Guía de administración de riesgos de seguridad
Capítulo 5: Apoyo a la toma de decisiones
En esta página
Información generalSu organización ya debe haber terminado la fase de evaluación de riesgos y haber desarrollado una lista de prioridades de los riesgos para los activos más valiosos. Ahora debe afrontar los riesgos más importantes mediante la determinación de las acciones adecuadas para mitigarlos. Esta fase se denomina apoyo a la toma de decisiones. Durante la fase anterior, el equipo de administración de riesgos de seguridad ha identificado los activos, las amenazas a dichos activos, las vulnerabilidades que tales amenazas pueden aprovechar para efectuar posibles ataques en los activos y los controles ya establecidos para proteger los activos. A continuación, el equipo de administración de riesgos de seguridad ha elaborado una lista de prioridades de riesgos. El proceso de apoyo a la toma de decisiones incluye un análisis de costo-beneficio formal con funciones y responsabilidades definidas en los límites organizativos. El análisis de costo-beneficio proporciona una estructura coherente y exhaustiva para identificar, determinar el alcance y seleccionar la solución más eficaz y asequible para reducir el riesgo a un nivel aceptable. De forma similar al proceso de evaluación de riesgos, el análisis de costo-beneficio requiere definiciones de función estrictas para que funcione de forma eficaz. Asimismo, antes de efectuar el análisis de costo-beneficio, el equipo de administración de riesgos de seguridad debe garantizar que todos los participantes, incluido el patrocinador ejecutivo, han reconocido y aceptado el proceso. Durante la fase de apoyo a la toma de decisiones, el equipo de administración de riesgos de seguridad debe determinar cómo afrontar los riesgos clave del modo más eficaz y asequible. El resultado final serán planes claros para controlar, aceptar, transferir o evitar cada uno de los riesgos principales identificados en el proceso de evaluación de riesgos. Los seis pasos de la fase de apoyo a la toma de decisiones son:
En la figura 5.1, a continuación, se ilustran estos seis pasos y el modo en que la fase de apoyo a la toma de decisiones se relaciona con el proceso de administración de riesgos de seguridad global de Microsoft.  Figura 5.1 Proceso de administración de riesgos de seguridad de Microsoft: Fase de apoyo a la toma de decisiones A la hora comparar el valor de un determinado control con otro, no hay fórmulas simples. El proceso puede ser complejo por varios motivos. Por ejemplo, algunos controles afectan a varios activos. El equipo de administración de riesgos de seguridad debe ponerse de acuerdo en el modo de comparar los valores de los controles que afectan a distintas combinaciones de activos. Además, existen costos asociados a controles que abarcan más que la implementación de dichos controles. Entre las preguntas relacionadas que se deben plantear se incluyen:
En el resto de este capítulo se tratarán las respuestas a estas preguntas. Obtendrá éxito durante el proceso de apoyo a la toma de decisiones si sigue un camino definido y si los participantes comprenden sus funciones correspondientes en cada paso. En el siguiente diagrama se ilustra el modo en que el equipo de administración de riesgos de seguridad lleva a cabo el proceso de apoyo a la toma de decisiones. Los responsables de mitigación son los encargados de proponer controles que reducirán el riesgo y, a continuación, de determinar el costo de cada control. Por cada control propuesto, el equipo de administración de riesgos de seguridad estima la reducción del nivel de riesgo que se espera que el control proporcione. Con estos elementos de información, el equipo puede llevar a cabo un análisis de costo-beneficio eficaz del control para determinar si recomienda su implementación. Posteriormente, el comité de dirección de seguridad decide los controles que se implementarán.  Figura 5.2 Información general acerca de la fase de apoyo a la toma de decisiones La definición clara de las funciones reduce las demoras parcialmente porque sólo un grupo es el responsable de la decisión. No obstante, la experiencia demuestra que la efectividad global del programa de administración de riesgos aumenta si cada responsable colabora con el resto de los participantes. Nota: la administración de riesgos es un ciclo perpetuo, por lo que mantener un espíritu cooperativo aumenta la moral de los participantes y puede reducir realmente el riesgo de la empresa si se les permite que reconozcan las ventajas de sus aportaciones y actúan de forma oportuna para reducir el riesgo. Como resulta evidente, debe procurar mantener y promover esta actitud a lo largo de los procesos de administración de riesgos y de apoyo a la toma de decisiones. Información necesaria para la fase de apoyo a la toma de decisionesSólo hay un elemento de información de la fase de evaluación de riesgos que se necesita para la fase de apoyo a la toma de decisiones: la lista de prioridades de los riesgos que se tienen que mitigar. Si ha seguido los procedimientos descritos en el capítulo 4, "Evaluación del riesgo", habrá registrado esta información en la hoja de trabajo Riesgo detallado de la hoja de cálculo GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls de Microsoft® Excel, que se encuentra en la carpeta Herramientas y plantillas creada al desempaquetar