Herramienta informática para la gestión de riesgos en tecnologías de la información

Resumen

El trabajo presenta la implementación de la herramienta informática RiesgosTI a través de técnicas de programación e ingeniería de software. En el mismo se describen los antecedentes, características y dificultades de una herramienta similar (DIÓGENES) y se realiza una propuesta de mejoras que serán tomadas en consideración en esta nueva versión sobre software libre.

RiesgosTI es una herramienta que permite la evaluación y gestión de los riesgos en Tecnologías de la Información, a partir de la aplicación de la Resolución 127 del Ministerio de la Informática y las Comunicaciones de Cuba. Está implementada en el lenguaje de programación Java por su potencia para desarrollar aplicaciones en cualquier ámbito, su dinamismo y su propósito general, además de incorporar una base de datos en MySql.

Introducción

Los avances alcanzados en los últimos años en la informatización de la sociedad con el incremento de tecnologías de la información en todos los sectores y en particular de las redes informáticas y sus servicios asociados, y el impulso orientado por la dirección del país al desarrollo acelerado de programas que multipliquen dichos logros, requieren la adopción de medidas que garanticen un adecuado nivel de seguridad para su protección y ordenamiento.

La seguridad de las organizaciones, sistemas y redes de información están constantemente amenazadas por diversas fuentes que incluyen ataques de distintos tipos y origen; la ocurrencia de catástrofes, errores de operación y negligencias, aumentan los riesgos a que están expuestos los servicios y protocolos utilizados, así como el contenido de la información tratada en dichos sistemas, todo lo cual puede afectar severamente la confidencialidad, integridad y disponibilidad de la información.

A partir de las vulnerabilidades y debilidades propias de los sistemas informáticos y de las dificultades y limitaciones que se presentan para detectar y neutralizar oportunamente las posibles acciones del enemigo en esta esfera, resulta necesario implementar un basamento legal que establezca los requerimientos de seguridad en el empleo de las tecnologías de la información a partir de criterios de racionalidad y utilidad, que resulten susceptibles de verificación y propendan a la disminución de los riesgos en la seguridad informática. Así, desde el año 2007 se puso en vigor el Reglamento de Seguridad para las Tecnologías de la Información.

Este Reglamento tiene por objeto establecer los requerimientos que rigen la seguridad de las tecnologías de la información y garantizar un respaldo legal que responda a las condiciones y necesidades del proceso de informatización del país.

El término Seguridad de las Tecnologías de la Información utilizado en ese Reglamento está relacionado con la confidencialidad, integridad y disponibilidad de la información tratada por los ordenadores y las redes de datos. El empleo de otros términos, tales como seguridad de la información, seguridad de los ordenadores, seguridad de datos o seguridad informática, tienen a los efectos de lo que ahí se establece, el mismo significado.

El Reglamento está siendo aplicado en todos los Órganos y Organismos de la Administración Central del Estado y sus dependencias; otras entidades estatales; empresas mixtas; sociedades y asociaciones económicas; entidades privadas radicadas en el país; organizaciones políticas, sociales y de masas y personas naturales que posean o utilicen, en interés propio o de un tercero, tecnologías de la información.

Tomando esta idea inicial como referencia y dado el hecho de que el Ministerio de la Informática y las Comunicaciones (MIC) tiene como atribución estatal la ejecución de inspecciones en materia de Seguridad a las Tecnologías de la Información, es que ha sido concebido un sistema automatizado para la gestión de riesgos en Tecnologías de la Información (DIÓGENES), que implementa los contenidos esenciales que aparecen en el Reglamento de Seguridad para las Tecnologías de la Información y que facilita tanto a la empresa (en términos de autoevaluación), como a los inspectores estatales (al realizar una evaluación), el conocimiento del grado de cumplimiento del mencionado reglamento y el plan de acciones a tomar. Esta herramienta informática se ejecuta sobre el sistema operativo Windows.

A partir de los pasos que ha dado Cuba en materia de software libre por las ventajas que ofrece sobre el software propietario, desde una perspectiva del uso del software de forma colectiva y cooperativa mostrando su carácter público y sus objetivos de beneficiar a toda la comunidad, es que ha surgido la idea de proponer una herramienta con propósitos similares a DIÓGENES pero sobre una plataforma libre que pueda ser utilizada por aquellas empresas u organismos que ya han comenzado a migrar hacia estas tecnologías. Es por eso que se plantea el objetivo general del trabajo.

