UNIVERSIDAD DE GUAYAQUIL FACULTAD DE CIENCIA …repositorio.ug.edu.ec/bitstream/redug/44421/1/Tesis... · supervisión como requerimiento parcial para la obtención del título de

UNIVERSIDAD DE GUAYAQUIL

FACULTAD DE CIENCIA ADMINISTRATIVAS

TRABAJO DE TITULACIÓN PRESENTADO COMO REQUISITO PARA

OPTAR POR EL TÍTULO DE INGENIERÍA EN SISTEMAS

ADMINISTRATIVOS COMPUTARIZADOS

TEMA:

DISEÑO DE UN MODELO DE SISTEMA PARA LA GESTIÓN DE RIESGOS CON

BASE A LA NORMA I SO 31000 Y MAGERIT VERSIÓN 3.0 EN LA EMPRESA

BLUEBOX.

AUTOR: Guzmán Morán Omar Daniel

TUTOR DE TESIS: Ing. Viteri Chávez Carlos MSIA

Guayaquil, Septiembre 2019

FACULTAD CIENCIAS ADMINISTRATIVAS

CARRERA INGENIERÍA EN SISTEMAS ADMINSTRATIVOS COMPUTARIZADO

i

REPOSITORIO NACIONAL EN CIENCIA Y

TECNOLOGÍA

FICHA DE REGISTRO DE TESIS/TRABAJO DE GRADUACIÓN

TÍTULO Y SUBTÍTULO: Diseño de un modelo de sistema para la gestión de riesgos con base a la

norma ISO31000 y MAGERIT versión 3.0 en la empresa BlueBox.

AUTOR(ES) (apellidos/nombres): Guzmán Morán Omar Daniel

REVISOR(ES)/TUTOR(ES) (apellidos/nombres):

Ing. Viteri Chávez Carlos MSIA

INSTITUCIÓN: Universidad de Guayaquil

UNIDAD/FACULTAD: Ciencias administrativas

MAESTRÍA/ESPECIALIDAD: Ingeniería en Sistemas Administrativos Computarizados

GRADO OBTENIDO: Tercer Nivel

FECHA DE PUBLICACIÓN: Septiembre 2019 No. DE PÁGINAS: 112

ÁREAS TEMÁTICAS: Sistemas de Información

PALABRAS CLAVES/ KEYWORDS: Gestión de riesgos, vulnerabilidades, amenazas, riesgos seguridad de la información

RESUMEN/ABSTRACT (150-250 palabras): La gestión de riesgos es la mejor herramienta que se puede emplear frente

a cualquier tipo de amenaza, riesgo y vulnerabilidades que se enfrenta una organización, la gestión de riesgos está

diseñada como un proceso continuo y disciplinado para la resolución de los problemas.

El presenta trabajo de titulación está dirigido a contribuir a la empresa BlueBox que tiene como actividad

principal la elaboración de videos comerciales en 2D y 3D, teniendo como conocimiento que la información que

maneja es el activo más importante y vital para el funcionamiento de la organización, este activo está de una

manera constante expuesto a un número que va en crecimiento de amenazas, BlueBox se encuentra en la

necesidad de gestionar de manera eficaz y de forma confiable los riesgos a los que estos activos están expuestos,

se propone como la solución más viable el diseño de un modelo de sistema para la gestión de riesgos con base a

la norma ISO 31000 y MAGERIT versión 3.0, el cual nos ayudara a prevenir, tratar y detectar todas aquellas

eventualidades, incidente o amenazas que se lleguen a presentar, precautelando la ejecución de sus actividades y

por consecutivo el cumplimiento de los objetivos.

ADJUNTO PDF: SI NO

CONTACTO CON AUTOR/ES: Teléfono: 2.237620/0989809440

E-mail: [email protected]

CONTACTO CON LA INSTITUCIÓN: Nombre: Ab. Elizabeth Coronel Castillo

Teléfono: (04) 2596830

E-mail: [email protected]



ii

CERTIFICADO PORCENTAJE DE SIMILITUD

Habiendo sido nombrado ING. CARLOS ALBERTO VITERI CHÁVEZ, MSIA tutor del

trabajo de titulación certifico que el presente trabajo de titulación ha sido elaborado por

GUZMAN MORAN OMAR DANIEL con CC 0950718692, con mi respectiva

supervisión como requerimiento parcial para la obtención del título de INGENIERO EN

SISTEMAS ADMINISTRATIVOS COMPUTARIZADOS.

Se informa que el trabajo de titulación: “DISEÑO DE UN MODELO DE

SISTEMA PARA LA GESTIÓN DE RIESGOS CON BASE A LA NORMA I

SO 31000 Y MAGERIT VERSIÓN 3.0 EN LA EMPRESA BLUEBOX.”, ha

sido orientado durante todo el periodo de ejecución en el programa antiplagio

URKUND quedando el 2 % de coincidencia.

https://secure.urkund.com/view/53346939-541094- 881920#DcQ7CoAwEAXAu6R+yL7s5nsVsZCgksI0KcW76xTzuHu6uhIU8N+DChoYw

QR meCgMAREJGWWDm/0a/extH+1wVRZhiLkkC2qq0cTs/QA=

ING. CARLOS ALBERTO VITERI CHÁVEZ, MSIA

C.I. 0915268270

https://secure.urkund.com/view/53346939-541094-881920






iii

Guayaquil, 2 de septiembre del 2019

CERTIFICACIÓN DEL TUTOR / REVISOR

Habiendo sido nombrado Ing. Viteri Chávez Carlos MSIA, tutor del trabajo de

titulación Diseño de un modelo de sistema para la gestión de riesgos con base a la

norma ISO 31000 y MAGERIT versión 3.0 en la empresa BlueBox certifico que el

presente trabajo de titulación, elaborado por Omar Daniel Guzmán Morán, con C.I. No.

0950718692, con mi respectiva supervisión como requerimiento parcial para la

obtención del título de Ingeniero en Sistemas Administrativo Computarizado, en la

Facultad Ciencias Administrativas, ha sido REVISADO Y APROBADO en todas sus

partes, encontrándose apto para su sustentación.

DOCENTE TUTOR DOCENTE REVISOR

Ing. Viteri Chávez Carlos Ing. Proaño Sánchez Fernando

C.I. No. 0915268270 C.I. No. 0913694808



iv

LICENCIA GRATUITA INTRANSFERIBLE Y NO EXCLUSIVA PARA EL

USO NO COMERCIAL DE LA OBRA CON FINES NO ACADÉMICOS

Yo, Omar Daniel Guzmán Morán con C.I. No. 0950718692, certifico que los contenidos

desarrollados en este trabajo de titulación, cuyo título es “Diseño de un modelo de sistema

para la gestión de riesgos con base a la norma ISO 31000 y MAGERIT Version 3.0 en

la empresa BlueBox” son de mi absoluta propiedad y responsabilidad Y SEGÚN EL Art.

114 del CÓDIGO ORGÁNICO DE LA ECONOMÍA SOCIAL DE LOS

CONOCIMIENTOS, CREATIVIDAD E INNOVACIÓN*, autorizo el uso de una licencia

gratuita intransferible y no exclusiva para el uso no comercial de la presente obra con fines

no académicos, en favor de la Universidad de Guayaquil, para que haga uso del mismo,

como fuera pertinente

__________________________________________

Guzmán Morán Omar Daniel

C.I. No. 0950718682

*CÓDIGO ORGÁNICO DE LA ECONOMÍA SOCIAL DE LOS CONOCIMIENTOS, CREATIVIDAD E INNOVACIÓN (Registro Oficial

n. 899 - Dic./2016) Artículo 114.- De los titulares de derechos de obras creadas en las instituciones de educación superior y centros educativos.- En el caso de las obras creadas en centros educativos, universidades, escuelas politécnicas, institutos superiores técnicos, tecnológicos, pedagógicos, de artes y los conservatorios superiores, e institutos públicos de investigación como resultado de su actividad académica o de investigación tales como trabajos de titulación, proyectos de investigación o innovación, artículos académicos, u otros análogos, sin perjuicio de que pueda existir relación de dependencia, la titularidad de los derechos patrimoniales corresponderá a los autores. Sin embargo, el establecimiento tendrá una licencia gratuita, intransferible y no

exclusiva para el uso no comercial de la obra con fines académicos.



v

DEDICATORIA

En primera instancia a nuestro padre Jehová Dios, ya que todo se hacen en obra a su

gracia, voluntad y misericordia.

A mis padres Marisol Morán y Nicolás Guzmán ya que por todos estos años se han

esforzado en brindarme lo mejor, a mis hermanos Elsy, Oscar y Vanessa que han estado allí

apoyándome de una u otra manera en los momentos sencillos y complicados de la vida, a

mi abuelita Rosa Guillen y mi tío David Morán a mis sobrinos Susana, Rebeca, Mathew y

Lorena que forman parte esencial en mi vida.

A mis increíbles profesores el Ing. David Cárdenas y la Ec. Alexandra Wilches que

sin duda alguna fueron de gran ayuda en todo este proceso.

Omar Daniel Guzmán Morán



vi

AGRADECIMIENTO

Agradezco a Dios por todas las cosas que ha hecho por mi aun que muchas veces

siento no merecerlas, por la dicha de aún poder estar con vida junto a las personas que

quiero y amo, agradezco a toda mi familia padres, hermanos, sobrinos, tío, abuela, por ser

un pilar fundamental en vida y apoyarme en todos los aspectos.

Quiero agradecer también al Ing. David Cárdenas y su esposa la Ec. Alexandra

Wilches por todo el apoyo brindado, los consejos, porque a pesar de todo siempre creyeron

en mí y fueron un pilar fundamental en la elaboración de este trabajo y a mis amigos,

Christian Miranda, Tania López y Víctor Briones por ser mis más grandes amigos y

apoyarme siempre. Gracias a todos.