el archivo que contiene esta guía y los archivos relacionados. Seguirá utilizando la misma hoja de trabajo durante esta fase del proceso. Participantes de la fase de apoyo a la toma de decisionesLos participantes de la fase de apoyo a la toma de decisiones son similares a los de la fase de evaluación de riesgos; de hecho, la mayoría, si no todos, de los miembros de equipo habrán participado en la fase anterior. El informe de costo-beneficio informa de la mayoría de las tareas del proceso de apoyo a la toma de decisiones. No obstante, antes de iniciar el análisis de costo-beneficio, asegúrese de que todos los participantes comprenden sus funciones correspondientes. En la tabla siguiente se resumen las funciones y las responsabilidades principales de cada grupo en el proceso de apoyo a la toma de decisiones. Tabla 5.1: Funciones y responsabilidades en el programa de administración de riesgos
El equipo de administración de riesgos de seguridad debe asignar un técnico de seguridad para cada riesgo identificado. Un único punto de contacto reduce el riesgo de que el equipo de administración de riesgos de seguridad genere mensajes incoherentes y ofrezca un modelo de compromiso nítido a lo largo del análisis de costo-beneficio. Herramientas proporcionadas en la fase de apoyo a la toma de decisionesLa información recopilada en esta fase del proceso se debe registrar en la hoja de trabajo Riesgo detallado de la hoja de trabajo GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls de Excel, que se encuentra en la carpeta Herramientas y plantillas creada al desempaquetar el archivo que contiene esta guía y los archivos relacionados. Resultados necesarios para la fase de apoyo a la toma de decisionesDurante esta fase del proceso de administración de riesgos de seguridad de Microsoft, definirá y seleccionará varios elementos clave de información acerca de cada uno de los riesgos principales que se han identificado durante la fase de evaluación de riesgos. En la siguiente tabla se resumen estos elementos clave y en las secciones posteriores de este capítulo se describen en detalle. Tabla 5.2: Resultados necesarios para la fase de apoyo a la toma de decisiones
Consideraciones acerca de las opciones de apoyo a la toma de decisionesLas organizaciones disponen de dos tácticas básicas en lo que se refiere al modo en que afrontan el riesgo: pueden aceptar un riesgo o pueden implementar controles para reducir el riesgo. Si optan por aceptar un riesgo, pueden decidir transferirlo por completo, o una parte de él, a un tercero, como una empresa de seguros o una empresa de servicios administrados. En las dos siguientes secciones se examinarán estos dos enfoques del riesgo: aceptación o implementación de controles que faciliten la reducción del riesgo. Nota: muchos especialistas de administración de riesgos de seguridad creen que existe otra forma de afrontar cada riesgo: evitarlo. Pero es importante tener presente que cuando se opta por evitar un riesgo, se está decidiendo detener cualquier actividad que presente el riesgo. En relación con la administración de riesgos de seguridad, para evitar un riesgo las organizaciones deben dejar de utilizar el sistema de información que incluye el riesgo. Por ejemplo, si el riesgo es que "en un año, los servidores a los que no se hayan aplicado revisiones pueden estar en peligro por el software malintencionado, lo que puede poner en peligro la integridad de los datos financieros", la única forma de evitar un riesgo es dejar de utilizar los servidores, lo que, con toda probabilidad, no es una opción realista. En el proceso de administración de riesgos de seguridad de Microsoft se supone que las organizaciones sólo están interesadas en examinar activos que proporcionen valor de negocio y permanezcan en servicio. Por lo tanto, en esta guía no se tratará la evitación del riesgo como una opción. Aceptación del riesgo actualEl comité directivo de seguridad debe optar por aceptar un riesgo actual si determina que no hay controles asequibles para reducir productivamente el riesgo. Esto no significa que la organización no puede afrontar de forma eficaz el riesgo mediante la implementación de uno o varios controles, sino que significa que el costo de implementar el control o los controles, o el efecto de dichos controles en la capacidad de desarrollar el negocio de la empresa, es demasiado alto para el valor del activo que necesita protección. Por ejemplo, tenga en cuenta el siguiente escenario: Un equipo de administración de riesgos de seguridad determina que uno de los riesgos más importantes para los activos clave de la organización es la dependencia de las contraseñas para la autenticación de los usuarios cuando inician sesión en la red corporativa. El equipo identifica que la implementación de tecnología de autenticación de dos factores, como las tarjetas inteligentes, sería la forma más eficaz de reducir y, en última instancia, eliminar el uso de contraseñas para la autenticación. A continuación, el responsable de mitigación calcula el costo de la implementación de tarjetas inteligentes en toda la organización y su efecto en los sistemas operativos y aplicaciones existentes de la organización. El costo de la implementación es bastante alto, pero puede estar justificado; sin embargo, el equipo averigua que muchas de las aplicaciones de negocios desarrolladas internamente de la