Anlisis del Riesgo

Denys A. Flores, Ing., MSc. Quito, 6 de marzo de 2013

Generalidades
Involucra el esfuerzo de una o ms personas Analiza eventos de riesgo futuros Los riesgos estn atados a los objetivos de alcance, tiempo, costo y calidad Un riesgo puede tener una o ms causas
Requerimiento Suposiciones Restriccin Condicin E.g., Requerir permiso ambiental, contar con limitado personal

Generalidades
Un riesgo puede tener uno o ms impactos
Costar mas Tiempo de solucin Reestructurar infraestructura

Nace de la incertidumbre presente en cualquier proyecto, infraestructura, solucin, etc.

Anlisis de Riesgo
Reuniones de anlisis con los miembros del CSIRT Establecer un plan de alto nivel para gestionar riesgos Asignar responsabilidades Asignar presupuesto Crear plantillas que consideren:
Categoras de Riesgo Niveles de Riesgo Probabilidad por Tipo de Riesgo Impacto por tipo de Objetivos Matriz de Impacto y Probabilidad

Anlisis de Riesgo
Definir la metodologa de anlisis de riesgo
Enfoques, herramientas, fuentes de datos

Definir Roles y Responsabilidades

Lder, apoyos y funciones de los miembros del CSIRT Para cada actividad definida en el plan de gestin de riesgos

Presupuestar y asignar recursos Establecer la frecuencia con que se va a ejecutar y revisar el plan

Anlisis de Riesgo
Risk Breakdown Structure (RBS)

Tcnicos

Externos

Organizacionales

Administrativos

Requerimientos

Proveedores, Outsourcing, Cloud Regulatorios, Legales

Dependencias

Estimacin

Tecnologa

Recursos

Planeacin

Complejidad, Infraestructura

Mercado

Monetarios

Control

Desempeo y Confiabilidad

Cliente

Prioridades

Comunicacin

Calidad

Medio Ambientales

Anlisis de Riesgo
Objetivos del Servicio y/o Aplicacin
Confidencialidad Disponibilidad Integridad Recuperacin de Errores Tolerancia a Fallos Calidad

Anlisis de Riesgo
Tcnicas de Identificacin
Revisar documentos del plan Recoleccin de Informacin
Lluvia de Ideas Brainstorming Tcnica Delphi Rondas de Validacin Entrevistas

Checklists Conocimiento Previo

Anlisis de Riesgo
Tcnicas de Identificacin
Anlisis de Supuestos Escenarios que buscan inexactitud, inestabilidad, inconsistencia o incompletitud de los escenarios Diagramas
Causa Efecto Digramas de Flujo de Procesos o Sistemas Diagramas de Influencia

Anlisis FODA Jucio Experto

Anlisis de Riesgo Cualitativo

Priorizar riesgos para anlisis ms profundo
Mediante su probabilidad e impacto

Se enfoca luego en el establecimiento de contingencias para riesgos de alta amenaza Se evalua considerando los objetivos del servicio o aplicacin
Confidencialidad Disponibilidad Integridad Recuperacin de Fallos Calidad

Es rpido y efectivo en costo para establecer contingencias

Anlisis de Riesgo Cualitativo

Evaluacin de Amenazas
Riesgo 1: Reduccin del Ancho de Banda durante horas laborables
Bajo Medio Alto
Ms del 80% de transacciones no completadas Ms del 40% de usuarios no tienen Internet 60% de throughput sin retransmisin

Confidencialidad Disponibilidad

Sin problema transaccional

40% de transacciones no completadas

No hay interrupciones de servicio

35% de los usuarios no tienen Internet

Integridad

90% de throughput sin retransmisin

80% de throughput sin retransmisin

Recuperacin de Fallos Calidad

No hay sesiones cadas

60% de sesiones activas

50% de sesiones Ms de 4 segundos de latencia

No hay latencia

2 segundos de latencia

Anlisis de Riesgo Cualitativo

Evaluacin de Impacto
Probabilidad 90% 70% 50% 30% 10% 5% 9% 18% 68% 85% Amenazas 36% 42% 52% 50% 85% 90%

Anlisis de Riesgo Cuantitativo

Evaluacin numrica de la probabilidad, impacto y amenaza de los riesgos Se realiza sobre los riesgos priorizados en el proceso cualitativo por su impacto Analiza los efectos de estos riesgos Generalmente se lo hace luego del anlisis cualitativo A veces no requiere hacerlo, depende de el alcance, tiempo y costo invertido en identificar riesgos

Anlisis de Riesgo Cuantitativo

Entradas:
Plan de Gestin de Riesgo Activos de Informacin Riesgos identificados

Anlisis de Riesgo Cuantitativo

Entradas:
Plan de Gestin de Riesgo Activos de Informacin Riesgos identificados

Anlisis de Riesgo Cuantitativo

Tcnicas de Anlisis
Anlisis de Sensibilidad Diagramas Tornado Costo/Beneficio Matriz cuantitativa de impacto y probabilidad

Monitoreo y Control de Riesgo