OP.PL.1 Análisis de Riesgos

Documentos de referencia

• Guías CCN-STIC:
  • 470H1 - Manual de usuario PILAR. Análisis y gestión de riesgos
  • 470H2 - Manual de usuario PILAR. Análisis de impacto y continuidad del negocio
  • 472F - Manual de usuario PILAR BASIC
  • 473E - Manual de usuario µPILAR
• Son de especial relevancia los siguientes principios básicos:
  • Artículo 5. La seguridad como un proceso integral.
  • Artículo 6. Gestión de la seguridad basada en los riesgos.
• ISO/IEC 27000
  • 27001:2013
    • 6.1 - Acciones para abordar riesgos y oportunidades
    • 6.1.1 - General
    • 6.1.2 - Evaluación de riesgos
    • 6.1.3 - Tratamiento de los riesgos
    • 8.2 - Evaluación de riesgos
    • 8.3 - Tratamiento de los riesgos
• NIST SP 800-53 rev.4
  • [RA] Risk Assessment
  • [PM-9] Risk Management Strategy
• Otras referencias:
  • Magerit v3:2012 - Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; Ministerio de Administraciones Públicas; Consejo Superior de Administración Electrónica. http://administracionelectronica.gob.es/
  • UNE 71504 - Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; AENOR Agencia Española de Normalización
  • NIST SP 800-30 - Risk Management Guide for Information Technology Systems
  • NIST SP 800-37 - Guide for Applying the Risk Management Framework to Federal Information Systems: A Security Life Cycle Approach
  • NIST SP 800-39 - Managing Risk from Information Systems: An Organizational Perspective
  • ISO/IEC 27005 - Information security risk management
  • ISO/IEC 31000 - Gestión del riesgo - Principios y directrices

Guía de implantación

60. Empleamos la expresión “análisis de riesgos” en el sentido de “risk assessment”[^4] en la terminología de ISO.

61. El análisis de riesgos permite:

• Validar el conjunto de medidas de seguridad implantado,
• Detectar la necesidad de medidas adicionales y
• Justificar el uso de medidas de protección alternativas.

62. Todo análisis de riesgos debe identificar y priorizar los riesgos más significativos a fin de conocer los riesgos a los que estamos sometidos y tomar las medidas oportunas, técnicas o de otro tipo.

63. El análisis de riesgos debe ser una actividad recurrente; es decir, se debe mantener actualizado.

64. El aspecto formal exige que el análisis esté documentado y aprobado. La documentación debe incluir los criterios utilizados para seleccionar y valorar activos, amenazas y salvaguardas.

65. Un análisis de riesgos debe ser realizado:

• Durante la especificación de un nuevo sistema, para determinar los requisitos de seguridad que deben incorporarse a la solución,
• Durante el desarrollo de un nuevo sistema, para analizar opciones,
• Durante la operación del sistema, para ajustar a nuevos activos, nuevas amenazas, nuevas vulnerabilidades y nuevas salvaguardas.

66. Todo sistema opera bajo una situación de cierto riesgo residual. El riesgo residual debe estar documentado y aprobado por el responsable de la información y del servicio correspondiente(s).