organización se basan en la autenticación basada en contraseña y que la reescritura o reemplazo de dichas aplicaciones resultaría excesivamente caro y se tardarían varios años. Finalmente, el equipo decide no recomendar, en un futuro inmediato, el uso de tarjetas inteligentes para todos los empleados al comité directivo de seguridad. Pero, de hecho, se puede llegar a un compromiso: se puede requerir que los usuarios de cuentas de altos privilegios o confidenciales, como administradores de dominio y ejecutivos, se autentiquen con tarjetas inteligentes. El comité directivo de seguridad toma la decisión final de seguir la recomendación del equipo de administración de riesgos de seguridad: no se requieren tarjetas inteligentes para todos los empleados. Una variación de la aceptación del riesgo es la transferencia del mismo a un tercero. Las pólizas de seguro para los activos de TI están empezando a estar disponibles. Como alternativa, las organizaciones pueden contratar a otras empresas especializadas en los servicios de seguridad administrada; el subcontratista puede asumir toda o parte de la responsabilidad de proteger los activos de TI de la organización. Implementación de controles para reducir el riesgoLos controles, que en ocasiones se denominan contramedidas o protecciones, son medios organizativos, de procedimiento o técnicos de administrar los riesgos. Los responsables de mitigación, con el apoyo del equipo de administración de riesgos de seguridad, identifican todos los posibles controles, calculan el costo de la implementación de cada control, determinan el resto de los costos relacionados con el control (como las molestias a los usuarios o el costo del mantenimiento continuo del control) y evalúan la reducción del nivel de riesgo posible con cada control. Toda esta información permite que el equipo lleve a cabo un análisis de costo-beneficio para cada control propuesto. Los controles que reduzcan con más eficacia el riesgo para los activos clave a un costo razonable para la organización son los controles cuya implementación el equipo recomendará con más entusiasmo. Claves para el éxitoDe forma similar a la fase de evaluación de riesgos, la definición de unas expectativas razonables es fundamental si se desea que la fase de apoyo a la toma de decisiones tenga éxito. El apoyo a la toma de decisiones requiere aportaciones importantes de distintos grupos que representan a toda la empresa. Si alguno de estos grupos no comprende o participa activamente en el proceso, la eficacia de todo el programa puede estar en peligro. Asegúrese de explicar de forma clara lo que se espera de cada participante durante la fase de apoyo a la toma de decisiones, incluidas las funciones, las responsabilidades y el grado de participación. Creación de consensoEs importante que todo el equipo de administración de riesgos de seguridad tome decisiones por consenso en la medida de lo posible; sin él, los comentarios de los miembros en contra pueden socavar las recomendaciones después de que el equipo las presente al comité directivo de seguridad. Aunque el comité apruebe los controles recomendados, la oposición subyacente puede provocar que los proyectos de implementación de controles de seguimiento no se apliquen. Para que tenga éxito todo el proceso de administración de riesgos, todos los miembros del equipo deben estar de acuerdo y apoyar los controles recomendados. Evitar las maniobras obstruccionistasDado que uno de los objetivos de esta fase es crear, mediante consenso, una lista de controles, cualquier participante puede ralentizar o detener el progreso mediante una maniobra obstruccionista. Es decir, cualquier persona que participe en la fase de apoyo a la toma de decisiones puede decidir que no está de acuerdo en recomendar un determinado control. Por otro lado, alguien puede intentar imponer su particular punto de vista a la mayoría si está amenazada la recomendación de cierto control. Es muy importante que el responsable de evaluación de riesgos resuelva las situaciones de obstruccionismo cuando se produzca. Queda fuera del alcance de esta guía las recomendaciones exhaustivas acerca de cómo afrontar este tipo de situaciones, pero una táctica eficaz sería determinar los motivos clave del punto de vista de dicha persona y trabajar con el equipo para encontrar alternativas eficaces o compromisos que todo el equipo considere aceptables. Identificación y comparación de controlesEn esta sección se explica el modo en que el responsable de mitigación identifica las posibles soluciones de control y determina los tipos de costos asociados a cada control propuesto y cómo el equipo de administración de riesgos de seguridad estima la reducción de nivel de riesgo que cada control propuesto proporciona. Los responsables de mitigación y el equipo de administración de riesgos de seguridad presentan sus resultados y soluciones recomendadas al comité directivo de seguridad para que se pueda seleccionar una lista final de soluciones de control para su implementación. En el siguiente diagrama se ofrece un extracto de la hoja de trabajo Riesgo detallado de la hoja de cálculo de Excel que se ha utilizado para realizar la evaluación detallada de los riesgos en el capítulo anterior. Esta hoja de trabajo, GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls, se incluye en esta guía y se encuentra en la carpeta Herramientas y plantillas. En el diagrama se muestran todos los elementos empleados durante el análisis de costo-beneficio. En los pasos siguientes se describe cada columna.  