Omar Daniel Guzmán Morán



vii

“DISEÑO DE UN MODELO DE SISTEMA PARA LA GESTIÓN DE RIESGOS CON BASE A LA NORMA ISO 31000 Y MAGERIT VERSIÓN 3.0 EN LA EMPRESA

BLUEBOX.”

Autor: Omar Daniel Guzmán Morán

Tutor: Ing. Carlos Viteri Chávez MSIA

RESUMEN

La gestión de riesgos es la mejor herramienta que se puede emplear frente a cualquier tipo

de amenaza, riesgo y vulnerabilidades que se enfrenta una organización, la gestión de riesgos

está diseñada como un proceso continuo y disciplinado para la resolución de los problemas.

El presenta trabajo de titulación está dirigido a contribuir a la empresa BlueBox que tiene

como actividad principal la elaboración de videos comerciales en 2D y 3D, teniendo como

conocimiento que la información que maneja es el activo más importante y vital para el

funcionamiento de la organización, este activo está de una manera constante expuesto a un

número que va en crecimiento de amenazas.

BlueBox se encuentra en la necesidad de gestionar de manera eficaz y de forma confiable los

riesgos a los que estos activos están expuestos, se propone como la solución más viable el

diseño de un modelo de sistema para la gestión de riesgos con base a la norma ISO 31000 y

MAGERIT versión 3.0, el cual nos ayudara a prevenir, tratar y detectar todas aquellas

eventualidades, incidente o amenazas que se lleguen a presentar, precautelando la ejecución

de sus actividades y por consecutivo el cumplimiento de los objetivos.

Palabras Claves: Gestión de riesgos, amenazas, vulnerabilidades, riesgos.



viii

"DESIGN OF A MODEL OF SYSTEM FOR RISK MANAGEMENT BASED

ON ISO 31000 AND MAGERIT VERSION 3.0 IN THE BLUEBOX COMPANY"

Author: Omar Daniel Guzmán Morán

Advisor: Ing. Carlos Viteri Chávez MSIA

ABSTRAC

Risk management is the best tool that can be used against any type of threat, risk and

vulnerabilities that an organization faces, risk management is designed as a continuous and

disciplined process for solving problems.

The presentation of the degree work is aimed at contributing to the company BlueBox

whose main activity is the development of commercial videos in 2D and 3D, taking into

account that the information that is handled is the most important and vital asset for the

functioning of the organization, this asset is in a constant way exposed to a number that

goes growing threats.

BlueBox is in need of effectively and reliably managing the risks to which these assets are

exposed, is proposed as the most viable solution the design of a systems model for risk

management based on ISO 31000 and MAGERIT version 3.0, which will help us to

prevent, treat and detect all eventualities, incidents or threats that may arise, protecting the

execution of its activities and, consequently, the fulfillment of the objectives.

Keywords: Risk management, threats, vulnerabilities, risks

1

INDICE

RESUMEN ........................................................................................................... 6

INTRODUCCIÓN .................................................................................................. 7

CAPÍTULO I ....................................................................................................... 10

PLANTEAMIENTO DEL PROBLEMA ..................................................................... 10

1.1 Antecedentes .................................................................................................... 10

1.2 Planteamiento del problema ............................................................................. 13

1.4 Objetivos .......................................................................................................... 16 1.4.1 Objetivo general ............................................................................................................. 16 1.4.2 Objetivo específico ......................................................................................................... 16

CAPÍTULO II ...................................................................................................... 17

MARCO TEÓRICO .............................................................................................. 17

2.1 ISO 31000/2018 Gestión de Riesgos ................................................................... 22

2.2 Beneficios de la gestión del riesgo ..................................................................... 23

2.3 Principios de la norma ISO 31000 ....................................................................... 24

26

2.5 Identificación del riesgo..................................................................................... 26

2.6 Análisis del riesgo .............................................................................................. 27

2.7 Evaluación del riesgo ......................................................................................... 27

2.8 Tratamiento del riesgo ...................................................................................... 28

2.9 Seguimiento y revisión ...................................................................................... 29

2.10 Mejora continua .............................................................................................. 30

2.11 MAGERIT V. 3.0 ............................................................................................... 31

2.11.3 Método ........................................................................................................ 32

2.11.4 Lista de elementos ........................................................................................ 33

2.11.5 Guías de técnicas. ......................................................................................... 33

2.11.6 Método de análisis de riesgos ....................................................................... 33

2.11.7 Activos ......................................................................................................... 34 2.11.7.1 Valoración .................................................................................................................. 35 2.11.7.2 Dimensiones ............................................................................................................... 35

2.11.8 Amenazas ..................................................................................................... 36 2.11.8.1 Identificación de amenazas ...................................................................................... 36 2.11.8.2 Valoración de las amenazas ..................................................................................... 36 2.11.8.3 Determinación del impacto ...................................................................................... 37

2

2.11.9 Salvaguardas ................................................................................................ 37 2.11.9.1 Selección de salvaguardas ........................................................................................ 37 2.11.9.2 Tipos de protección ................................................................................................... 37

2.11.10 Metodología MAGERIT V 3.0 ....................................................................... 39

2.12 Mandato y compromiso................................................................................... 40

CAPÍTULO III ..................................................................................................... 42

METODOLOGÍA................................................................................................. 42

3.1 Metodología de la investigación ........................................................................ 42

3.2 Población y muestra .......................................................................................... 43

3.3 Técnicas e instrumento de investigación. ........................................................... 44 3.3.1 Observación .................................................................................................................... 44 3.3.2 Entrevistas y encuestas .................................................................................................. 44 3.3.3 Análisis de los resultados de la técnica de las encuestas ............................................. 45

3.4 Metodología de la investigación aplicada ........................................................... 45

CAPÍTULO IV ..................................................................................................... 48

PROPUESTA ...................................................................................................... 48

4.1 La propuesta ..................................................................................................... 48

4.2 Justificación de la propuesta .............................................................................. 49

4.3 Descripción de la propuesta ............................................................................... 50

4.4 Implementación del diseño de un modelo de sistema para la gestión de riesgo en los marcos de la norma ISO 31000 y la metodología MAGERIT versión 3.0 ............... 50

4.5 Fase 1: Preparar y planificar los principios .......................................................... 52 4.5.1 Formato de los principios, mandato y compromiso de la empresa BlueBox. ........... 52 4.5.2 Objetivos de la empresa ................................................................................................. 53 4.5.3 Alcance ............................................................................................................................ 53 4.5.4 Compromiso de la empresa ........................................................................................... 53 4.5.5 Responsabilidades de los usuarios. ............................................................................... 54 4.5.6 Responsabilidades del comité. ....................................................................................... 54 4.5.7 Principio de Integración ................................................................................................ 55 4.5.8 Principio de Adaptación ................................................................................................ 55 4.5.9 Principio de Dinamismo ................................................................................................ 55 4.5.10 Principio de Mejor Información ................................................................................. 55 4.5.11 Principio de Factor Humano y Cultural .................................................................... 55

4.6 Fase 2: Gestión de riesgos .................................................................................. 56 4.6.1 Identificación de activos ................................................................................................ 56 4.6.2 Valoración de activos ..................................................................................................... 57 4.6.2 Identificación de amenazas ........................................................................................... 58 4.6.3 Valoración de las amenazas .......................................................................................... 59 4.6.4 Determinación de los niveles de riesgo ......................................................................... 59 4.6.5 Tratamiento de las amenazas ........................................................................................ 60

4.7 Fase 3: Establecer salvaguardas ......................................................................... 61

4.8 Fase 4: Mejora continua .................................................................................... 62

3

4.8.1. Monitoreo, revisión periódica y documentada de la gestión de riesgos .................... 63 4.8.2 Medidas de prevención .................................................................................................. 63

4.9 Ejecuciones del modelo ..................................................................................... 63 4.9.1 Ejecución del modelo por primera vez ......................................................................... 64 4.9.2 Ejecución del modelo por segunda vez ......................................................................... 65 4.9.3 Análisis comparativo entre las dos ejecuciones ........................................................... 66

CONCLUSIONES ................................................................................................ 68

Bibliografía ...................................................................................................... 69

4

ÍNDICE DE TABLAS

Tabla 1 Matriz de riesgo ........................................................................................ 28 Tabla 2 Identificación de activos ........................................................................... 57

Tabla 3 Criterios de valoración para activos, amenazas y riesgos ..................... 58 Tabla 4 Tabla de probabilidad .............................................................................. 60 Tabla 5 Tabla de prioridad para tratar las amenazas según su nivel de riesgo 61 Tabla 6 Resultados de la ejecución del modelo por primera vez ....................... 64 Tabla 7 Resultados de la ejecución del modelo por segunda vez ....................... 65

Tabla 8 Comparación de las ejecuciones .............................................................. 66 Tabla 9 Conclusiones obtenidas de la investigación ............................................ 68 Tabla 10 Identificación de activos de la empresa BlueBox ................................. 83 Tabla 11 Valoración de activos de la empresa BlueBox ...................................... 84

Tabla 12 Determinación de las amenazas a las que están expuestos los activos,

con los promedios de impacto ................................................................................ 86 Tabla 13 Determinación del riesgo ........................................................................ 87

Tabla 14 Prioridad de las amenazas según el nivel de riesgo obtenido ............. 88

Tabla 15 Tratamiento de las amenazas según su prioridad ............................... 88 Tabla 16 Aplicabilidad de las salvaguardas ......................................................... 97 Tabla 17 Medidas de prevención ........................................................................... 98