Objetivo General

Desarrollar una herramienta informática que facilite la verificación del estado de conformidad entre lo establecido oficialmente en el Reglamento de Seguridad para las Tecnologías de la Información vigente en el país y los controles y el análisis de riesgos en las tecnologías de la información implementados en una entidad, utilizando como base tecnológica el software libre.

El cumplimento de tal objetivo dependerá de la satisfacción de los siguientes objetivos específicos.

Objetivos Específicos:

• Investigar acerca de las reglamentaciones existentes en el país para la seguridad y la gestión de riesgos en tecnologías de la información que faciliten la concepción de una herramienta automatizada sobre software libre.

• Realizar el análisis y diseño de la herramienta informática atendiendo a las características del software existente y proponiendo algunas mejoras que permitan optimizar su funcionamiento.

• Implementar la herramienta informática para la evaluación y el reporte de la información sobre riesgos en una empresa, organización o entidad utilizando tecnologías basadas en software libre.

• Realizar validaciones a la herramienta para distintas entidades en la UCLV.

La herramienta RiesgosTI que se pretende implementar es un software libre que sigue la tendencia del país hacia la migración a estas tecnologías. Incorpora técnicas de Programación e Ingeniería de Software con el fin de dar solución a problemas que se presentan cotidianamente en las tecnologías de la información de las diferentes entidades y organismos, lo que le da un valor práctico y puede conducir a que la misma sea generalizada a diversas entidades y organismos que pretendan realizar sus propias evaluaciones acerca de los riesgos en tecnologías de la información, además de su factibilidad de uso por los auditores en estas temáticas. También brinda un apoyo metodológico a los que la utilicen debido a que pueden estar actualizados acerca de cuáles son las reglamentaciones existentes en el país para la gestión de riesgos en tecnologías de la información.

El presente Trabajo de Diploma consta de los siguientes capítulos:

Capítulo I: Marco teórico referencial de la investigación.

En este capítulo se realizará un análisis exhaustivo de los fundamentos de la gestión de riesgos en tecnologías de la información, el cual permitirá conocer las características y evolución de éstas, además de los beneficios que aportan su uso en la seguridad de diversos sistemas. Se exponen además algunos elementos relacionados con el software libre y las herramientas utilizadas para el desarrollo de RiesgosTI.

Capítulo II: Análisis, diseño e implementación del software para la gestión de riesgos en tecnologías de la información.

El capítulo tiene como objetivo dar solución al problema expuesto en la introducción de esta investigación. Para esto se procede a elaborar una herramienta automatizada utilizando como base tecnológica el software libre. Se exponen los elementos más importantes de la modelación del análisis y el diseño, así como algunos detalles de la implementación y la fundamentación del procedimiento de cálculo de los resultados.

Capítulo III: Elementos de la validación del software y Manual de usuarios.

En este capítulo se presentan tres casos de pruebas de validación del software, realizadas en diferentes locaciones de la Universidad, además se exponen de forma general diferentes características del software, los requerimientos necesarios para su funcionamiento y la guía para su uso lo que facilitará el trabajo.

Además de esta introducción y los capítulos anteriormente mencionados, este informe incluye conclusiones, recomendaciones y bibliografía.

DESARROLLO

CAPITULO I:

Marco teórico referencial de la investigación

En este capítulo se realiza un análisis de los fundamentos de la gestión de riesgos en tecnologías de la información, lo que permite conocer las características y evolución de éstas, además de los beneficios que aporta su uso en la seguridad de diversos sistemas. Se exploran diversas definiciones de riesgos en tecnologías de la información y las etapas para la gestión de riesgos y se puntualiza en algunas de las tecnologías sobre software libre utilizadas en el desarrollo del trabajo.

1.1 Tecnología de la información

La Tecnología de Información se ha convertido en el corazón de las operaciones de cualquier organización, desde los sistemas transaccionales hasta las aplicaciones enfocadas a la alta gerencia que ayudan tanto a las operaciones diarias como a definir el rumbo que tiene que seguir una organización.

Retener, manipular o distribuir información. La tecnología de la información se encuentra generalmente asociada con las computadoras y las tecnologías afines aplicadas a la toma de decisiones.