Figura 5.3 Sección de apoyo a la toma de decisiones de la hoja de trabajo Riesgo detallado (GARSHerramienta3) Nota: la hoja de trabajo se centra en la reducción de la probabilidad de repercusiones al determinar la reducción del nivel de riesgo. Se supone que el valor del activo no cambia en el período de tiempo de la evaluación de riesgos. Normalmente, el nivel de exposición (alcance de daños en el activo) permanece constante. La experiencia demuestra que los niveles de exposición normalmente no cambian si las descripciones de amenaza y de vulnerabilidad se especifican lo suficientemente detalladas. Paso 1: Definir los requisitos funcionalesLos requisitos de seguridad funcionales son declaraciones que describen los controles necesarios para mitigar el riesgo. El término "funcional" es importante: los controles se deben describir según las funciones deseadas en oposición a las tecnologías especificadas. Pueden ser posibles soluciones técnicas alternativas y cualquier resolución es aceptable si cumple los requisitos de seguridad funcionales. El equipo de administración de riesgos de seguridad es el encargado de definir los requisitos funcionales, el primer resultado del proceso del análisis de costo-beneficio. Para identificar correctamente los posibles controles, el equipo de administración de riesgos de seguridad tiene que definir lo que los controles deben realizar para reducir el riesgo para la empresa. Aunque el equipo conserva la responsabilidad, es muy recomendable la colaboración con el responsable de la solución de mitigación. Los requisitos funcionales se deben definir para cada riesgo descrito en el proceso de apoyo a la toma de decisiones; el resultado generado se denomina "Definiciones de requisitos funcionales". La definición y la responsabilidad del requisito funcional resultan muy importantes para el proceso de costo-beneficio. El documento define lo que se tiene que producir para reducir el riesgo pero no especifica cómo se debe reducir ni define controles específicos. Esta distinción concede al equipo de administración de riesgos de seguridad la responsabilidad en su área a la vez que también permite que el responsable de mitigación, que implementa la solución de mitigación, tome decisiones relacionadas con la ejecución y el soporte de la empresa. Las respuestas a cada riesgo se documentan en la columna etiquetada "Requisito de seguridad funcional" de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Los requisitos funcionales se deben revisar una vez al año como mínimo para determinar si continúan siendo necesarios o se deben modificar. El trabajo realizado en la fase anterior permite a las organizaciones comprender sus situaciones de riesgo y determinar de un modo racional los controles que se deben implementar para reducir los riesgos más importantes. El patrocinador ejecutivo y los responsables de negocios desean saber lo que piensa el grupo de seguridad de información que debe hacer la organización ante cada riesgo. El grupo de seguridad de información atiende esta demanda mediante la creación de requisitos de seguridad funcionales. Por cada riesgo, el grupo de seguridad de información elabora una declaración clara del tipo de funcionalidad o proceso que se tiene que introducir para mitigar el riesgo. Ejemplo de Woodgrove: a partir del ejemplo de Woodgrove Bank utilizado en el capítulo anterior, se elabora un requisito funcional útil para el riesgo de robo de credenciales de un cliente de red de área local (LAN) administrado debido a una configuración obsoleta de las firmas antivirus, configuraciones de host o revisiones de seguridad obsoletas: DEBE existir la capacidad para autenticar la identidad de los usuarios mediante uno o varios factores cuando inicien sesión en la red local. Un ejemplo de un requisito que no es funcional lo constituye lo siguiente: La solución DEBE utilizar tarjetas inteligentes para autenticar los usuarios. La segunda declaración no es funcional porque describe el uso de una tecnología específica. Corresponde a los responsables de mitigación proporcionar a una lista de soluciones de control específicas que cumplan los requisitos funcionales; es decir, traducen los requisitos funcionales en soluciones de control técnico y/o controles administrativos (directiva, estándares, directrices, etc.). El requisito funcional para el segundo riesgo examinado durante el paso de asignación de prioridades a los riesgos de nivel detallado, el riesgo de robo de credenciales de hosts móviles remotos como resultado de una configuración de seguridad obsoleta: DEBE existir la capacidad para autenticar la identidad de los usuarios mediante uno o varios factores cuando inicien sesión en la red de forma remota. Registre los requisitos funcionales de cada riesgo en la columna Requisitos de seguridad funcionales de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. En el documento 2119 de Request for Comments (RFC) de Internet Engineering Task Force (IETF), disponible en www.ietf.org/rfc/rfc2119.txt, se proporciona orientación acerca de las palabras o frases clave que se deben emplear en las declaraciones de requisitos. Dichos términos, que normalmente aparecen en mayúsculas, son "SE TIENE QUE", "NO SE TIENE QUE", "OBLIGATORIO", "SE TENDRÁ QUE", "NO SE TENDRÁ QUE", "SE DEBE", "NO SE DEBE", "RECOMENDADO", "PUEDE" y "OPCIONAL". Microsoft recomienda utilizar estas frases clave en las declaraciones de requisitos funcionales según las definiciones proporcionadas en el documento RFC 2119:
