expectativa de pérdida anual (ALE) ayuda a la gerencia a decidir cuánto invertir en protección.

Análisis de Riesgo Cualitativo

El análisis de riesgo cualitativo se centra en evaluar la probabilidad de amenazas y su impacto. Por ejemplo, una falla del servidor puede ser probable pero con un impacto mínimo. Se utiliza una matriz de riesgos para priorizar estos riesgos y decidir cuáles requieren una respuesta de la organización. Los resultados de este análisis sirven como guía para la toma de decisiones. Cuando la matriz está codificada por colores, se conoce como mapa de calor de riesgo.

Contextualiza tu tema con un subtítulo

Tipos de Control

El riesgo inherente de un sistema es el riesgo que el sistema plantea inherentemente — sin ningún control de personas, procesos o tecnología. Los controles de seguridad son salvaguardas o contramedidas que una organización implementa para evitar, detectar, contrarrestar o minimizar los riesgos de seguridad de los activos de la organización.

¡GRACIAS!

Enmarcar el riesgo

Identifique las amenazas dentro de la organización que elevan el riesgo. Las amenazas detectadas abarcan la posible pérdida o deterioro de procesos y productos, ataques cibernéticos, fallos o interrupciones en los servicios, un impacto negativo en la reputación de la organización, responsabilidades legales y la posible pérdida de propiedad intelectual.

Menor Riesgo

• Ejercer el debido cuidado puede ayudar a reducir el nivel de riesgo. El riesgo aún existe pero estos pasos razonables reducen una posible pérdida.

Negligencia significa que no se toman medidas o controles para reducir el riesgo. La amenaza es muy alta y el costo de un incidente puede ser catastrófico.

Responder al riesgo

Desarrolle un plan de acción para disminuir la exposición general al riesgo de la organización. La administración debe clasificar y priorizar las amenazas, y un equipo designado se encargará de definir las respuestas adecuadas para cada una. Las opciones para gestionar el riesgo incluyen eliminarlo, mitigar sus efectos, transferirlo a otra entidad o aceptarlo tal como está.

Riesgo aceptable

• Ejercer la diligencia debida implica tomar medidas razonables para eliminar el riesgo. Todavía existen algunos riesgos, pero se implementan varios controles para evitar posibles pérdidas.

Evaluar el riesgo

Una vez que se identifica un riesgo, se evalúa y analiza para determinar la gravedad de la amenaza. Algunas amenazas pueden afectar gravemente a toda la organización, mientras que otras representan inconvenientes menores. El riesgo se puede priorizar en función del impacto financiero, mediante un análisis cuantitativo, o por su efecto general en las operaciones de la organización, a través de un análisis cualitativo.

Monitorear el riesgo

No todos los riesgos pueden ser eliminados, por lo que las amenazas aceptadas deben ser monitoreadas de cerca. Una organización puede implementar un registro de riesgos, ya sea a través de un programa de software o un servicio en la nube, para documentar información sobre los riesgos identificados. Este registro incluye detalles sobre cada riesgo, así como los controles establecidos o las estrategias de respuesta aplicadas.