La tecnología de la información está cambiando la forma tradicional de hacer las cosas. Las personas que trabajan en gobierno, en empresas privadas, que dirigen personal o que trabajan como profesional en cualquier campo, utilizan la tecnología de la información cotidianamente mediante el uso de Internet, las tarjetas de crédito, el pago electrónico de la nómina, entre otras funciones; es por eso que la función de la tecnología de la información en los procesos de la empresa, como manufactura y ventas, se han expandido grandemente.

La primera generación de computadoras estaba destinada a guardar los registros y monitorear el desempeño operativo de la empresa, pero la información no era oportuna ya que el análisis obtenido en un día determinado en realidad describía lo que había pasado una semana antes. Los avances actuales hacen posible capturar y utilizar la información en el momento que se genera, es decir, tener procesos en línea. Este hecho no sólo ha cambiado la forma de hacer el trabajo y el lugar de trabajo sino que también ha tenido un gran impacto en la forma en la que las empresas compiten (Alter 1999).

1.1.1 Definición

Según la Asociación de la Tecnología de Información de América (ITAA) es "el estudio, diseño, desarrollo, implementación, soporte o dirección de los sistemas de información computarizados, en particular de software de aplicación y hardware de computadoras."

Se ocupa del uso de las computadoras y su software para convertir, almacenar, proteger, procesar, transmitir y recuperar la información. Hoy en día, el término "tecnología de información" se suele mezclar con muchos aspectos de la computación y la tecnología y el término es más reconocible que antes. La tecnología de la información puede ser bastante amplia, cubriendo muchos campos. Los profesionales de tecnología de la información realizan una variedad de tareas que van desde instalar aplicaciones a diseñar complejas redes de computación y bases de datos. Algunas de las tareas de los profesionales de tecnología de la información incluyen, administración de datos, redes, ingeniería de hardware, diseño de programas y bases de datos, así como la administración y dirección de los sistemas completos. Cuando las tecnologías de computación y comunicación se combinan, el resultado es la tecnología de la información o "infotech". La Tecnología de la Información es un término general que describe cualquier tecnología que ayuda a producir, manipular, almacenar, comunicar, y/o esparcir información.

1.1.2 Importancia de la tecnología de la información

En este mundo globalizado y de constantes cambios, las empresas, las organizaciones, entidades, obligadamente requieren ser cada vez más ágiles y se deben adaptar con mayor facilidad a estos cambios.

Para (Maxitana 2005) las organizaciones dependen en su totalidad de tener la información exacta en el momento preciso. Las compañías que no son capaces de alcanzar esto, están en peligro de extinción porque con el paso de los años, la información se ha convertido en el arma más potente para la toma decisiones, y es aquí donde radica la prioridad de desarrollar nuevas tecnologías que permitan tener la información requerida y lista para ser utilizada. Sin embargo, la mayoría de las organizaciones han fallado al no aprovechar el ambiente existente e implementar ideas innovadoras para mejorar el papel que juegan los sistemas de información dentro de sus organizaciones. Algunos de estos errores son: resistencia al cambio por parte de las personas, deficiencias para reconocer amenazas competitivas rápidamente, robustez de los sistemas de información, escasez de recursos apropiados e incertidumbre de cómo o porqué automatizar procesos.

Existe una creciente necesidad entre los usuarios de los servicios de tecnología de información, de estar protegidos a través de la acreditación y la auditoría de servicios de tecnología de información proporcionados internamente o por terceras partes, que aseguren la existencia de controles y seguridades adecuadas. Actualmente, sin embargo, es confusa la implementación de buenos controles de Tecnología de Información en sistemas de negocios por parte de entidades comerciales, entidades sin fines de lucro o entidades gubernamentales.

Aunque muchas organizaciones dependen de las tecnologías de información para conseguir su trabajo hecho, las industrias siguientes son directamente dependientes en tecnologías de información: computadoras, software, consultaría de la tecnología de la información, tecnología de información con servicios, outsourcing de proceso del negocio, intervención de la tecnología de información, tecnología de la comunicación, ciencias de la información, seguridad de la información, biblioteca digital, gerencia de datos, proceso de datos, almacenamiento de datos, criptografía, biblioteca de la infraestructura de la tecnología de información, telemática, gerencia de sistemas, etc.