Después de haber definido y documentado los requisitos funcionales para cada riesgo, puede ir al siguiente paso de la fase de apoyo a la toma de decisiones. Paso 2: Identificar las soluciones de controlEn el siguiente paso de esta fase corresponde a los responsables de mitigación elaborar una lista de nuevos posibles controles para cada riesgo que cumplan los requisitos funcionales del mismo. En muchas organizaciones, los miembros del grupo de seguridad de información podrán colaborar mediante la identificación de una serie de posibles controles para cada riesgo identificado y caracterizado durante la fase anterior. Las organizaciones que no dispongan de suficientes especialistas internos para este fin pueden complementar la labor de los responsables de mitigación con consultores. El proceso de identificar los posibles controles puede parecer complejo, sobre todo si ninguno de los responsables de mitigación, o sólo algunos, no lo han hecho anteriormente. Existen dos enfoques que pueden ayudar a los equipos a pensar en nuevas ideas; muchas organizaciones consideran que resulta más eficaz utilizar ambos. El primero es un enfoque de lluvia de ideas informal; el segundo es más organizado y está basado en el modo en que los controles se pueden clasificar y organizar. El equipo de administración de riesgos de seguridad debe utilizar una combinación de estos dos enfoques. En el enfoque de lluvia de ideas, el responsable de evaluación de riesgos expone la siguiente serie de preguntas al equipo por cada riesgo. El responsable de registro de evaluación de riesgos documenta todas las respuestas en la columna etiquetada "Control propuesto" de la hoja de trabajo Riesgo detallado de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Este proceso continúa hasta que todos los riesgos principales se han examinado y el equipo pasa a determinar los costos asociados a cada control.
El segundo método para identificar los nuevos posibles controles los organiza en tres categorías extensas: organizativa, operativa y tecnológica. Éstos se subdividen en controles que proporcionan prevención, detección y recuperación, así como administración. Los controles preventivos se implementan para impedir que se materialice un riesgo; por ejemplo, detienen las infracciones antes de que se produzcan. Los controles de detección y recuperación ayudan a la organización a determinar cuándo se ha producido un suceso de seguridad y para reanudar las operaciones normales posteriormente. Los controles de administración no proporcionan necesariamente protección por sí mismos, pero son necesarios para implementar otros controles. A continuación se describen estas categorías con más detalle. Controles organizativosLos controles organizativos son procedimientos y procesos que definen el modo en que las personas de la organización deben llevar a cabo sus tareas. Los controles preventivos de esta categoría son:
Los controles de detección de esta categoría son:
Los controles de administración de esta categoría son:
Controles operativosLos controles operativos definen el modo en que las personas de la organización deben tratar los datos, el software y el hardware. También incluyen protecciones ambientales y físicas, según se describe a continuación. Los controles preventivos de esta categoría son:
Los controles de detección y recuperación de esta categoría son:
Controles de tecnologíaLos controles de tecnología varían considerablemente en cuanto a su complejidad. Incluyen: diseño de la arquitectura del sistema, ingeniería, hardware, software y firmware. Todos son componentes de tecnología que se utilizan para crear los sistemas de información de una organización. Los controles preventivos de esta categoría son:
Los controles de detección y recuperación de esta categoría son:
Los controles de administración de esta categoría son:
Cuando evalúe las soluciones de control, también puede resultar útil que consulte la sección "Organización de las soluciones de control" del capítulo 6, "Implementación de controles y medición de la efectividad del programa". En esta sección se incluyen vínculos a orientación normativa escrita para ayudar a las organizaciones a aumentar la seguridad de sus sistemas de información. Ejemplo de Woodgrove: el primer riesgo, el de que las credenciales del usuario asesor financiero se puedan robar durante el inicio de sesión en la LAN, si se puede solucionar si se les pide a los usuarios que se autentiquen con tarjetas inteligentes al conectarse localmente a la red corporativa. El segundo riesgo, el de que las credenciales del usuario asesor financiero se puedan robar durante el inicio de sesión en la red de forma remota, se puede solucionar si se les pide a todos los usuarios que se autentiquen con tarjetas inteligentes al conectarse de forma remota a la red corporativa. Registre cada uno de los controles propuestos para cada riesgo en la columna "Control propuesto" de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Paso 3: Revisar la solución según los requisitosEl equipo de administración de riesgos de seguridad debe aprobar la solución