Tabla 18 Implementación de métricas .................................................................. 99 Tabla 19 Incidentes presentados durante el periodo de tiempo de tres meses 101

Tabla 20 Acciones tomadas contra los incidentes y amenazas detectados ...... 102 Tabla 21 Identificación y valoración de activos ................................................. 103

Tabla 22 Identificación y valoración de las amenazas en la segunda ejecución

................................................................................................................................ 104 Tabla 23 Nuevo cálculo para determinar el riesgo ............................................ 105

Tabla 24 Análisis de tiempo costo del tratamiento de los riesgos ..................... 111

5

ÍNDICE DE FIGURAS Figura 1 Organigrama de la empresa BlueBox 11

Figura 2 Evolución de la norma ISO 31000 13 Figura 3 Árbol de problemas, causas y efectos de la empresa BlueBox. 14 Figura 4 Norma ISO 31000 21 Figura 5 Familias de la norma ISO 31000 22 Figura 6 Gestión del riesgo 23

Figura 7 Principios de la norma ISO 31000 24 Figura 8 Definiciones de los principios de la norma ISO 31000 25 Figura 9 Definición de criterios del riesgo 26 Figura 10 Tratamiento del riesgo 28

Figura 11 Mejora continua 31 Figura 12 Elementos del análisis de riesgos potenciales 34

Figura 13 Tipos de amenazas 36 Figura 14 Implementación de MAGERIT V 3.0 39

Figura 15 ISO 31000 y sus relaciones 41 Figura 16 Metodologías usadas para la investigación del trabajo 43 Figura 17 Metodología de la investigación aplicada 47

Figura 18 Modelo de sistema para la gestión del riesgo 51 Figura 19 Tipos de salvaguardas 62

Figura 20 Gráfica de los niveles de riesgo de la primera ejecución 64 Figura 21 Gráfica de los niveles de riesgo de la segunda ejecución 66 Figura 22 Comparación de los niveles de riesgo 67

Figura 23 Gráfica de la respuesta 1 74

Figura 24 Gráfica de la respuesta 2 75 Figura 25 Gráfica de la respuesta 3 76 Figura 26 Gráfica de la respuesta 4 77

Figura 27 Gráfica de la respuesta 5 78 Figura 28 Gráfica de la respuesta 6 79

Figura 29 Gráfica de la respuesta 7 80 Figura 30 Identificación de las amenazas 85

Figura 31 Fases de ejecución para el tratamiento de las amenazas 90 Figura 32 Implementación de salvaguarda 91 Figura 33 Implementación de salvaguarda 92 Figura 34 Implementación de salvaguarda 93 Figura 35 Implementación de salvaguarda 94

Figura 36 Implementación de salvaguarda 95 Figura 37 Implementación de salvaguarda 96

Figura 38 Plan de mejora continua 100 Figura 39 Implementación de nuevas salvaguardas 107 Figura 40 Implementación de nuevas salvaguardas 108 Figura 41 Implementación de nuevas salvaguardas 109 Figura 42 Implementación de nuevas salvaguardas 110

6

RESUMEN

La gestión de riesgos es la mejor herramienta que se puede emplear frente a

cualquier tipo de amenaza, riesgo y vulnerabilidades que se enfrenta una organización, la

gestión de riesgos está diseñada como un proceso continuo y disciplinado para la resolución

de los problemas.

El presenta trabajo de titulación está dirigido a contribuir a la empresa BlueBox que

tiene como actividad principal la elaboración de videos comerciales en 2D y 3D, teniendo

como conocimiento que la información que maneja es el activo más importante y vital para

el funcionamiento de la organización, este activo esta de una manera constante expuesto a

un número que va en crecimiento de amenazas.

BlueBox se encuentra en la necesidad de gestionar de manera eficaz y de forma

confiable los riesgos a los que estos activos están expuestos, se propone como la solución

más viable el diseño de un modelo de sistema para la gestión de riesgos con base a la norma

ISO 31000 y MAGERIT versión 3.0, el cual nos ayudara a prevenir, tratar y detectar todas

aquellas eventualidades, incidente o amenazas que se lleguen a presentar, precautelando la

ejecución de sus actividades y por consecutivo el cumplimiento de los objetivos.

7

INTRODUCCIÓN

El riesgo informático no solo puede afectar la parte física y digital de un activo si

no también puede causar efecto en los procesos laborales, organizacionales y

estratégicos de una empresa incluso gerencial causando un sin número de pérdidas y

daños irreparables. Estos autores afirman:

El riesgo que es de origen informático, puede recalcar sobre las metas,

objetivos y avances organizacionales y ser causa de algún otro tipo de riesgo, al

ser inherente al uso de la tecnología. Es por esto, el daño, interrupción,

alteración, o falla derivada o proporcionada por el uso de TI puede implicar

pérdidas muy significativas dentro y fuera de la organización, estas pueden ser

físicas, pérdidas financieras, multas o acciones legales, daño en la afectación de

la imagen de la organización y causar varios inconvenientes a nivel operativo y

estratégico. (Ramírez Castro & Ortiz Bayona, 2011).

Una situación que ejemplifica lo mencionado ocurrió en el año 2015, cuando

diecisiete empresas ecuatorianas fueron víctimas por parte de ciber mafias cuando un virus

atacó a estas empresas del Ecuador.

El virus se propagó desde la mañana del lunes 19 de enero. Por la tarde,

expertos en seguridad informática ya conocían de las primeras infecciones. El

‘malware’ avanzó y en cinco días penetró en los ordenadores de unas 17 empresas

privadas e instituciones públicas de Quito, Guayaquil y Cuenca. El programa

maligno ingresó en las computadoras y encriptó archivos sensibles: documentos

levantados en Word, Excel, Autocad. Una de las empresas atacadas perdió carpetas

8

en las que se almacenaban datos del departamento de contabilidad (Diario El

Comercio, 2015).

Durante este ataque muchas de estas empresas no tenían ningún tipo de plan de

contingencia para una pérdida de está magnitud y las empresas tuvieron daños y pérdidas

irreparables. (Diario El Comercio, 2015) “Los técnicos analizaron los ordenadores

infectados y detectaron que se trataba del virus denominado cryptolocker1, un potente

‘malware’ que llega a los usuarios a través de correos electrónicos con información

aparentemente útil.”

Por ende, debido a los altos riesgos no solo informáticos sino también físicos las

empresas optan por mejoras en los procesos para la gestión de riesgos y que mejor guía que

la ISO 31000 que se encarga del Sistema de Gestión de Riesgo.

Por otra parte, MAGERIT es una metodología de análisis y gestión de riesgos que

fue elaborada por el Consejo Superior de Administración Electrónica, la metodología

MAGERIT está relacionada con el uso de tecnologías de la información, que son de gran

ayuda para la automatización de procedimientos, pero a su vez da lugar a ciertos riesgos,

los cuales deben ser minimizados con medidas de seguridad que generen confianza. Tan

grande ha sido el impacto de la metodología MAGERIT que el Centro Cristológico

Nacional (CCN), creó la herramienta PILAR que implementa la misma metodología

MAGERIT y es de amplia utilización en la administración pública española, pero el uso de

está herramienta es opcional ya que maneja los mismos procedimientos de la metodología

MAGERIT. (Portal de administración electrónica , 2012)

1 Malware de la familia de los Ransoms, cuya función es la extorción al usuario

9

MAGERIT sirve para todas aquellas empresas sin importar su tipo o clasificación

que trabajen con información digital y sistemas informáticos y saber cuan valiosos son para

la empresa, está metodología ayudara a proteger y conocer el riesgo a los que están

expuestos estos activos.

Todas las organizaciones sin importar su tamaño o actividad comercial enfrentan

cualquier tipo de riesgo y/o amenaza no solo en sus procesos de producción, a los que se

enfrentan a diario de manera interna o externa, el conocer estos riesgos nos ayuda a

concientizar y dar un mejor uso y manejo a cada uno de sus activos ya sean estos físicos

o digitales. La evolución de las tecnologías de la información ha tenido grandes avances

en su desarrollo e implementación. Esta transformación va acoplándose a los diferentes

menesteres para así poder dar apertura a otras operaciones relacionadas en el día a día,

en conclusión, este modelo propone de manera estructurada y ordenada finiquitar una

correcta gestión de riesgos con el fin de dar un óptimo desarrollo del mismo.

10

CAPÍTULO I

PLANTEAMIENTO DEL PROBLEMA

1.1 Antecedentes

La empresa BlueBox es una organización ecuatoriana privada que surgió como un

negocio familiar y en la actualidad lleva veinte años de trayectoria, consta con un total de

veinticinco empleados y se encarga de la elaboración de vídeos comerciales televisivos en

2D y 3D para empresas como Artefacta, Comandato, La Ganga, Coca Cola, entre otras. Las

elaboraciones de estos vídeos son llevadas a cabos por el personal de audiovisual, una vez

culminado el vídeo comercial, se realiza la logística de distribución del vídeo a la empresa

que contrató los servicios de BlueBox.

Sus principales proveedores de equipos son la compañía Sony y Mac, y su

proveedor de internet Netlife, la empresa BlueBox se encuentra ubicada en el parque

empresarial Colon Of. 210, Edif. 4, Piso 2 en la ciudad de Guayaquil, uno de sus

principales y más directo competidor es la compañía Quimera Films.

En los últimos años la empresa presenta una falta de guías o controles sobre los

riesgos existentes hacía los activos y procedimientos que realiza la organización, dando

apertura a falencias que puedan poner en peligro la continuidad de la empresa.

