Análisis y Gestión de Riesgos en tiempo real. Gestión del
Riesgo con GlobalSGPIC®
Alejandro Delgado, Director de Operaciones
Audisec: quiénes somos
AUDISEC Seguridad de la Información, una empresa dedicada a aportar seguridad a sus clientes en
el tratamiento de su activo más importante, sus datos, su información.
Experiencia en Consultoría, Implantación y auditoría de:
• Sistemas de Gestión de Seguridad de la Información (SGSI) ISO 27001
(LA MITAD DE LA EMPRESAS CERTIFICADAS EN ESPAÑA)
•Sistemas de Gestión de Servicios TI ISO 20000
(MÁS DE LA MITAD DE LA EMPRESAS CERTIFICADAS EN ESPAÑA)
•Planes de continuidad de Negocio ISO 22301
•Sistemas de gestión para Protección de Infraestructuras Críticas
•Calidad de Software, CMMI, SPICE
•Sistemas de protección de datos de carácter personal (LOPD)
•Esquema Nacional de Seguridad (ENS)
Desarrollo de proyectos de I + D + i
Desarrollo de productos para esos servicios: GlobalSUITE
Audisec: quiénes somos
Primera empresa en España en obtener:
•La certificación ISO 27001 -> seguridad.
•La certificación ISO 20000 -> gestión eficaz y eficiente servicios.
•La certificación ISO 22301 -> continuidad y disponibilidad.
Señal de garantía a nuestros clientes.
Introducción: LPIC y los análisis de riesgos
INTRODUCCIÓN
EL ANÁLISIS DE RIESGOS DE LOS PSO Y PPE
Introducción: LPIC y los análisis de riesgos
LPIC exige realizar un análisis de riesgos. ¿Con qué objetivo?
Garantizar la continuidad de los servicios prestados por el operador crítico.
¿Qué tipo de análisis de riesgos?, en el PSO leemos:
Metodología reconocida internacionalmente
Que valore impactos
Métricas para medición de riesgos residuales, aceptables, etc.
Análisis de riesgos a distintos niveles:
Corporación
Servicios Infraestructura crítica
Activos: servicios, instalaciones, personas, SSII, redes, etc.
Amenazas físicas y lógicas.
Introducción: LPIC y los análisis de riesgos
Introducción: LPIC y los análisis de riesgos
• ¿A quien le cae y cómo tiene que hacerlo?
• ¿Cuánto se tarda?
• ¿Sirve para algo?
Análisis de riesgos
EL ANÁLISIS DE RIESGOS
Análisis de riesgos. Problemática
¿Quién debe encargarse?
No es trabajo de una persona -> todas las áreas de la
organización deben implicarse.
Según el tipo de organización:
Dpto. Riesgo Dpto. control interno
Dpto. auditoría.
Dpto. legal. Dpto. prevención de riesgos.
Etc…
¿Sistemas de información????
Análisis de riesgos. Problemática
Departamento de Riesgo Corporativo (ERM) -> ¿cómo hacerlo?
Deben identificar TODAS las amenazas físicas y lógicas de la
organización.
Pero antes deben hacerse muchas otras cosas más…….
Análisis de riesgos. Problemática. ISO 31000
Análisis de riesgos. Problemática
NO es trabajo de un único departamento, aunque sea uno quien lo
lidere.
Producción
ERM Sistemas de Información
Logística
Legal
Financiero
Continuidad de Negocio
Dirección
Análisis de riesgos. Problemática
Definir el contexto permite identificar fuentes de riesgo que suelen
pasarse por alto
13
Organización
Sociedad
Cultura
Religión
Política
Leyes y normas
Economía
Partes
interesadas
Naturaleza
Etc.
Objetivos y Estrategia
Recursos y
Conocimiento
Sistemas de
Información
Cultura y Valores Contratos
Rendir
Cuentas
Análisis de riesgos. Problemática
Proceso 1
ERM
Proceso 2
Proceso 1
Proceso 2
ERM
ERM ERM ERM
I Integración en los procesos de la organización
NO SI
Análisis de riesgos. Problemática
Debe ser un proceso vivo -> una vez al año SI hace daño.
Un mapa de riesgos estático, hecho cada cierto tiempo, no sirve
para nada en el entorno de infraestructuras críticas.
Detectar riesgos en tiempo real nos hará ser proactivos.
Análisis de riesgos. Problemática
¿Quién hace vigilancia constante de sus riesgos?
Un coche analiza las condiciones de la carretera, el contexto,
el tipo de frenada, el tipo de impacto, etc… y con esos datos
da una respuesta inmediata para evitar que la amenaza
cause un impacto, o al menos que se minimice.
Un banco analiza de forma constante cientos de parámetros
financieros para saber a qué riesgos financieros se expone con
cada operación.
Una persona cuando sale a la calle analiza en ese mismo
instante los riesgos de tomar un camino u otro y en base a esa
información toma una decisión inmediata sobre por dónde ir.