de control para garantizar que el control cumple los requisitos funcionales definidos. Otra ventaja de la colaboración en los procesos de costo-beneficio reside en la capacidad de anticipar las comprobaciones y los balances inherentes al proceso; por ejemplo, si el responsable de mitigación está incluido en la definición de requisitos de seguridad, normalmente la solución cumplirá los requisitos. Los controles que no cumplan los requisitos funcionales para un riesgo específico se quitan de la hoja de trabajo Riesgo detallado. Ejemplo de Woodgrove: el equipo de administración de riesgos de seguridad ha comparado el uso de tarjetas inteligentes para la autenticación de usuario con el fin de determinar si su implementación cumple los requisitos funcionales. En este caso, las tarjetas inteligentes cumplen los requisitos funcionales de los dos riesgos de este ejemplo. Marque cada uno de los controles rechazados con un formato distinto en GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Paso 4: Estimar la reducción del riesgoDespués de que el equipo de administración de riesgos de seguridad apruebe la mitigación posible, debe volver a calcular la reducción de riesgo global para la empresa. La cantidad de reducción de riesgo se comparará con el costo de la solución de mitigación. Éste es el primer paso en el que el importe económico puede proporcionar valor al análisis de costo-beneficio. La experiencia demuestra que la reducción de riesgo normalmente se estima ampliando la probabilidad del efecto a la empresa. Recuerde que cada clasificación de probabilidad (alta, media o baja) tiene un intervalo de tiempo previsto en el que es probable que se produzca el ataque. La ampliación de la estimación de posibilidad de ataque de un año a más de tres proporciona un valor importante al equipo de administración de riesgos de seguridad y al comité directivo de seguridad. Aunque puede que la estimación de pérdida financiera no se reduzca, es menos probable que la pérdida se produzca en un futuro próximo. Es importante tener presente que el objetivo no es reducir el efecto a cero, sino definir un nivel de riesgo aceptable para la empresa. Otra ventaja de reducir el riesgo a corto plazo está relacionada con la tendencia común de los costos de controles técnicos a disminuir con el tiempo y a aumentar su eficacia. Por ejemplo, una mejora en la estrategia actual de administración de revisiones puede reducir considerablemente la probabilidad de riesgos de host hoy en día. Sin embargo, el costo de implementar revisiones y actualizaciones de seguridad puede disminuir a medida que estén disponibles nuevas orientaciones y herramientas para administrar de forma eficaz estas operaciones. La reducción de los costos mediante la autenticación de dos factores ofrece otro ejemplo de esta tendencia. Al determinar el grado relativo de reducción de riesgo de un control asegúrese de contemplar todas las formas en que el control puede afrontar el riesgo. Entre las preguntas que se deben plantear se incluyen:
Estas preguntas pueden resultar complejas cuando un determinado control afecta a varias vulnerabilidades y activos. Por último, el objetivo de este paso es realizar la estimación de la reducción de los niveles de riesgo que efectúa cada control. Registre los nuevos valores de Clasificación de exposición, Clasificación de probabilidad y Clasificación de riesgo en las columnas etiquetadas "Clasificación de exposición con el nuevo control", "Clasificación de probabilidad con el nuevo control" y "Nueva clasificación de riesgo" de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls para cada riesgo. Ejemplo de Woodgrove: en relación con el primer riesgo, el de que se pongan en peligro las contraseñas de los asesores financieros mientras utilizan clientes de LAN, el equipo de administración de riesgos de seguridad puede llegar a la conclusión de que la clasificación de exposición después de implementar tarjetas inteligentes para la autenticación local sería de 8, la clasificación de probabilidad bajaría a 1 y, por lo tanto, la nueva clasificación de riesgo sería de 9. Para el segundo riesgo, el de que se pongan en peligro las contraseñas de los asesores financieros al acceder a la red de forma remota, el equipo de administración de riesgos de seguridad encontraría valores similares. Registre las nuevas clasificaciones de exposición, probabilidad y riesgo para cada control propuesto en las columnas "Clasificación de exposición con el nuevo control", "Clasificación de probabilidad con el nuevo control" y "Nueva clasificación de riesgo" de la hoja de trabajo Riesgo detallado de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Paso 5: Estimar el costo de la soluciónEn la siguiente tarea de esta fase corresponde al responsable de mitigación estimar el costo relativo de cada control propuesto. El equipo de ingeniería de TI debe poder determinar el modo de implementar cada control y proporcionar estimaciones razonablemente precisas acerca de lo que costará la adquisición, la implementación y el mantenimiento de cada uno. Debido a que el proceso de administración de riesgos de seguridad de Microsoft implica un proceso de administración de riesgos híbrido, no es necesario calcular los costos precisos, basta con unas estimaciones. Durante el análisis de costo-beneficio, se compararán los valores y los costos relativos de cada control