11

Figura 1 Organigrama de la empresa BlueBox

Fuente 1 Elaborado por el autor

12

En la década de los 80 y 90 la Gestión del Riesgo para la Seguridad de la

Información se transforma en una parte fundamental en las organizaciones para sus

planificaciones y estrategias, pero es a finales del siglo XX donde se empieza a descubrir y

conocer los riesgos informáticos que se presentan dentro de las organizaciones. (Gaona

Vásquez, 2013, pág. 12)

La norma ISO 31000 es una norma internacional no certificable, cuyo objetivo

ofrece los principios para la aplicación directa e indirecta y generalizada a la utilización de

TI para gestionar el riesgo de las organizaciones y a su vez mitigarlos con medidas de

seguridad que puedan ofrecer plena confianza.

ISO 31000 es una normal internacional cuyo objeto y estudio se dedica

principalmente a la gestión de riesgos. A su vez, proporciona guías y principios de

tal forma que ayuda a las empresas en su análisis y evaluaciones de riesgos en su

mayoría de actividades empresariales, esta incluye planificación, procesos de

comunicación y operaciones de gestión.

A través de la implementación de los principios y guías que ofrece la norma

ISO 31000 en su empresa, facultará la mejora de su eficacia operativa, su

gobernanza y la convicción de las partes involucradas, a su vez mitiga alguna

pérdida posible. Cabe recalcar que estas normas colaboran con el favorecimiento de

Seguridad y Salud, entablan una base sólida y compacta para la toma de decisiones

y así, desarrollar una gestión proactiva en cada una de las áreas organizacionales.

(BSI Group, 2019)

13

La evolución de la norma ISO sobre la gestión de riesgo nace con la ISO

31000/2009 que se basa en proporcionar principios que se llevan a cabo para la gestión de

riesgo y esto a su vez se implementa a nivel estratégico luego operativo y de allí nace las

nuevas características de la norma ISO 31000 la cual está conformada por:

(ISO, 2009), (ISO, 2009), (ISO, 2009),

(ISO, 2018)

1.2 Planteamiento del problema

De acuerdo al Gerente de la empresa BlueBox nos indica que ha presentado varias

anomalías con respecto al resguardo de la información, que se proyecta por un manejo

inadecuado de datos de la empresa que se generan tanto interna como externamente a la

misma, por lo cual la empresa ha estado expuesta a la fuga de información. (Carrozzini

Villagran, 2019)

2009

2009

2009 2018

ISO/IEC 31010

Evaluación de

Riesgos

ISO 31000

Principios y

directrices

ISO Guide 73

Vocabulario

ISO 31000

Principios y

directrices

Figura 2 Evolución de la norma ISO 31000

Fuente 2 E laborado por el autor a partir de

14

De acuerdo a la información proporcionada se detectó la ausencia de recursos para

la correcta gestión de información, y está expuesta a muchos riesgos y amenazas los cuales

no han sido debidamente gestionados.

Una inadecuada gestión de información podría tener un malogro de recursos, siendo

éstos económicos o de tiempo, debido a esto también se podría ver afectada la reputación

de la empresa. Consultar anexo D, carta firmada por el representante legal indicando la

autorización de la información brindada y sus límites permisibles de publicación.

Figura 3 Árbol de problemas, causas y efectos de la empresa BlueBox.


No existen procesos

establecidos para el

desarrollo de

actividades de la

empresa

Desconocimiento

sobre los riesgos

existentes entorno

a la empresa.

Actos maliciosos como:

sabotaje, robo de

información, ataques a

los sistemas de

información.

Fallo humano como: errores

en la información, accidentes

que causen pérdida de

información sensible para la

empresa.

Administración, clasificación y uso inadecuado de la información.

Personal no

capacitado para el

análisis y

tratamiento

para los riesgos.

No existe criterio de importancia

sobre el desarrollo e

implementación de un modelo

de gestión de riesgo por los altos

directivos de la empresa.

EFECTOS

PROBLEMA

CAUSAS

15

1.3 Justificación del problema

Los directivos de la empresa BlueBox están conscientes de que en la organización

no existe una adecuada gestión de la información, desconocen los riesgos a la que está

expuesta la misma y cometen errores en sus procesos, es por estos factores que han existido

daños físicos y digitales ocasionando pérdidas dentro de la organización.

Las empresas para ser competitivas en el mercado requieren una producción de

calidad, procesos claros, manejar de forma correcta y adecuada su información; en su

defecto, BlueBox siendo una empresa que elabora y edita videos, que maneja información

sensible de clientes, necesita resguardar y conservar adecuadamente dicha información, por

consiguiente Bluebox no realiza esto de manera eficiente, no tiene un control especifico, ni

tampoco realiza una evaluación de forma correcta o adecuada de sus riesgos, los cuales

podrían ocasionar un quiebre del negocio.

En este proyecto de investigación se va a trabajar dentro del estándar ISO 31000

que beneficiará con las mejores prácticas y recomendaciones para implementar un Sistema

de Gestión de riesgos para que la empresa pueda tomar acciones oportunas para prevenir o

mitigar los riesgos a los cuales la empresa puede estar expuesta.

16

1.4 Objetivos

1.4.1 Objetivo general

Diseñar un Modelo de un Sistema de Gestión de Riesgos basado en la Norma

ISO/IEC 31000 y MAGERIT versión 3.0 para la empresa BlueBox.

1.4.2 Objetivo específico

Realizar una correcta gestión de riesgos, para la identificación de amenazas a las

que estén expuestos los activos de la empresa BlueBox.

Definir guías y salvaguardas de los modelos ISO 31000 y MAGERIT versión 3.0

en relación a la gestión de riesgos de la empresa BlueBox.

Desarrollar el nuevo modelo de gestión de riesgos bajo las fortalezas definidas de

ISO 31000 y MAGERIT versión 3.0.

Probar e implementar el nuevo modelo en el área específica más vulnerable de la

empresa BlueBox.

17

CAPÍTULO II

MARCO TEÓRICO

Para una mayor comprensión en cuanto a los términos que se emplearan en esta

tesis se van a establecer los conceptos más.

Seguridad informática. – Se define a la seguridad informática como el proceso de

prevenir y detectar el uso no autorizado de un sistema informático, esto implica el proceso

de proteger contra los intrusos el uso de los recursos informáticos contra intenciones

maliciosas o incluso que accedan por accidente. (Universidad Internacional de Valencia

(VIU), 2018)

Dimensiones de la seguridad de la información. - Las dimensiones de la

seguridad de la información está conformada por:

Vulnerabilidad. - Es una debilidad o fallo en un sistema de información que pone

en riesgo la seguridad de la información pudiendo permitir que un atacante pueda

comprometer la integridad, disponibilidad o confidencialidad de la misma, estas

vulnerabilidades pueden ser de diferentes tipos entre las cuales están: fallos de diseño,

errores de configuración e incluso carencia de procedimientos. (Instituto Nacional de

Ciberseguridad de España (INCIBE), 2017)

Amenaza: Es toda acción que aprovecha una vulnerabilidad para atentar contra la

seguridad de un sistema de información, y podría tener un potencial efecto negativo contra

la seguridad de un sistema, las amenazas pueden ser procedentes de ataques, sucesos

físicos, negligencia e incluso hasta de decisiones organizacionales. (Instituto Nacional de

Ciberseguridad de España (INCIBE), 2017)

18

Riesgo: El riesgo es una variable permanente en todas las actividades de la

organización que influye en sus oportunidades de desarrollo, pero que también afecta los

resultados y puede poner en peligro su estabilidad. Bajo la premisa de que no es posible

eliminar totalmente los riesgos en un sistema, se requiere manejarlos de una manera

adecuada, coherente y consistente (ISOTools, 2015)

Probabilidad: En primera instancia se entiende como la posibilidad que existe de

que un determinado hecho probable realmente suceda. Ese hecho puede finalmente suceder,

o no suceder. (Estela Raffino, 2019)

Sistema de información: Conjunto organizado de elementos, que pueden ser

personas, datos, actividades o recursos materiales en general. Estos elementos interactúan

entre sí para procesar información y distribuirla de manera adecuada en función de los

objetivos de una organización. (EcuRed, 2012)

Gestión de riesgos: La gestión de riesgos es el proceso de identificar, analizar y

responder a factores de riesgo a lo largo de la vida de un proyecto y en beneficio de sus

objetivos. La gestión de riesgos adecuada implica el control de posibles eventos futuros.

Además, es proactiva, en lugar de reactiva. (Gerens, 2017)

Sistema de gestión de riesgos: Los sistemas de gestión de riesgos están diseñados

para hacer más que solo identificar el riesgo. El sistema también debe poder cuantificar el

riesgo y predecir su impacto en el proyecto. En consecuencia, el resultado es un riesgo

aceptable o inaceptable. La aceptación o no aceptación de un riesgo depende, a menudo, del

nivel de tolerancia del gerente de proyectos por el riesgo. (Gerens, 2017)

19

Historia de la gestión de riesgo: A partir de la revolución industrial iniciada en el

siglo diecinueve, las condiciones de producción y de la vida ciudadana en general crean y

se ven expuestas a nuevos y más grandes riesgos, que precisan de una respuesta acorde con

la innovación y la importancia que entrañan. En esa dinámica acelerada del desarrollo

industrial, se alcanzan los años cincuenta del siglo veinte, cuando algunas empresas

incorporan la función de la gerencia de riesgos, dedicada inicialmente a la compra y gestión

de seguros, con posterioridad, la gerencia de riesgos amplía su campo de acción, al

asesoramiento en la decisión de otras políticas de la empresa en su estrategia corporativa y

operacional, en particular en el aseguramiento y fiabilidad de los proceso y las acciones de

seguridad como principales herramienta que contribuyen a garantizar la continuidad de las

operaciones. En el mes de enero del 2005 la “Conferencia Mundial sobre la Reducción de

los Desastres” reunida en Kobe, Hyogo- Japón, promueve la instauración de la Gestión de

Riesgos como parte de la política pública a nivel internacional, lo que marcó un importante

hito en el manejo de las emergencias y desastres manejadas hasta ese entonces. A partir de

ello la gestión de riesgos toma un fuerte impulso y posicionamiento a nivel mundial,

dándole el peso e importancia que se merece. (Moreno, 2013)

ISO es una organización a nivel mundial, su función consiste en la elaboración de

normas internacionales que se realizan por medio de los comités técnicos de ISO, adicional

esta norma trabaja junto con la Comisión de Electrónica Internacional (IEC).

