Gestión de Riesgos TI

Definiciones
• Amenaza: cualquier cosa que sea capaz de actuar en contra de un
activo de modo que pueda resultar en daño
• Evento: algo que sucede en un lugar/tiempo específico
• Vulnerabilidad: una debilidad en el diseño, implementación,
operación o control interno
• Impacto: el efecto neto sobre los objetivos de negocios
• Riesgo: una situación probable con frecuencia y magnitud de las
pérdidas
• Riesgo en IT: los riesgos de negocios asociados al uso, posesión,
operación, influencia y adopción de las IT dentro de una organización
Definiciones
• Registro de Riesgos: un repositorio de atributos clave de potenciales y
conocidos riesgos. Los atributos incluyen descripción, dueño,
frecuencia, potencial magnitud, impacto potencial al negocio, etc.
• Perfil de riesgo: representación de una organización, en un cierto
momento determinado, de su exposición a los riesgos.
• Contramedidas: cualquier proceso que reduce directamente una
amenaza o vulnerabilidad
• Actividades de control: relacionado con la gestión de riesgos,
incluyendo políticas, procedimientos, guías y prácticas de las
estructuras organizacionales.
Definiciones
• Resiliencia: la habilidad de un sistema o red para resistir una falla o
para recuperarse rápidamente desde una disrupción, usualmente con
mínimos efectos.
• Evitar: Son los procesos para sistemáticamente evitar riesgos,
constituye una aproximación a la gestión de riesgos
• Mitigar: es la gestión de riesgos a través del uso de contramedidas y
controles
• Transferencia: son los procesos para asignarle riesgos a otra empresa.
Usualmente a través de la compra de una póliza de seguros o por
medio del outsourcing del servicio.
• La palabra Riesgo suele referirse a situaciones donde los tomadores
de decisiones pueden asignarle probabilidades matemáticas a
situaciones aleatorias
• El riesgo sin embargo es un término dual que se puede referir a:
• Oportunidad: en el cual un riesgo tiene efectos positivos
• Amenaza: en el cual un riesgo tiene efectos negativos
Incertidumbre
• Algunos riesgos son dinámicos y requiere de un monitoreo y
supervisión continuo, otros son más estáticos y requieren de
revisiones periódicas en un cierto tiempo
• A mayor plazo de análisis temporal, mayor es la incertidumbre
Indicadores clave de riesgos (KRIs)
• Los KRIs son indicadores que predicen cambios relativos al perfil de
riesgo, son una métrica asociada a los riesgos analizados
• Ellos permiten tomar acciones cada cierto tiempo para lidiar con
problemas que vayan emergiendo
Enlazar objetivos estratégicos a KRIs
• Ud puede asociar cada riesgo con los “objetivos generales de la
organización” (KGI) a través de los “factores críticos de éxito” (CSF).
Los CSF son aquellos elementos de la organización que considera
como ventajosos en el entorno en que ésta se desenvuelve. Pueden
ser también iniciativas estratégicas para enfrentar un determinado
momento de la organización
• A través de este enlace puede determinar los KRIs más importantes.
El enlace entre el riesgo y el KRI se da por medio de un mapa de
causalidad, es decir, preguntarse “¿cuál es la causa raíz de este
evento?”
Un esquema sencillo:
• Para un objetivo de rentabilidad se establecen 2 objetivos estratégicos
“incrementar ingresos” y “reducir costos”. Para ello se establecen 4 iniciativas
estratégicas y tendrá una serie de riesgos y métricas de riesgos asociados
Riesgos en ITIL – 2 tipos de Integración
• Tipo 1 • Tipo 2
• mapeo de procesos • Adoptar un framework para la gestión
perdidos en ITIL de riesgos corportativos (ERM)
además de:
• Integración “de arriba abajo” de los
procesos ITIL, dentro del ERM,
creando escenarios basados en los
objetivos organizacionales
• Integración “de abajo hacia arriba” de
ITIL dentro del ERM, adaptando
riesgos a las fases de ITIL
Riesgos en ITIL – 2 tipos de Integración

Reforzar procesos ITIL con elementos de

Gestión de Riesgos
-Agregar procesos al alcance de ITIL
Tipo I: dentro de la organización
-Adaptaciones menores de los procesos
Mapeo ITIL
Procesos -Responder sólo a riesgos menores o a
una categoría limitada (riesgos internos,
tácticos y operativos)
Riesgos en ITIL – 2 tipos de Integración

Asegurar total alineamiento con los

objetivos organizacionales
Tipo II: -requiere de tener implementado un
Adopción ERM
-se producirán cambios muy drásticos en
de ERM la organización si el ERM no existe
Tarea de investigación
• Describir de qué se trata el framework “ITIL” (1 plana máximo)
• Describir el framework de trabajo para riesgos M_o_R (risk
management framework)
• Utilice sus palabras para resumir cada framework, elementos
copiados directamente de internet serán evaluados con nota 1,0