en vez de las cifras financieras absolutas. Cuando el equipo cree estas estimaciones, debe tener en cuenta todos los gastos directos e indirectos que puedan estar asociados a un control. Registre los costos de cada control en la columna etiquetada "Costo de descripción de controles" de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Costos de adquisiciónEstos costos abarcan el software, el hardware o los servicios relacionados con un nuevo control propuesto. Puede que algunos controles no tengan costos de adquisición; por ejemplo, la implementación de un nuevo control puede implicar únicamente la habilitación de una característica no utilizada anteriormente en un elemento de hardware de red que ya utiliza la organización. Otros controles pueden requerir la compra de nuevas tecnologías, como software de servidor de seguridad distribuido o hardware de servidor de seguridad dedicado con capacidad de filtrado de niveles de aplicación. Algunos controles pueden no requerir que se compre nada sino que se contrate a otra organización. Por ejemplo, una organización puede contratar a otra empresa para que le proporcione una lista de bloqueo de sistemas de envío de correo no deseado conocidos que se actualice diariamente para poderla aprovechar en sus filtros de correo no deseado que ya están instalados en los servidores de correo de la organización. Puede haber otros controles que la organización decida desarrollar por su cuenta; todos los costos relacionados con el diseño, el desarrollo y la prueba de los controles formarían parte de los controles de adquisición de la organización. Costos de implementaciónEstos gastos están relacionados con el personal o los consultores que instalarán y configurarán el nuevo control propuesto. Algunos controles pueden requerir que un equipo grande los especifique, diseñe, pruebe e implemente correctamente. Un administrador de sistemas experto también puede deshabilitar los servicios de sistema no utilizados en todos los equipos de escritorio y móviles en pocos minutos si la organización ya ha implementado herramientas de administración empresarial. Costos continuosEstos costos están relacionados con las actividades continuas asociadas al nuevo control, como la administración, la supervisión y el mantenimiento. Pueden parecer bastante difíciles de estimar, por lo que intente considerarlos en relación con la cantidad de personas que tienen que participar y el tiempo que cada semana (mes o año) se necesita dedicar a estas tareas. Piense en un sistema de detección de intrusión basado en red sólido y distribuido para una gran empresa con oficinas en cuatro continentes. Dicho sistema requiere personas que lo supervisen las 24 horas del día, todos los días, y deben poder interpretar y responder a las alertas eficazmente. Se pueden necesitar ocho o diez (tal vez más) empleados a tiempo completo para que la organización desarrolle totalmente el potencial de este control complejo. Costos de comunicacionesEste gasto está relacionado con la notificación de nuevas directivas o procedimientos a los usuarios. Para una organización con unos cientos de empleados que instale bloqueos electrónicos para su sala de servidores, puede ser suficiente con enviar unos cuantos mensajes de correo electrónico al personal de TI y directores jefe. Pero una organización que, por ejemplo, implemente tarjetas inteligentes necesitará establecer muchas comunicaciones antes, durante y después de la distribución de las tarjetas inteligentes y los lectores, debido a que los usuarios tendrán que aprender una nueva forma de iniciar sesión en sus equipos y, sin duda alguna, se producirán numerosas situaciones nuevas o inesperadas. Costos de cursos para el personal de TIEstos costos están asociados al personal de TI que tenga que implementar, administrar, supervisar y realizar el mantenimiento del nuevo control. Considere el ejemplo anterior de la organización que ha decidido implementar tarjetas inteligentes. Distintos equipos de la organización de TI tendrán diferentes responsabilidades y, por lo tanto, precisarán distintos tipos de cursos. El personal del servicio de asistencia tendrá que saber cómo ofrecer ayuda a los usuarios finales a superar problemas habituales, como tarjetas o lectores dañados y números de identificación personal olvidados. El personal del servicio de asistencia tendrá que saber cómo instalar, solucionar problemas, diagnosticar y reemplazar los lectores de tarjetas inteligentes. Un equipo de la organización de TI, otro del departamento de recursos humanos o quizás otro del departamento de seguridad física de la organización serán los responsables de proporcionar las tarjetas nuevas y de reemplazo, así como de recuperar las tarjetas de los empleados que se marchen. Costos de cursos para los usuariosEste gasto está relacionado con los usuarios que tengan que incorporar un nuevo comportamiento para trabajar con el nuevo control. En el escenario de las tarjetas inteligentes mencionado anteriormente, todos los usuarios tendrán que comprender el uso de las tarjetas inteligentes y de los lectores, así como el cuidado correcto de las tarjetas, ya que la mayoría de los diseños son más sensibles a situaciones extremas físicas que las tarjetas de crédito o las bancarias. Costos para la productividad y la comodidadEstos gastos están asociados a los usuarios cuyo trabajo se verá afectado