Para que una norma internacional sea publicada esta debe ser llevada a los

organismos miembros de votación y estas requieren al menos el 75% de aprobación de los

dichos organismos.

20

ISO 31000 es una norma no certificable, cuya finalidad consiste en la gestión del

riesgo basándose en que todas las empresas a nivel mundial sin importar su tipo o tamaño

desafían factores e influencias ya sean estas externas o internas, que no permiten visualizar

a la empresa cuando y como alcanzaran sus objetivos, el resultado de esta irresolución que

existe sobre el alcance de los objetivos dentro de una empresa se la conoce como “riesgo” y

la forma de tratar el riesgo según lo establecido por la norma es:

Identificarlo

Analizarlo

Evaluarlo

Tratarlo

La norma internacional ISO 31000 consta de un proceso clave para su modelo sea

eficiente y eficaz y este se divide entre sus principios, la gestión de riesgo y la mejora

continua.

21

(AEN/GET13, 2010)2

Al aplicar este proceso dentro de la organización sus riesgos pueden ser asimilados,

minimizados, trasladados a niveles aceptables brindando confianza y seguridad a los

procedimientos y actividades de la organización en general.

ISO 31000 brinda un proceso confiable para la gestión del riesgo a nivel estratégico

y a su vez operativo, esta norma lleva consigo una familia de normas dadas por ISO que

sirven de aporte para gestionar los riesgos, la familia ISO 31000 incluye:

2 Grupo Específico AEN/GET13 Gestión de Riesgo ISO 31000 cuya Secretaría desempeña AENOR

(Asociación Española de Normalización y certificación)

Norma ISO 31000 establece:

Principios

Gestión de riesgo

Identificación

Análisis

Evaluación

Tratamiento

Plan de mejora

Mejora Continua

Figura 4 Norma ISO 31000

Fuente 4 Elaborado por el autor a partir de

22

(ISO, 2009) (ISO, 2009) (ISO, 2009)

(ISO, 2018)

2.1 ISO 31000/2018 Gestión de Riesgos

ISO 31000 establece que todos y cada uno de los procesos de las empresas

contienen un nivel de riesgo, las organizaciones hacen una gestión de los riesgos de una u

otra manera, pero la forma correcta dada por la norma nos indica que para gestionar el

riesgo es necesario identificarlo, analizarlo, evaluarlo y por último tratarlo para así

minimizarlo, trasladarlo o asimilarlo a niveles aceptables.

Una gestión de riesgo se la puede considerar controlada porque, dentro de la

organización se ha establecido las guías correspondientes para que el nivel de impacto del

riesgo sea mínimo sobre los activos físicos, digitales o humanos, tomando en cuenta que el

riesgo no puede ser eliminado totalmente, siempre se tendrá un valor residual, es por este

motivo que la gestión del riesgo cumple un proceso cíclico.

Agosto 2009 Noviembre 2009 Noviembre 2009 Febrero 2018

ISO 31000 Principios

y Directrices: Norma

internacional para la

gestión de riesgos

ISO 31010 Evaluación de

riesgos usada para dar soporte a

la norma ISO 31000 brindando

técnicas de evaluación de riesgo

ISO Guide 73 Vocabulario,

proporciona las definiciones de

términos genéricos relacionados

con la gestión de riesgo

ISO 31000 Principios y

Directrices: Norma internacional

versión actualizada para la

gestión de riesgos

Figura 5 Familias de la norma ISO 31000

Fuente 5 Elaborado por el autor a partir de

23

2.2 Beneficios de la gestión del riesgo

ISO 31000 ofrece una serie de beneficios en las organizaciones para que su gestión

de riesgo sea óptima, adecuada y correcta, estos beneficios ayudan en muchos aspectos

entre los cuales tenemos:

Alcanzar los objetivos de la empresa.

Estimular proactivamente la gestión del riesgo.

Identifica y trata los riesgos en la empresa.

Mejora la visualización para identificar oportunidades y amenazas.

Mejora el gobierno.

Fortalece la base para la toma de decisiones.

Aumenta y mejora la eficiencia y eficacia en los procesos de la organización.

Disminuye las pérdidas

Gestión de

Riesgos

Identificación

Análisis

Evaluación

Tratamiento

Figura 6 Gestión del riesgo

Fuente 6 Elaborado por el autor a partir de (AEN/GET13, 2010)

24

2.3 Principios de la norma ISO 31000

La base de la norma ISO 31000 para la gestión del riesgo se sustenta en los

principios que se definen como un conjunto de elementos que brindan el apoyo y la

preparación para el diseño de la gestión del riesgo, estos principios son de suma

importancia porque es a partir de estos que se forman los cimientos para establecer el

modelo dentro de la organización.

Figura 7 Principios de la norma ISO 31000


Principio de integración

Principio de estructura y

exhaustividad

Principio de adaptación

Principio de inclusividad

Principio de dinamismo

Principio de mejor

información

Principio de factor

humano y cultural

Principio de mejora continua

25

Una vez identificados los principios, procedemos a detallar cada uno de ellos.

.

Integración

Estructura

Inclusión

Adaptación

Mejor información

Mejora Continua

Dinamismo

Factor Humano y

Cultural

La gestión del riesgo es parte de las responsabilidades de

gestión y una parte integral de todos los procesos.

Un enfoque oportuno y estructurado de la gestión del riesgo

contribuye a la eficiencia y a resultados coherentes.

La gestión del riesgo se alinea con el contexto externo e interno

de la organización y con el perfil del riesgo.

La implicación apropiada y oportuna de las partes interesadas

y, en particular, de las personas que toman decisiones a todos los

niveles.

La gestión del riesgo es sensible de manera continua a los

cambios y responde a ellos.

Las personas que toman decisiones deberían informarse y tener

en cuenta todas las limitaciones de los datos o modelos utilizados.

La gestión del riesgo permite identificar las aptitudes, las

percepciones y las intenciones de las personas externas e internas.

El proceso del Sistema de Gestión de Riesgos debe mostrar una

mejora en el tiempo, en la eficacia y eficiencia.

Figura 8 Definiciones de los principios de la norma ISO 31000


26

2.4 Criterios del riesgo

La empresa con base a la norma ISO 31000 deberá establecer los criterios

necesarios para evaluar los riesgos, identificarlos, analizarlos, tratarlos, estos deberán

mostrar objetivos, recursos de la empresa, valores, estos criterios deben de ser coherentes

con la gestión de riesgos para implementar un correcto uso de la misma dentro de la

empresa.

2.5 Identificación del riesgo

Esta actividad se basa en que, las empresas tendrán que identificar los riesgos, su

naturaleza, los lugares de impacto, como se suscitan, así como a su vez las causas y

consecuencias, el objetivo de esto consiste en mejorar, prever, crear, retrasar, acelerar la

consecución de los objetivos de la empresa.

Figura 9 Definición de criterios del riesgo


27

Aquí se emprende la búsqueda y reconocimiento para describir el riesgo, la empresa

tendrá que recurrir a la aplicación de métodos, herramientas y a su vez técnicas brindadas

por la norma ISO 31000 con la finalidad de conocer los riesgos a los que está expuesta la

organización.

Para que la identificación del riesgo sea exitosa la empresa deberá tener información

pertinente y actual, acompañada de antecedentes apropiados que justifiquen cualquier nivel

de riesgo en el que se encuentre un activo ya sea físico o digital.

2.6 Análisis del riesgo

Esto conlleva a desarrollar una comprensión mesurada del riesgo y a su vez

proporcionar detalles específicos para la evaluación del riesgo y así poder tomar decisiones

sobre cómo tratar el riesgo y detallar que métodos y técnicas serán usadas para su

tratamiento.

Esta actividad implica que se deben considerar las causas, la fuente del riesgo, sus

consecuencias ya sean estas negativas o positivas.

Estos resultados obtenidos serán estudiados minuciosamente para dar detalles

apropiados y confiables al momento de evaluarlos, esto debe ser desarrollado de una

manera correcta ya que es de mucha importancia para la toma de decisiones al momento de

tratar el riesgo.

2.7 Evaluación del riesgo

Una vez obtenidos los resultados del análisis del riesgo el proceso de evaluación del

riesgo tiene el propósito de ayudar a la organización a la toma adecuada y apropiada de

decisiones que detallen los riesgos y el tratamiento a implementar.

28

Estos valores de evaluación nos indica el nivel del riesgo en el que se encuentra un

activo o procedimiento en la empresa, aquí el riesgo se lo categoriza por la probabilidad e

impacto y así se puede obtener un análisis cualitativo o cuantitativo, un modelo a seguir

puede ser:

Tabla 1 Matriz de riesgo

2.8 Tratamiento del riesgo

Este proceso implica el método, opciones, implementaciones que van a modificar el

riesgo para que esté sea asimilado, mitigado, trasladado a niveles de impacto aceptables.