Utilizando eficientemente la tecnología de la información se pueden obtener ventajas competitivas, pero es preciso encontrar procedimientos acertados para mantener tales ventajas como una constante, así como disponer de cursos y recursos alternativos de acción para adaptarlas a las necesidades del momento, pues las ventajas no siempre son permanentes. El sistema de información tiene que modificarse y actualizarse con regularidad si se desea percibir ventajas competitivas continuas. El uso creativo de la tecnología de la información puede proporcionar a los administradores una nueva herramienta para diferenciar sus recursos humanos, productos y/o servicios respecto de sus competidores, (Alter 1999).

Este tipo de preeminencia competitiva puede traer consigo otro grupo de estrategias, como es el caso de un sistema flexible y las normas justo a tiempo, que permiten producir una variedad más amplia de productos a un precio más bajo y en menor tiempo que la competencia.

Las tecnologías de la información representan una herramienta cada vez más importante en los negocios, sin embargo el implementar un sistema de información de una empresa no garantiza que ésta obtenga resultados de manera inmediata o a largo plazo. En la implementación de un sistema de información intervienen muchos factores siendo uno de los principales el factor humano.

1.1.3 Las tecnologías de la información y la eficiencia organizacional

Generalmente se piensa que las tecnologías de información sólo se usan en la etapa de producción, y vienen a la mente los grandes sistemas de manufactura, o los sistemas automatizados de producción continua, sin embargo, actualmente las tecnologías de información deberán de estar presentes en todas las actividades de la empresa, en decir, en las etapas de entrada, conversión y salida, (Rosseau 1999).

En la etapa de entrada, las tecnologías de información deberán contener todas las habilidades, procedimientos y técnicas que permitan a las organizaciones manejar eficientemente las relaciones existentes con los grupos de interés (clientes, proveedores, gobierno, sindicatos y público en general) y el entorno en el que se desenvuelven. En la función de recursos humanos, por ejemplo, existen técnicas especializadas, como entrevistas o test psicológicos que permiten reclutar al personal con el mejor perfil para satisfacer las necesidades de la empresa. Además de que actualmente, gracias a Internet se puede tener acceso a bolsas de trabajo de cualquier parte del mundo. En el manejo de recursos, existen técnicas de entrega con los proveedores de entrada que permiten obtener recursos de alta calidad y a un menor costo. El departamento de finanzas, gracias a las tecnologías de información como la banca electrónica o los modernos portales bancarios en internet, puede obtener capitales a un costo favorable para la compañía. En la etapa de conversión, las tecnologías de información en combinación con la maquinaria, técnicas y procedimientos, transforman las entradas en salidas. Una mejor tecnología permite a la organización añadir valor a las entradas para disminuir el consumo así como el desperdicio de recursos.

En la etapa de salida, las tecnologías de información permiten a la empresa ofrecer y distribuir servicios y productos terminados. Para ser efectiva, una organización deberá poseer técnicas para evaluar la calidad de sus productos terminados, así como para el marketing, venta y distribución y para el manejo de servicios de postventa a los clientes. Las tecnologías de información en los procesos de entrada, conversión y salida dan a la compañía una importante ventaja competitiva. ¿Porqué Microsoft es la más grande compañía de software? ¿Por qué Toyota es la manufacturera automotriz más eficiente? ¿Porqué McDonald's es la más eficiente compañía de comida rápida? Cada una de estas organizaciones sobresale en el desarrollo, administración y uso de tecnologías de información para administrar el entorno organizacional y crear valor para toda la compañía.

Las tecnologías de información pueden ayudar a mejorar la productividad de todas las funciones de la empresa, y además de mejorar el flujo de información dentro y entre las unidades del negocio. Una organización que pretenda ser efectiva deberá de explotar y administrar todas éstas tecnologías para dar un valor agregado a toda la organización.

1.1.4 Ventajas de la tecnología de la información para una empresa

La revolución de las tecnologías de información ha tenido un profundo efecto en la administración de las organizaciones, mejorando la habilidad de los administradores para coordinar y controlar las actividades de la organización y ayudándolos a tomar decisiones mucho más efectivas. Hoy en día el uso de las tecnologías de información se ha convertido en un componente central de toda empresa o negocio que busque un crecimiento sostenido. Ya no lo es sólo para procesos de producción o conversión, sino que deberá estar implícito en todos los ámbitos del negocio, incluyendo en el área administrativa, por ser ésta la que controla toda la empresa.