por el nuevo control. En el escenario de las tarjetas inteligentes, se puede suponer que todo resultará más sencillo para una organización después de las primeras semanas y meses de la implementación de las tarjetas y de los lectores y de ayudar a los usuarios a superar los problemas iniciales. Pero para la mayoría de las organizaciones no sucede así. Por ejemplo, muchas descubrirán que las aplicaciones existentes no son compatibles con las tarjetas inteligentes. En algunos casos esto puede no ser importante, pero ¿qué sucede con las herramientas que el departamento de recursos humanos utiliza para administrar la información confidencial de los empleados? ¿O con el software de administración de relaciones con el cliente que se utiliza en toda la organización para realizar el seguimiento de los datos importantes de todos los clientes? Si existen aplicaciones de negocios fundamentales como las anteriores que no son compatibles con las tarjetas inteligentes y están configuradas para requerir autenticación de usuario, es posible que la organización se deba enfrentar a una situación difícil. Puede actualizar el software, lo que requerirá todavía más costos para nuevas licencias, la implementación y los cursos. O puede deshabilitar las características de autenticación, pero se reduciría la seguridad de forma considerable. También puede requerir que los usuarios introduzcan nombres de usuario y contraseñas al tener acceso a dichas aplicaciones, pero, de nuevo, los usuarios tendrían que recordar contraseñas, lo que socava una de las ventajas clave de las tarjetas inteligentes. Costos de auditoría y comprobación de eficaciaUna organización puede afrontar estos gastos después de implementar el nuevo control propuesto. Algunos ejemplos de las preguntas que se puede plantear para definir aún más estos controles son:
La organización debe poder probar que nadie ha modificado o deshabilitado el control de forma accidental o malintencionada y debe determinar a quién se encargará dicha comprobación. Para los activos muy confidenciales, puede ser necesario que varias personas validen los resultados. Ejemplo de Woodgrove: en las tablas 5.3 y 5.4 siguientes los responsables de mitigación han determinado los costos de los riesgos. Registre las estimaciones de costos para cada control propuesto en la columna "Costo de descripción de controles" de GARSHerramienta3-Asignación de prioridades a los riesgos de nivel detallado.xls. Tabla 5.3: Costos de implementación de tarjetas inteligentes para VPN y el acceso administrativo
Tabla 5.4: Costos de implementación de tarjetas inteligentes para el acceso local
Paso 6: Seleccionar la solución de mitigación de riesgoEl último paso en el análisis de costo-beneficio consiste en comparar el nivel de riesgo después de la solución de mitigación con el costo de dicha solución. Tanto el riesgo como el costo contienen valores subjetivos que son difíciles de cuantificar en términos financieros exactos. Utilice los valores cualitativos como una prueba razonable de comparación. Evite la tentación de descartar los costos intangibles si se produce el riesgo. Pregunte al responsable del activo qué sucedería si el riesgo se produjera. Pida al responsable que documente su respuesta para evaluar la importancia de la solución de mitigación. Esta táctica puede ser tan persuasiva como una comparación aritmética de valores cuantitativos. Un error habitual en el análisis de costo-beneficio consiste en centrarse en el nivel de reducción riesgo en vez del nivel de riesgo después de la solución de riesgo. Se suele denominar riesgo residual. Un ejemplo simple con términos cuantitativos: si el riesgo se representa como 1000 dólares actualmente y el control propuesto reduce el riesgo en 400 dólares, el responsable de negocios debe aceptar el riesgo tras la solución de mitigación de 600 dólares. Aunque la solución de mitigación sea menor que 400 dólares, seguirá habiendo un riesgo residual de 600 dólares. Ejemplo de Woodgrove: es muy probable que el banco opte por implementar tarjetas inteligentes sólo para el acceso remoto, ya que el costo para requerirlas en todas las autenticaciones de usuario es bastante alto. Documente las soluciones de seguridad recomendadas que se han seleccionado para su implementación antes de pasar a la siguiente fase del proceso de administración de riesgos de seguridad de Microsoft. ResumenDurante la fase de apoyo a la toma de decisiones, el equipo de administración de riesgos de seguridad recopila elementos fundamentales de información adicional acerca de cada uno de los riesgos principales identificados en la fase de evaluación de riesgos. Por cada riesgo se determina si la organización debe optar por controlarlo, aceptarlo, transferirlo o evitarlo. A continuación, el equipo define los requisitos funcionales para cada riesgo. Después, los responsables de mitigación, en coordinación con el equipo de administración de riesgos de seguridad, crean una lista de posibles soluciones de control. Posteriormente, el equipo estima la reducción de nivel de riesgo que cada solución de control proporciona y los costos asociados a cada una. Finalmente, el comité directivo de seguridad selecciona las soluciones de control que los responsables de mitigación deben implementar en la siguiente fase, Implementación de controles, que se describe en el siguiente capítulo.
|
En este artículo
|