El tratamiento del riesgo compone un modelo cíclico en la cual comprende:

Matriz de valoración de riesgo Impacto

Insignificante Moderado Dañino Extremo

Probabilidad

Muy alta Medio Alto Crítico Crítico

Alta Medio Alto Alto Crítico

Media Bajo Medio Alto Alto

Baja Bajo Bajo Medio Medio


Análisis

del riesgo

Valoración

del riesgo

Tratamiento

del riesgo

Eficacia

del

tratamiento

Figura 10 Tratamiento del riesgo


29

El tratamiento del riesgo nos brinda varias opciones que de las cuales se establecen

las más apropiadas entre estas opciones tenemos:

Evitar el riesgo (no continuar con la actividad que lo causa).

Aceptar o asimilar el riesgo (con el fin de buscar una oportunidad).

Eliminar la fuente del riesgo.

Modificar su probabilidad o impacto (realizar un cálculo de tiempo determinado).

Mitigar el riesgo (llevarlo a niveles de impacto aceptables).

Trasladar el riesgo (trasladar la causa del riesgo).

Compartir el riesgo (con el fin de que su nivel de impacto se divida).

La elección de opciones brindadas por el tratamiento del riesgo debe ser la que más

se ajuste al riesgo estudiado, para que así brinde una confianza plena a la organización en la

forma en que son gestionados sus riesgos y no exista un nivel de preocupación elevado por

el nivel de impacto o los peligros que se lleguen a materializar sobre los activos.

La valoración y tratamiento de cada riesgo se realiza de manera individual, sin

embargo, se puede dar el mismo tratamiento entre un riesgo y otro porque existe la

posibilidad de que se repita un mismo riesgo entre un activo y otro.

2.9 Seguimiento y revisión

En el proceso de seguimiento y revisión el tratamiento del riesgo será supervisado

de forma periódica o anual para que las guías establecidas para el tratamiento del riesgo

están actuando eficientemente con el objetivo de:

Asegurarse que los controles establecidos aún mantengan su eficiencia y eficacia

en los activos establecidos.

30

Asegurarse de recolectar información complementaria para la apreciación de los

riesgos.

Obtener conclusiones de los sucesos entre los cuales tendremos fallos, cambios,

éxitos y tendencias.

Identificar los riesgos emergentes.

Los resultados obtenidos del seguimiento y revisión nos ayudan a establecer si el

tratamiento está resultando eficiente o no y a su vez nos ayuda para la toma de decisiones si

existen tratamientos que deben ser modificados o añadidos a los procedimientos o activos

de la organización, adicional el seguimiento y revisión es un pilar fundamental para la

mejora continua en el marco de la norma ISO 31000.

2.10 Mejora continua

En esta parte del modelo los resultados se dan por la actividad del seguimiento y

revisión el cual nos da detalles que la gestión de riesgos se está ejecutando de forma

correcta, adicional la mejora continua hace énfasis en las metas de desempeño que tiene la

organización en sus sistemas, recursos, la capacidad y habilidades.

La mejora continua no solo se enfoca en los activos físicos, procedimientos o

actividades de la empresa, si no también considera el factor humano, midiendo sus

conocimientos, funciones, roles e incluso su experiencia laboral.

31

2.11 MAGERIT V. 3.0

MAGERIT V. 3.0 brinda la metodología del análisis y la gestión del riesgo, está

relacionada de forma directa a la generalización del uso de las tecnologías de la

información, esta metodología interesa a todas las partes que trabajan con información

digital o sistemas informáticos, y por medio de su función, MAGERIT dará a conocer

cuánto es el valor que está en juego de estos activos y les ayudará a protegerlos, dará a

conocer el riesgo en el cual se encuentran expuestos los elementos laborales.

2.11.1 Beneficios de MAGERIT V. 3.0

Concientizar a todos los involucrados en la organización de la existencia de

riesgos al cual están vulnerables sus activos y la necesidad de gestionarlo.

Seg

uim

iento

y R

evisió

n (2

.9)

Identificación del riesgo (2.5)

Análisis del riesgo (2.6)

Evaluación del riesgo (2.7)

Tratamiento del riesgo (2.8)

Mejora Continua

Figura 11 Mejora continua


32

Brindar un método sistemático para que puedan ser analizados los riesgos que son

derivados del uso de tecnologías de la información y comunicación.

Nos guía en la preparación, planificación el tratamiento oportuno para mantener

los riesgos bajo control.

2.11.2 Estructura de MAGERIT V. 3.0

La estructura de la metodología MAGERIT V. 3.0 está formada por tres escritos.

Primer escrito Método.

Segundo escrito Lista de elementos.

Tercer escrito Orientación de técnicas.

2.11.3 Método

Se clasifica en:

Conceptos brindados de manera informal.

Define pasos y concreta las actividades para la gestión del riesgo

Detalla opciones y criterios para el tratamiento de riesgos.

Se enfoca en los proyectos para los análisis de los riesgos.

Se anticipa a problemas que se pueden presentar después de que se realiza los

análisis de riesgo.

En la formulación de estas guías se va reflejando todo tipo de sucesos, el proceso de

gestión de riesgos deberá identificar y trata de manera inmediata los riesgos que sean de

carácter crítico para de esta manera tratar progresivamente los riesgos de menor criticidad,

lo adecuado o indicado es armonizar el esfuerzo al valor de los datos y los servicios que

estos sustenta.

33

2.11.4 Lista de elementos

Marca pautas en cuanto a:

Tipos de activos.

Dimensiones para la valoración de activos.

Criterios para la valoración de los activos.

Salvaguardas a considerar para proteger los activos.

La lista de elementos nos ayuda a normalizar los resultados de los análisis,

promoviendo criterios uniformes que nos ayuden a comparar e integrar la información de la

gestión de riesgos.

2.11.5 Guías de técnicas.

Técnicas para el análisis del riesgo.

Análisis por medio de tablas

Técnicas de manera generales

Técnicas mediante gráficos

Entrevistas, reuniones.

La guía de técnicas que brinda a los involucrados una mejor comprensión de los

resultados que se lleguen a obtener.

2.11.6 Método de análisis de riesgos

El análisis de los riesgos se la puede conocer como una aproximación metódica para

poder conocer el riesgo, para esto se consideran los siguientes pasos:

Establecer los activos más importantes para la organización.

Identificar y definir a que amenazas, peligros o riesgos estén expuestos aquellos

activos.

34

Estimar el impacto, como a su vez el daño en que un impacto llegue a

materializarse sobre un activo.

Estimar el riesgo, o la expectativa de materialización de la amenaza.

La siguiente figura detalla el activo y su valor, el impacto y al riesgo al que está

expuesto y por otra parte las amenazas a las que se encuentra, la causa que genera una

degradación y la probabilidad que está se pueda materializar.

2.11.7 Activos

En una organización existen dos cosas esenciales:

La información que la empresa maneja.

Los servicios que prestan.

Activos

Valor

Riesgo

Impacto

Amenazas

Degradación

Probabilidad

Causan una

cierta

Con una

cierta

Figura 12 Elementos del análisis de riesgos potenciales

Fuente 13 Elaborado por el autor a partir de (Dirección general de modernización administrativa, 2012)

35

Los activos esenciales en toda organización son la información y los servicios

prestados, pero se puede establecer que estos activos dependen de otros activos como

pueden ser los equipos, comunicaciones, las personas, software e incluso instalaciones.

2.11.7.1 Valoración

La valoración no estima lo que cuesta un activo, sino de lo que valen para la

empresa, la valoración se la toma desde la perspectiva de la necesidad de proteger, en otras

palabras, cuanto más valioso es un activo para la organización mayor es su nivel de

protección.

2.11.7.2 Dimensiones

Las dimensiones de un activo son:

Su confidencialidad Esta valoración se refiere en cuanto a datos.

Su integridad Esta valoración es dad cuyos datos puedan ser manipulados, ser

falsos o incluso faltar información.

Su disponibilidad Esto es dado en los servicios.

Para identificar estas tres dimensiones sobre los activos nos realizamos las

siguientes preguntas:

¿Qué daño causaría que lo conociera quien no debe?

¿Qué perjuicio causaría que estuviera dañado o corrupto?

¿Qué perjuicio causaría no tenerlo o no poder utilizarlo?

36

2.11.8 Amenazas

Determinar las amenazas que puedan llegar a afectar a cada activo en la

organización, las amenazas se las puede relacionar con cosas que ocurren que pueden llegar

a ser perjudiciales a nuestros activos.

2.11.8.1 Identificación de amenazas

2.11.8.2 Valoración de las amenazas

Cada activo es vulnerable a cualquiera amenaza si no está debidamente protegido,

pero cuando una amenaza o riesgo se materializa no se ven afectadas todas las dimensiones

que tiene el activo ni en la misma cuantía, cuando la amenaza perjudica el activo, se

valoran dos puntos:

Degradación: Cuan perjudicado podría estar el activo.

De origen natural.

Defectos de las aplicaciones.

Causadas por las personas de forma accidental.

Causadas por las personas de forma deliberada.

Figura 13 Tipos de amenazas

Fuente 14 Elaborado por el autor a partir de (Dirección general de modernización administrativa, 2012)

37

Probabilidad: Cuan probable o a su vez improbable que se llegue a materializar una

amenaza.

2.11.8.3 Determinación del impacto

Se conoce como impacto a la medida que causa el daño sobre un activo procedente

de la materialización de un riesgo, conociendo el valor de los activos y su cálculo es dado

por factores:

El valor del activo

La amenaza al que está expuesto

2.11.9 Salvaguardas

Se conoce como salvaguardas o contramedidas a todos aquellos procedimientos,

mecanismos, guías o controles que ayudan a reducir el riesgo, en las organizaciones existen

riesgos que se pueden minimizar organizando adecuadamente las actividades del personal,

otros requieren ayuda de programas o equipos, otros requieren seguridad física y por último

en muchas ocasiones requieren de políticas.