Como resultado del uso de estas tecnologías la empresa puede reducir el tamaño de su estructura jerárquica e incrementar el flujo de información horizontal. Esto es, a través de todos los departamentos de la empresa, además de proveer de una ventaja competitiva a la empresa se logra una reducción del tamaño de la estructura jerárquica. Esto se logra al proveer a los administradores y ejecutivos información de alta calidad, oportuna y completa, lo cual reduce la necesidad de varios niveles de burocracia y jerarquía administrativa.

Los sistemas de información al reducir éstos niveles jerárquicos, actúan como dispositivos de control en las actividades de la empresa o negocio. Cabe señalar que los sistemas de información también reducen la necesidad de los administradores de coordinar e integrar las actividades de las subunidades de la empresa, además de que las tecnologías de información actualmente pueden coordinar completamente el flujo de producción de una empresa.

Existe además un incremento del flujo de información horizontal facilitado por el crecimiento de los sistemas cliente – servidor del tipo three-tier (que permiten la conexión de computadoras personales a potentes servidores o mini-computadoras y éstos a su vez conectados a un mainframe). En los últimos años se ha visto una rápida expansión de los sistemas de red global en las empresas. Actualmente las redes de computadoras son usadas como el canal primario de información interna de una organización. Los sistemas de e-mail así como el desarrollo de software de intranet para compartir documentos electrónicos han acelerado ésta tendencia tecnológica.

Otra ventaja es la competitiva. El implementar apropiadas tecnologías de información puede significar un incremento en el potencial competitivo de la empresa o negocio. Actualmente, en la búsqueda de competitividad, se han vuelto los ojos hacia el uso de tecnologías de información, por ejemplo, al reducir la necesidad de muchas jerarquías, los sistemas de información ayudan a reducir los gastos burocráticos, ya que los administradores se basan en las tecnologías de información para coordinar y controlar las actividades de la empresa. Un ejemplo de esto es Intel, el cual, incrementando la sofisticación de sus tecnologías de información, han podido recortar el número de niveles jerárquicos de toda la compañía de 10 a sólo 5 niveles. Además de que gracias a los canales de comunicación que proveen las tecnologías de información, se puede obtener información clara y oportuna de todos los movimientos del entorno industrial, como lo son precios, clientes, impuestos, tipos de cambio, regulaciones, estándares y movimientos de la competencia, lo cual ayuda a los ejecutivos al momento de diseñar estrategias competitivas. Aunado a esto los grandes corporativos pueden mantener un flujo de información constante en todas sus unidades de negocios sin importar la distancia física a la que se encuentren distribuidos. Por último (Davidow, Malone et al. 2002) han dicho cómo las tecnologías de información pueden ser usadas para mejorar la respuesta de una empresa o negocio hacia los requerimientos de los clientes, lo cual es una fuente muy importante de competitividad. La esencia de su argumento es que las tecnologías de información permiten a las compañías crear "productos virtuales", productos que pueden ser personalizados de acuerdo con las necesidades específicas de algún cliente en particular, sin cargos adicionales. Un ejemplo de esto, es la compañía Levi´s la cual en sus tiendas, por medio de computadoras touch-screen se configuraban cada una de las diferentes características del pantalón que solicitaba el cliente, la solicitud se enviaba electrónicamente a las fábricas en Tenesse y de allí se enviaban por correo al cliente, el cual sólo pagaba un costo adicional de $10 dólares por todo este servicio.

1.2 Riesgo

Hoy día el tema del riesgo es un asunto tan importante que las empresas crean áreas específicas para su tratamiento y es en la actualidad un aspecto básico a seguir investigando. Es por ello que este término se encuentra muy difundido en la literatura, encontrándose diferentes definiciones.

1.2.1 Definiciones

(Charette 2000) señala que el riesgo afecta a los futuros acontecimientos, que el riesgo implica cambio (que puede venir dado por cambios de opinión, de acciones, de lugares) y que implica elección y la incertidumbre que entraña la elección. Por tanto, el riesgo, como la muerte, es una de las pocas cosas inevitables de la vida.

Según (Maxitana 2005) el concepto de riesgo de tecnologías de la información puede definirse como el efecto de una causa multiplicado por la frecuencia probable de ocurrencia dentro del entorno de tecnologías de la información . Surge entonces, la necesidad del control que actúe sobre la causa del riesgo para minimizar sus efectos. Cuando se dice que los controles minimizan los riesgos, lo que en verdad hacen es actuar sobre las causas de los riesgos, para minimizar sus efectos.

