Fundamentos bsicos de la

evaluacin y tratamiento de
riesgos segn
ISO 27001

Ponente: Antonio Segovia

Panel de control de GoToWebinar

Abra y cierre su
Panel
Vea, Seleccione y
pruebe su audio

Enve sus preguntas;

sern tratadas
durante la sesin
Levante la mano
2016 27001Academy

www.advisera.com/27001academy

Cuales son los pasos bsicos en el

anlisis y tratamiento de riesgos de ISO
27001?
Si ests planificando empezar el anlisis
de riesgos.
para hacerlo bien, necesitas entender la
importancia de la gestin de riesgos, y
aprender lo que es aceptable segn el
estndar
2016 27001Academy

www.advisera.com/27001academy

La gestin de riesgos es el primer

paso crucial en la implementacin de
la ISO 27001 Determina todo lo que
suceder despus

2016 27001Academy

www.advisera.com/27001academy

Agenda
Por qu la gestin de riesgos?
El proceso de la gestin de riesgos
Elementos del anlisis de riesgos
Identificacin de activos
Amenazas y vulnerabilidades
Impacto y probabilidad
4 opciones para el tratamiento de riesgos
Mayores retos con la gestin de riesgos

2016 27001Academy

www.advisera.com/27001academy

Por qu la gestin de riesgos?

Gestin de la seguridad de la informacin (ISO 27001)

Gestin de
riesgos (ISO
27005)

Salvaguardas
(ISO 27002)

Medicin (ISO
27004)

2016 27001Academy

www.advisera.com/27001academy

El proceso de gestin de riesgos

Your Text

Metodologa de anlisis de riesgos

Your Text
Anlisis
de riesgos
Mandatory
procedures

Your
YourText
Text
Tratamiento
de riesgos
Analyze
and assess

2016 27001Academy

www.advisera.com/27001academy

 El proceso de gestin de
riesgos

Your
Text
Declaracin

de
Aplicabilidad (SoA)

Your Text

Plan de Tratamiento
de Riesgos
Mandatory
procedures

2016 27001Academy

www.advisera.com/27001academy

Elementos del anlisis de riesgos

Identificacin del riesgo

Activo

Amenaza

Vulnerabil
idad

Propieta
rio del
riesgo

Anlisis de riesgos

Impacto

Probabi
lidad

Riesgo = Impacto x Probabilidad

(o) Riesgo = Impacto + Probabilidad
2016 27001Academy

www.advisera.com/27001academy

Activos Qu protegemos?
Ejemplos:
Hardware
Software
Informacin (electrnica, papel, etc.)
Infraestructura
Personas!
etc.
Identificacin de propietarios de activos
2016 27001Academy

www.advisera.com/27001academy

10

Amenazas Qu puede pasar?

Ejemplos:
Fuego
Terremoto
Virus informticos
Amenaza de bomba
Mal funcionamiento del equipamiento
Personas clave dejan la empresa
2016 27001Academy

www.advisera.com/27001academy

11

Vulnerabilidades Por qu
pueden ocurrir?
Ejemplos:
Falta un sistema de extincin de fuego
Faltan planes de continuidad de negocio
Falta software anti-virus
Faltan procedimientos de respuesta ante
incidentes
Equipamiento obsoleto
Falta de recambio
2016 27001Academy

www.advisera.com/27001academy

12

Impacto y probabilidad

Ejemplo de escala de anlisis:

Alto
Medio
Bajo
O:
1 a5
1 a 10
2016 27001Academy

www.advisera.com/27001academy

13

Ejemplo de tabla de anlisis de

riesgos
Activo

Propietar Amenaza
io

Vulnerabilidad

Servidor

Admin.

Falla de
electricidad

No existe UPS

Fuego

No existe
extintor

Visualizado
por personas
no
autorizadas

El contrato se ha
dejado en la
mesa

Fuego

No existe
proteccin
contra fuego

Nadie ms
conoce sus
contraseas
www.advisera.com/27001academy

Contrato

Admin de
sistemas

Director

Jefe TI

2016 27001Academy

Acidente

Impact Probabili
o (1-5) dad (1-5)

Risgo
(=I+P)

14

4 opciones para el tratamiento del

riesgo

Aplicar
controles
apropiados

Aceptar el
riesgo

Evitar el
riesgo

Transferir el
riesgo

2016 27001Academy

www.advisera.com/27001academy

15

Mayores retos con la gestin de

riesgos

Obtener apoyo de la Direccin

Definir el alcance
Subjetividad del evaluador
Interpretar informacin y calcular riesgos
Identificar amenazas y vulnerabilidades
con eficacia

2016 27001Academy

www.advisera.com/27001academy

16

Conclusin

No te saltes el anlisis y tratamiento

de riesgos sin este tipo de anlisis
la seguridad de tu informacin
estar llena de brechas!

2016 27001Academy

www.advisera.com/27001academy

17

P&R

Antonio Segovia

www.advisera.com/27001academy/webinars