Gestión de riesgos

”La incertidumbre es la única certeza que hay, y saber cómo vivir con inseguridad es la única seguridad.”
— John Allen Paulos

El uso de nuevas tecnologías en los procesos de negocio trae muchos beneficios a las organizaciones; sin embargo, también pueden significar el incremento de los riesgos hacia la información si no son identificados y tratados adecuadamente.

La información es un activo vital para las organizaciones y necesita ser protegida de forma apropiada. La Administración de Riesgos le permite tomar decisiones fundamentadas para proveer una protección adecuada a sus activos de información.

La Administración de Riesgos de Seguridad de la Información le permite a nuestros clientes invertir sus esfuerzos y recursos efectivamente al determinar:

¿Qué necesita proteger?
¿De qué necesita protegerlo?
¿Cómo debe protegerse?

Conforme a los más recientes estándares internacionales y mejores prácticas, como
ISO 27005, ISO 31000 y Basilea II, le ayudamos a identificar los riesgos a los que su organización está expuesta en función al impacto que pudieran tener en su negocio y a establecer prioridades para su tratamiento.

Objetivo

Identificar, analizar, evaluar y gestionar riesgos de seguridad de la información considerando un enfoque de costo-riesgo.

Entregables

Diagramas de Riesgo de seguridad de la información en los procesos del negocio
Inventario de activos de información
Escenarios de riesgo (vulnerabilidades, amenazas, impacto y posibilidad de ocurrencia)
Matriz de riesgos de Seguridad de la Información
Estrategia de Administración de Riesgo
Plan de tratamiento de riesgos

Componentes de un riesgo

Activo: Es cualquier elemento al cual se le asigna un valor y por lo tanto requiere protección.
Vulnerabilidad: Debilidad inherente al activo. Su presencia no causa daño por sí misma ya que necesita existir una amenaza que la explote. La falta de un control también puede considerarse una vulnerabilidad.
Amenaza: Una circunstancia o evento que tiene el potencial de causar daño a un activo y por lo tanto a la organización.
Impacto: Daño causado por una amenaza que explota una vulnerabilidad en un activo y que afecta adversamente el logro de los objetivos de negocio.

Metodología

Planeación: Analizar la situación actual y establecer el contexto.
Identificación y análisis de procesos: Identificar los procesos y actividades en el alcance.
Identificación de los componentes del riesgo: Identificar activos, vulnerabilidades y amenazas e impactos.
Análisis de riesgos: Analizar los activos, vulnerabilidades, amenazas e impactos y calcular el riesgo.
Evaluación de riesgos: Establecer las prioridades de riesgos.
Identificación de opciones de tratamiento: Identificar cómo se tratarán los riesgos.
Definición de estrategias de Administración de Riesgos.