Se puede decir entonces que un riesgo es un evento, el cual es incierto y tiene un impacto negativo, es la probabilidad de que una amenaza se convierta en un desastre. La vulnerabilidad o las amenazas, por separado, no representan un peligro. Pero si se juntan, se convierten en un riesgo, o sea, en la probabilidad de que ocurra un desastre. Un riesgo tiene una causa y, si ocurre una consecuencia. Habitualmente se gestionan los riesgos con efecto negativo, es decir, aquellos que suponen una amenaza para el éxito del proyecto.

También se puede decir que el riesgo es una condición del mundo real en el cual hay una exposición a la adversidad, conformada por una combinación de circunstancias del entorno, donde hay posibilidad de pérdidas.

El riesgo siempre implica dos características: la incertidumbre, que no es más que el acontecimiento que caracteriza que el riesgo puede o no puede ocurrir; por ejemplo, no hay riesgos de un 100 por ciento de probabilidad y la pérdida, que no es más que si el riesgo se convierte en una realidad, ocurrirán consecuencias no deseadas o pérdidas. Cuando se analizan los riesgos es importante cuantificar el nivel de incertidumbre y el grado de pérdidas asociado con cada riesgo.

1.2.2 Gestión de riesgos

Las empresas o entidades que adoptan un criterio equilibrado ante la madurez de la gestión de riesgos de tecnologías de la información, no sólo tienen menos incidentes en este ámbito sino que obtienen mayor rentabilidad del negocio y de tecnologías de la información respecto de la competencia.

El criterio idóneo es el que equilibra las tres disciplinas principales involucradas en la gestión de riesgos de tecnologías de la información: los procesos de gobierno de riesgos, un entorno sólido de tecnologías de la información y una cultura consciente de los riesgos. Todos aquellos que adopten este criterio no sólo evitarán la interrupción de sus operaciones, sino que además lograrán mayor eficacia y agilidad en la empresa. Pueden aprovechar las funciones de gestión de riesgos de tecnologías de la información para mejorar la gestión de tecnologías de la información en general.

A partir de la investigación realizada por (Westerman and Hunter 2007), una encuesta sobre gestión de riesgos de tecnologías de la información muestra que, por muy perfeccionado que esté uno de los componentes de la gestión de riesgos, sólo se rentabiliza una parte de ésta. Si se adopta un criterio más efectivo, se equilibran las tres disciplinas principales que intervienen en dicha gestión.

Se han establecido conclusiones que señalan la creciente importancia de la gestión de riesgos de tecnologías de la información a partir de encuestas realizadas. Más del 50% de los encargados de riesgos encuestados declaró que en el último año había aumentado en sus empresas la concienciación sobre riesgos de tecnologías de la información, mientras que sólo un 8% declaró que había disminuido.

Los encuestados declararon que los mayores obstáculos para lograr una eficaz gestión de riesgos son la falta de concienciación de los usuarios, de personal adecuadamente formado y de herramientas para procesar las amenazas. Lo positivo es que las tres disciplinas principales pueden resolver estos obstáculos. De hecho, las empresas o entidades que han logrado un equilibrio de las tres disciplinas, en cuanto a madurez de tecnologías de la información, en lugar de dar prioridad a una de ellas sobre las demás, son más eficaces a la hora de gestionar los riesgos. Estas empresas o entidades declaran mayor eficacia de tecnologías de la información en las siguientes áreas:

• Capacidad para evitar incidentes negativos, tales como averías y brechas del sistema de seguridad.

• Eficiencia de la unidad de tecnologías de la información.

• Ajuste de tecnologías de la información con el resto de la empresa o entidad.

• Capacidad para asumir los cambios en la empresa o entidad.

Además, las empresas o entidades encuestadas que adoptan un criterio de gestión de riesgos equilibrado declaran tener mejor percepción de la gestión de riesgos que las que no armonizan las tres disciplinas. Sólo el 10% de las empresas que no ha logrado dicho equilibrio declara que la gestión de riesgos de tecnologías de la información es adecuada. No obstante, el 72%, que sí logra equilibrar estas iniciativas, declara tener mejor percepción de la gestión de riesgos de tecnologías de la información. Además, las que cuentan con programas enfocados a una gestión de riesgos de tecnologías de la información equilibrada cuentan con mayores niveles de éxito en dicha gestión.