2.11.9.1 Selección de salvaguardas

Puede existir un amplio abanico de medidas que se tomen para proteger los activos,

pero se debe tener en cuenta los siguientes aspectos: conocer el tipo de activo que se

necesita proteger, las dimensiones que se deben o se necesitan proteger y conocer las

amenazas de las que necesitamos protegernos.

Las salvaguardas actúan de dos formas al ser aplicadas para proteger el activo:

Las salvaguardas reducen la probabilidad de la amenaza.

Ayudan limitando el daño causado.

2.11.9.2 Tipos de protección

38

Prevención, se establece que una medida preventiva cuando se reduce las

oportunidades a que un incidente ocurra.

Ejemplo: autorización de ingreso a los usuarios, segregación para las tareas

Disuasión, una salvaguarda puede llegar a ser disuasoria cuando esta tiene un efecto

sobre los atacantes que estos no se atreverán a atacar.

Ejemplo: avisos de seguridad, avisos de la persecución de un delito.

Minimización, se indica que una salvaguarda minimiza el impacto cuando limita

las consecuencias de un incidente.

Ejemplo: Desconexión de redes, equipos

Corrección, una salvaguarda puede llegar a ser correctiva cuando habiendo

suscitado un daño, ésta lo repara.

Ejemplo: líneas de comunicaciones alternativas, fuentes de alimentación.

Recuperación, una salvaguarda puede brindar una recuperación cuando ésta

permite regresar al estado anterior de un incidente.

Ejemplo: Realizar copias de seguridad que se obtengan como respaldo en caso de

emergencias.

Monitorización, estas son las salvaguardas que ayudan monitorizando lo que está

ocurriendo, si se llegasen a detectar cosas a tiempo, se podrá reaccionar atajando el

incidente en caso contrario se aprenderá del incidente y mejorar el sistema.

Ejemplo: Registro de actividades, registro de descargas web

Detección, una salvaguarda puede funcionar detectando un ataque cuando informa

que el ataque está ocurriendo, aunque este no impida el ataque, si nos permite que entren en

operación otras medidas.

Ejemplo: anti-virus

39

2.11.10 Metodología MAGERIT V 3.0

La metodología MAGERIT nos ayuda de forma considerable a la implementación

de los riesgos dándonos guías, técnicas, y conceptos al momento de identificar activos,

riesgos, amenazas para así tener una mayor claridad al momento de efectuar la gestión de

riesgos.

La aplicación de la metodología MAGERIT se basa únicamente al momento de

implementar la gestión de riesgos.

Principios de la Norma

ISO 31000

Mandato y

compromiso

Mejora del marco

Seguimiento y

revisión del marco

Implementación de la

gestión de riesgo

Diseño del marco de

trabajo

MAGERIT

V.3.0

Figura 14 Implementación de MAGERIT V 3.0

Fuente 15 Elaborado por el autor a partir de (PAE, 2012)

40

2.12 Mandato y compromiso

La gestión de riesgo inicia con el compromiso de la alta gerencia en la cual consiste

en que conozca, concientice y disponga de los recursos necesarios para la implementación

de la norma, además diseñar un marco de trabajo donde se da a conocer los principios de la

norma ISO 31000 y en el cual se establezca de forma clara sus objetivos, funciones de

trabajadores, obligaciones de los mismos, la comunicación entre las partes interesadas y

esto deberá ser monitoreado y que se cumpla lo establecido, para que se pueda implementar

de manera correcta la gestión de riesgo.

41

Mejora Continua Mandato y

compromiso

Principios

- Integración

- Estructura

- Adaptación

- Dinamismo

- Mejor

información

- Factor humano y

cultural

- Mejora continua

Seg

uim

iento

y rev

isión

Identificación del

riesgo

ISO 31000: RELACIONES ENTRE LOS PRINCIPIOS, MARCO DE TRABAJO, PROCESO DE GESTION DE RIESGO Y SU MEJORA

CONTINUA

Diseño del marco de

trabajo de la gestión

del riesgo

Análisis del

riesgo Mejora continua del

marco de trabajo

Implementación de la

gestión del riesgo

Evaluación del

riesgo Seguimiento y revisión

del marco de trabajo

Tratamiento del

riesgo

Figura 15 ISO 31000 y sus relaciones


42

CAPÍTULO III

METODOLOGÍA

3.1 Metodología de la investigación

Para este trabajo de investigación se utilizarán los siguientes métodos de

investigación.

Investigación de campo, será utilizada ya que facilitará la recolección de

datos imprescindibles de la organización y el investigador estará situado en

la con los factores directos de la problemática.

Investigación exploratoria, permitirá el análisis y el estudio de las guías

impartidas por la norma ISO 31000/2018 así obteniendo la proyección del

modelo de gestión de riesgos y todo lo que sea necesario dentro de su marco.

Finalmente, con la investigación descriptiva se detallan e identifican los

aspectos de la gestión de riesgo y la aplicabilidad en la organización.

43

3.2 Población y muestra

La población de esta investigación pertenece a la empresa BlueBox, con un total de

25 personas distribuidas de la siguiente manera, departamento de TI que cuenta con 4

usuarios, el departamento de recursos humanos con 4 usuarios, departamento financiero

con 4 usuarios, departamento de logística con 3 usuarios, departamento de marketing con 3

usuarios y el departamento de audiovisual con 7 usuarios.

Por otra parte, siendo la muestra de la empresa el departamento de audiovisual que

consta con 7 usuarios, ya que es el área más sensible y más vulnerable en amenazas

identificadas en el transcurso del proyecto. Este departamento lleva el manejo de

información sensible para la operatividad de la empresa, debido a que no existe una

concientización sobre los riesgos que implica el manejo de esta información, esta se vuelve

Investigación de campo

• El investigador se encontrara relacionado con las operaciones de la organización.

• El investigador interactua directamente con el personal de BlueBox.

Investigación explorativa

• Estudio de la norma ISO 31000/2018.

• Estudio de la problemática de la organización.

Investigación descriptiva

• Descripcion de manera detallada de los aspectos de la gestion de riesgo y la forma correcta de la aplicabilidad en la organización.

Figura 16 Metodologías usadas para la investigación del trabajo


44

susceptible a cualquier tipo de amenazas o peligro, el uso del muestreo no probabilístico

será el indicado para llegar a los análisis de los resultados.

3.3 Técnicas e instrumento de investigación.

La técnica para la captura y recopilación de datos utilizada en esta investigación fue

la observación y las entrevistas y encuestas. Para un mejor detalle consultar el anexo A.

3.3.1 Observación

Esta técnica se facilitó el recabar información de buena fuente sin tener contacto con

el personal de la organización, así adquiriendo más detalles sobre las incidencias, peligros y

riesgos, dando una constancia de cómo podrá actuar el personal ante la presencia de

cualquier incidente, identificando falencias, descuidos y así, descubriendo los aspectos más

frágiles de la empresa.

La técnica de observación se la realizó por un periodo de dos semanas y fueron

enfocadas en el departamento de audiovisual que consta de siete personas. El resultado de

esta técnica se detalla a continuación:

No llevan un respaldo adecuado de la información.

No hay una correcta segregación de funciones.

Todo el personal del departamento tiene libre acceso a cualquier computadora de

la misma área.

3.3.2 Entrevistas y encuestas

Se entrevistó al encargado del departamento de TI y de audiovisual, y se realizó la

encuesta a todo el personal de BlueBox para conocer el nivel de concienciación que tienen

sobre las vulnerabilidades a las que está expuesta su información. Adicional se les realizó

45

una serie de preguntas plasmadas en las encuestas con el fin de obtener más detalles de

cómo se desenvuelve el personal en sus actividades diarias.

Para conocer detalles sobre la entrevista realizada a los encargados del

departamento de TI y audiovisual consultar el anexo A.

3.3.3 Análisis de los resultados de la técnica de las encuestas

Una vez terminada el estudio de las encuestas del departamento de audiovisual, se

inició el análisis de la información obtenida sobre los incidentes, riesgos o peligros y los

aspectos que encuadran los mismos, para exponer de una mejor manera las conclusiones

obtenidas del personal detallamos lo siguiente. Para una información más detallada de la

encuesta establecida consultar el anexo A.

El personal no está consciente de que la información que maneja es vulnerable a

cualquier riesgo.

El personal no sabe cómo actuar al momento en el cual se materializa un riesgo.

Las computadoras no cuentan con un software antivirus y están posibles al riesgo

de contraer malware.

No existe una segregación adecuada de funciones sobre activos como:

computadoras y dispositivos de almacenamiento externo.

No existen políticas de confidencialidad de la información, cualquiera del

personal tiene acceso libre a la información.

3.4 Metodología de la investigación aplicada

La metodología aplicada fueron técnicas de recolección de datos por medio de

entrevistas, encuestas y observación las mismas que nos permitió desarrollo del modelo

46

ajustado a la organización, se usó la metodología descriptiva para detallar los puntos más

relevantes y críticos de la organización, y se pudo concluir que en la empresa BlueBox

existen falencias tales como las faltas de guías para la correcta gestión de riesgos y el no

contar con políticas de control sobre la gestión de los activos y procedimientos de los

empleados de la empresa.

Con base al resultado de la investigación exploratoria, se promueve el estudio de la

norma ISO 31000 y MAGERIT versión 3.0 donde se detalla el planteamiento de la gestión

de riesgos, la cual busca dar una solución a la problemática actual de la empresa, a

continuación, se detalla la siguiente figura.

47

Figura 17 Metodología de la investigación aplicada


1

Estudio de la

norma ISO

31000 y

Magerit.

2

Definir

instrumentos de

recolección de

datos.

3

Análisis de la

información.

6

Ejecución del

modelo.