Análisis de riesgos. Problemática
¿Quién hace vigilancia constante de sus riesgos?
o Cada día se crean 150.000 amenazas nuevas en la red.
o El 52% de esas amenazas solo vive 24 horas, pero puede
afectar a cualquier organización y causar daños devastadores.
o La NSA cifró en 750.000 millones de euros los costes de
incidentes de los ataques informáticos que EEUU sufrió durante 2012.
Análisis de riesgos. Problemática
¿Quién hace vigilancia constante de sus riesgos?
o Cada día se crean 150.000 amenazas nuevas en la red.
o El 52% de esas amenazas solo vive 24 horas, pero puede
afectar a cualquier organización y causar daños devastadores.
o La NSA cifró en 750.000 millones de euros los costes de
incidentes de los ataques informáticos que EEUU sufrió durante 2012.
¿De qué sirve hacer gestión de riesgos
una vez al año?
Análisis de riesgos
LAS SOLUCIONES
Análisis de riesgos. Soluciones
¿Cuánto se tarda?, ¿cómo se puede implementar?
o Hay que identificar TODAS las amenazas que podrían
afectar a TODOS los activos.
o Hay que entrevistar a muchos departamentos.
o Hay que analizar datos y extraer conclusiones.
o Hay que planificar acciones para gestionar los riesgos y
medir su coste-beneficio.
o Hay que establecer mecanismos para poder medir riesgos
estáticos (modelo tradicional) y dinámicos (tiempo real).
Análisis de riesgos. Soluciones
¿Cuánto se tarda?, ¿cómo se puede implementar?
o Hay que identificar TODAS las amenazas que podrían
afectar a TODOS los activos.
o Hay que entrevistar a muchos departamentos.
o Hay que analizar datos y extraer conclusiones.
o Hay que planificar acciones para gestionar los riesgos y
medir su coste-beneficio.
o Hay que establecer mecanismos para poder medir riesgos
estáticos (modelo tradicional) y dinámicos (tiempo real).
Y todo esto, con el mínimo de recursos y
los mejores resultados
Herramientas GlobalSuite
SGPIC: Sistemas de gestión para la protección de
las infraestructuras críticas
Índice del PSO
Cumplimiento de todos
los requisitos
técnicos por parte de
GlobalSGPIC.
Introducción a GlobalSGPIC
GlobalSuite es la herramienta gracias a la cual podrá implantar y mantener cualquier Sistema de
Gestión basado en las normas ISO 27001, ISO 20000, ISO 22301, Esquema Nacional de Seguridad
(ENS), Ley de Protección de Datos (LOPD), y también con los requisitos para ayudar a la
implantación y mantenimiento de SGPICs (Sistemas de Gestión para la Protección de
Infraestructuras Críticas).
GlobalSuite permite implantar y gestionar sistemas de gestión ya sea de manera individual así
como ampliarlos a otros sistemas de manera integrada. Cumple también con el ciclo de gestión
PDCA de otros estándares como ISO 9001, ISO 14001, etc. permitiendo su llevanza de manera
integrada con los anteriores o bien de manera separada.
GlobalSGPIC : : Modelado de Árbol de Activos
GlobalSGPIC.:. Análisis .:. Gestión de Riesgos
GlobalSuite identifica amenazas y vulnerabilidades para todos los activos de la
organización
GlobalSGPIC . : : . BIA :: Impacto interrupción Servicios
BIAs y Riesgos
Encuestas y consolidación de Riesgos y BIAs
GlobalSGPIC . : : . Encuestas a los departamentos
BIAs y Riesgos
CONSOLIDADOS
BIAs, encuestas y consolidación de BIAs
GlobalSGPIC . : : . Encuestas a los departamentos
BIAs y Riesgos
BIAs y Riesgos
BIAs y Riesgos
BIAs y Riesgos
Riesgos legales, operacionales, financieros, de seguridad, etc. y a
diferentes niveles: servicio, proceso, activos, infraestructuras, etc.
Análisis coste-beneficio de los planes de tratamiento
GlobalSGPIC . : : . Mapas de riesgos
Gestión de incidentes asociados al mapa de riesgos en el momento
de ocurrencia del incidente
GlobalSGPIC . : : . Mapas de riesgos
GlobalSGPIC . : : . Plan de Gestión de Incidentes
GlobalSGPIC . : : . Plan de Continuidad
GlobalSGPIC . : : . Activación del Plan de Continuidad
GlobalSGPIC . : : . Métricas para riesgos
Contenido del PSO y cumplimiento con GlobalSGPIC
Interconexiones con otros sistemas
Tan importante como la funcionalidad es la capacidad que una
herramienta pueda tener para “hablar” con sistemas ya existentes en
las organizaciones.
GlobalSGPIC puede comunicarse de manera automática con la mayoría de
sistemas de información. Ejemplos: controladores de dominio, sistemas de
ticketing, sistemas de gestión de incidencias, sistemas de monitorización
y autodescubrimiento de activos, gestores de proyectos, etc.
Más información
MADRID – BARCELONA – CIUDAD REAL –
BOGOTÁ – MÉXICO D.F. – BUENOS AIRES –
LIMA – SANTIAGO DE CHILE
Visítenos en nuestra web www.audisec.es
Top Related