Lo más relevante de los resultados de la encuesta es que la gestión de riesgos de tecnologías de la información no se limita al costo de hacer negocio o a influir en la agilidad y la flexibilidad de éste. El hecho es que la gestión de riesgos de tecnologías de la información no es una cuestión técnica, es de gestión. La eficacia en este ámbito se consigue mejorando el modo de gestionar tecnologías de la información. La gestión de riesgos en tecnologías de la información se puede utilizar para abogar en favor de unas buenas prácticas de gestión de tecnologías de la información que no siempre pueden ofrecer una rentabilidad cuantificable. Si se consigue una madurez equilibrada en las tres disciplinas clave, las empresas pueden convertir los temas asociados a los riesgos de tecnologías de la información en mejoras en todo este departamento y en el entorno corporativo.

Utilizando el lenguaje adecuado para hablar de riesgos y disponiendo de los instrumentos adecuados para gestionarlos, las empresas pueden obtener un valor añadido, además de evitar los riesgos. Pueden servirse de la gestión de riesgos para introducir cambios que también generan mayor eficacia de tecnologías de la información y agilidad en el entorno corporativo en general.

Según (Gómez 2010) la disciplina de gestión de riesgos de tecnologías de la información se enmarca no sólo dentro de los requerimientos regulatorios, sino también dentro de los de negocio. Un profesional de la gestión del riesgo en tecnologías de la información debe ser especialista en tecnología y sistemas de gestión de seguridad de la información, y también tener un amplio conocimiento del negocio de la empresa en la que desarrolla su actividad. El reto actual de gestión de riesgos de tecnologías de la información se basa en definir un programa continuo, objetivo, repetible y medible, en el que la evaluación de costos, la valoración de activos y las métricas de rendimiento convivan de manera integrada con el resto de requerimientos corporativos. La creación del programa debe realizarse desde una perspectiva de arriba hacia abajo, totalmente enmarcada en la gestión global de los riesgos y respondiendo a los diferentes requerimientos de las distintas unidades de negocio, consiguiendo gestionar y definir unos controles flexibles y adaptables a los distintos tipos de riesgos y de requerimientos regulatorios que no obliguen a la organización de tecnologías de la información a reinventar las tareas, y los controles y las evidencias de cumplimiento.

Se puede plantear de forma general que la gestión de riesgos en tecnologías de la información se basa en los siguientes pasos:

• Estimación de Riesgos: La estimación de riesgos describe cómo estudiar los riesgos dentro de la planeación general del entorno informático y se divide en los siguientes pasos:

• La identificación de riesgos.

• El análisis de riesgos.

• La asignación de prioridades a los riesgos.

• Administración de riesgos: su objetivo, es desarrollar un plan que controle cada uno de los eventos perjudiciales a que se encuentran expuestos las actividades, categorías o ramas que presentan cada empresa, organización o entidad.

• Monitorización de riesgos: la vida en el mundo informático sería más fácil si los riesgos apareciesen después de que hayamos desarrollado planes para tratarlos. Pero los riesgos aparecen y desaparecen dentro del entorno informático, por lo que se necesita una monitorización para comprobar cómo progresa el control de un riesgo e identificar como aparecen nuevos eventos perjudiciales en las actividades informáticas.

1.2.2.1 Identificación de riesgos

Según (Guadalupe Ramírez 2003) por un lado, la identificación de riesgos es de gran importancia para determinar el nivel de exposición de una institución, organización o entidad al inadecuado uso de los servicios que brindan las tecnologías de la información; pero además permite gestionar los riesgos, implementando controles que están orientados a evitarlos, transferirlos, reducirlos o asumirlos gerencialmente.

El objetivo de este paso es identificar el potencial de las fuentes de amenaza y compilar un listado de las fuentes de amenazas, que son aplicables al sistema de tecnología de información que se está evaluando. Durante la fase inicial, una evaluación del riesgo podría ser utilizado para desarrollar el plan de sistema de seguridad.

Una fuente de riesgo, se define como cualquier circunstancia o hecho que pueda poner un sistema de tecnología de la información en peligro. Las fuentes de riesgo comunes pueden ser natural, humano o el medio ambiente. En la identificación de riesgo, es importante considerar todas las posibles fuentes de riegos que puedan causar daño a un sistema de tecnología de la información y su entorno de procesamiento. Los seres humanos pueden ser fuentes de amenazas a través de actos intencionales, como los ataques deliberados por parte de personas maliciosas o empleados descontentos, o actos no intencionales, tales como la negligencia y los errores. Un ataque intencionado puede ser un intento malicioso para obtener acceso no autorizado a un sistema informático (por ejemplo, a través de adivinar la contraseña) con el fin de comprometer el sistema y la integridad de los datos, disponibilidad o confidencialidad, pero no obstante, con propósito, intento de eludir la seguridad del sistema.

Hoy en día se presentan muchas amenazas humanas, sus posibles motivaciones, y los métodos o acciones riesgosas por las cuales se podría llevar a cabo un ataque informático. Toda esta información será útil para las organizaciones o entidades en su estudio del entorno de los riesgos y para personalizar su listado de riesgos humanos. Además, las revisiones de la historia de entrada al sistema; informes de violación de seguridad; informes de incidentes, y entrevistas con los administradores de sistemas, asistencia personal, la comunidad de usuarios durante la recopilación de información, ayudará a identificar las fuentes de riesgos humanas que tienen el potencial de daño a un sistema de tecnologías de la información y sus datos que puede ser una preocupación cuando existe una vulnerabilidad. Un estimado de la motivación, recursos, capacidades que se requieren para llevar a cabo con éxito un ataque debe ser desarrollado después de la identificación de fuentes de riesgos potenciales para que se pueda determinar la probabilidad de que un riesgo pueda ocurrir.

La identificación de riesgos en tecnologías de la información es de vital importancia para la gestión de riesgos en tecnologías de la información ya que ésta es el proceso de comprender qué eventos potencialmente podría dañar o mejorar una organización o entidad.

1.2.2.2 Análisis de riesgos

Un punto importante en la gestión de riesgos en tecnologías de la información es analizar cada riesgo para determinar su impacto. El análisis de riesgo es el proceso cuantitativo o cualitativo que permite evaluar los riesgos. Esto involucra una estimación de incertidumbre del riesgo y su impacto (Galway 2004).Es el proceso mediante el cual se identifican las amenazas y las vulnerabilidades en una organización o entidad, se valora su impacto y la probabilidad de que ocurran, es decir, es un proceso para asegurar que los controles de seguridad de un sistema se adapten según la proporción de sus riesgos.

Por lo visto hasta ahora, los objetivos del análisis de riesgo son:

• Tener la capacidad de:

• Identificar, evaluar y manejar los riesgos de seguridad.

• Estimar la exposición de un recurso a una amenaza determinada.

• Determinar cuál combinación de medidas de seguridad proporcionará un nivel de seguridad razonable a un costo aceptable.

• Tomar mejores decisiones en seguridad informática.

• Enfocar recursos y esfuerzos en la protección de los activos

El análisis de riesgo está compuesto por varias fases:

• Fase 1: Construir perfiles de amenazas basados en activos.

• Activos críticos.

• Requerimientos de seguridad para los activos críticos.

• Amenazas a los activos críticos.

• Prácticas de seguridad actuales.

• Vulnerabilidades actuales de la organización.

• Fase 2: Identificar vulnerabilidades de infraestructura.

• Componentes claves.

• Vulnerabilidades claves de la tecnología.

• Fase 3: Desarrollar planes y estrategias de seguridad.

• Riesgos de los activos críticos.

• Medidas de riesgo.

• Estrategias de protección.

• Planes de mitigación de riesgos.

1.2.2.2.1 Análisis cualitativo de Riesgo

Según (P.Kindinger and Darby 2000) , el análisis cualitativo de riesgo involucra evaluar la probabilidad y el impacto de la identificación de riesgos, para determinar su magnitud y prioridad. Para poder evaluar cualitativamente los riesgos se cuenta fundamentalmente con tres herramientas: la matriz de probabilidad e impacto para calcular los factores de riesgos, la técnica de seguimiento de los diez factores de riesgo más importantes, y la evaluación del juicio de expertos.

(Ferrer 2006) plantea que el análisis cualitativo de riesgo permite agilidad en el proceso y facilidad en la asignación de valores de impacto o riesgo.