5

Diseño del

modelo.

4

Sensibilización

y análisis

comparativo.

7

Presentación de

la

documentación

48

CAPÍTULO IV

PROPUESTA

4.1 La propuesta

Como principal objetivo de la propuesta es realizar un sistema de gestión de riesgo

de incidentes y amenazas sobre los activos con el fin de salvaguardar dichos activos tanto

físicos, digitales y humanos en la empresa BlueBox tomando en cuenta que este modelo

pudiera ser implementado o usado como base para otras organizaciones.

El proyecto se desarrolló en conjunto a los directivos de la empresa y las

necesidades de todos los empleados de la misma y se estableció en 4 fases la cuales son,

principios de gestión de riesgo, gestión de riesgos, salvaguardas y el plan de mejora

continua.

En la fase 1 se estableció los principios básicos de la gestión de riesgo

concientizando a la empresa y directivos sobre las necesidades que presenta la

organización, estos principios guían a la comprensión de todo el personal que esté

involucrado en las actividades de la empresa, a una concientización sobre los riesgos

existentes para que se genere un entorno más confiable para llegar al cumplimiento de los

objetivos en la organización implementando compromisos y responsabilidades.

En la fase 2 se estableció la gestión de riesgo en la cual se definió como se van a

identificar los activos los activos más importantes para la empresa mediante sus criterios de

las dimensiones de disponibilidad, integridad y confidencialidad, se va a identificar,

analizar y valorar las amenazas que se presenten en cada activo los resultados de las

amenazas se darán mediante fórmulas que permitan calcular el promedio de impacto que

tiene esta sobre un activo, una vez obtenido estos resultados de las amenazas calculamos

49

los niveles de riesgos que se lo calcula mediante todas las amenazas presentadas a un activo

así determinamos un nivel de riesgo y por último establecemos las guías o tratamientos que

se le van a dar a esos riesgos para minimizarlos y llevarlos a niveles aceptables.

La fase 3 es la implementación de las salvaguardas que son las contramedidas

adicionales a las guías y tratamientos para las amenazas detectadas esto sirvió para

minimizar y minimizar aún más los niveles de riesgo.

Y por último tendremos la fase 4, la mejora continua que es la retroalimentación

del modelo, la mejora continua consiste en la revisión de manera periódica que puede ser

dos veces por año de las medidas y guías implementadas, adicional se utilizarán medidas

preventivas y métricas que nos ayuden a llevar un control de la efectividad del modelo de

gestión de riesgo.

Para lograr el objetivo se ha tomado como guía la norma internacional ISO 31000 y

la metodología MAGERIT V 3.0 ya que estás indican la manera correcta para establecer

una gestión de riesgo, brindando las pautas de cómo implementar sus guías y los procesos

adecuados.

4.2 Justificación de la propuesta

Dado que la empresa BlueBox demuestra riesgos que afectan sus operaciones y que

son emergentes por la incapacidad o desconocimiento de los riesgos existentes, se efectuó

una investigación respecto a las necesidades de dicha empresa junto con el comité.

Con base a la obtención de datos dada por la investigación se propone como

solución más factible el diseño de un modelo sistema para la gestión de riesgo basado en la

50

norma ISO 31000 y MAGERIT versión 3.0, la cual nos permitirá detectar, prever, y tratar a

tiempo los incidentes que se presenten.

4.3 Descripción de la propuesta

La propuesta se basa en la implementación de un modelo de gestión de riesgos

usando como guía la norma ISO 31000 y MAGERIT versión 3.0 estas serán las bases del

modelo al momento de ser implementado, contará con un proceso de identificación,

análisis, evaluación y tratamiento de amenazas, las salvaguardas nos ayudará a que estas

amenazas no lleguen a materializarse y si llegase a pasar su nivel de impacto sea mínimo

para que no cause un daño tan grave a los activos, por otra parte, el plan de mejora

continua es un proceso cíclico que nos indicará si las guías y contramedidas establecidas se

estén cumpliendo de una manera correcta.

En la actualidad se presentan varias amenazas en activos tanto físicos, digitales,

humanos, incluso a los procedimientos más relevantes del departamento de audiovisual, por

lo que se plantea implementar los principios, la gestión de riesgo, las salvaguardas y el plan

de mejora continua.

La propuesta del diseño de un modelo de sistema para la gestión de riesgo basado en

la norma ISO 3100 y MAGERIT versión 3.0, busca demostrar que se identifican, controlan,

mitigan, minimizan o asimilan los riesgos que afectan a la organización todo esto se hará

conjunto al comité.

4.4 Implementación del diseño de un modelo de sistema para la gestión de riesgo en

los marcos de la norma ISO 31000 y la metodología MAGERIT versión 3.0

51

Figura 18 Modelo de sistema para la gestión del riesgo


Fase 4. Mejora continua

4.1 Monitoreo, revision periodica y documentada de la

gestión de riesgos4.2 Medidas preventivas.

Fase 3. Establecer Salvaguardas

3.1 Definir contramedidas. 3.2 Implementación.

Fase 2. Gestión de Riesgos.

2.1 Identificación de los activos.

2.2 Identificación y valoración de las

amenazas.

2.3 Evaluación y tratamiento de las

amenazas.

Fase 1. Desarollo de los principios de la gestión de riesgos

Fase 1

Definir los objetivos del

modelo.

Establecer los principios.

Objetivos de la empresa y

responsabilidades.

Fase 2

Identificación.

análisis y evaluación de

amenazas.

Tratamiento de los riesgos.

Riesgos residuales.

Aplicabilidad.

Fase 3

Implementación de

salvaguardas para amenazas

Fase 4

Medir la efectividad de las

guías para tratar el riesgo.

Registrar acciones.

52

4.5 Fase 1: Preparar y planificar los principios

En esta fase se estableció los principios de gestión de riesgos, los objetivos de la

empresa, el alcance, el compromiso al que se ajusta la empresa, la responsabilidad de

usuarios y del comité, los principios de la gestión de riesgo fueron acordados junto con el

comité de la empresa.

4.5.1 Formato de los principios, mandato y compromiso de la empresa BlueBox.

Todo principio que se llegue a incluir en el contexto de la empresa deberá contener

lo siguiente.

Objetivos de la empresa.

Alcance.

Compromiso de la empresa.

Responsabilidades de los usuarios.

Responsabilidades del comité.

Principio de integración

Principio de adaptación

Principio de dinamismo

Principio de mejor información

Principio de factor humano y cultural

Cabe recalcar que cada vez que se modifique el contexto de la empresa estos

principios deberán ser alineados a dicho contexto, adicional se podrán incluir otros

principios de acuerdo a las necesidades que la empresa lo requiera.

53

4.5.2 Objetivos de la empresa

Definir los principios en el cual se va a definir el modelo de gestión de

riesgo y las guías, precautelando los activos más importantes de la

organización en cuanto a su integridad, confidencialidad y disponibilidad,

con el fin para prever y limitar las amenazas en los activos y procedimientos

de la empresa tomando en cuenta los recursos tecnológicos y de seguridad.

Crear y mantener una cultura sobre la gestión de riesgos a los cuales están

expuestos los activos, desde lo más alto de la organización hasta lo más bajo.

Velar por el modelo de la gestión de riesgo se mantengan a lo largo del

tiempo soportado por una adecuada mejora continua.

4.5.3 Alcance

La implementación de estos principios va de la mano con los recursos y

procedimientos vinculados con la empresa ya sean estos externos o internos.

4.5.4 Compromiso de la empresa

La alta directiva de BlueBox, se responsabiliza de:

Aprobación y autorización para implementar el modelo de gestión de

riesgos.

Facilitar la asignación de recursos.

Establecer un comité que trabaje de la mano con el grupo investigador al

momento de implementar la gestión de riesgos.

Establecer un comité que trabaje de la mano con el grupo investigador al

momento de implementar la gestión de riesgos.

54

4.5.5 Responsabilidades de los usuarios.

Cumplir con las guías de tratamiento establecidas para la gestión de los

riesgos.

Cada uno es responsable de sus funciones asignadas.

Utilizar los recursos disponibles y asumir responsabilidades.

4.5.6 Responsabilidades del comité.

Monitorear y establecer guías que garanticen la minimización de riesgos de

una manera periódica

Aplicar y hacer cumplir los principios establecidos.

Aprobar y promover las campañas para la concienciación de los riesgos.

El comité estará conformado por:

Presidente de la empresa BlueBox.

Un representante del departamento de TI.

Un representante del departamento de audiovisual.

Un representante del departamento de Recursos Humanos.

Cabe resaltar que el comité tendrá que reunirse de una manera periódica de dos

veces al año, para llevar un control y registro mesurado de que todas las actividades, guías,

auditorias y cumplimientos de los tratamientos que se lleven a cabo dentro de la

organización.

55

De acuerdo a la norma ISO 31000 se establecieron los siguientes principios básicos.

4.5.7 Principio de Integración

La empresa BlueBox se comprometerá a que la gestión de los riesgos tiene que ser

integrada en todas las actividades, funciones y procedimientos dentro de la organización sin

aislar ninguna de estas.

4.5.8 Principio de Adaptación

BlueBox deberá adaptar el proceso de la gestión de riesgos al contexto de la

empresa para que esté alineada juntos a sus objetivos, metas establecidas y con el perfil de

cada riesgo.

4.5.9 Principio de Dinamismo

A medida del paso del tiempo los riesgos de una u otra manera pueden aparecer,

desaparecer o cambiar, conforme con los cambios de contexto que da la empresa, por este

motivo BlueBox dará seguimiento y responderá de forma oportuna a estos cambios.

4.5.10 Principio de Mejor Información

La gestión de riesgos debe realizarse teniendo en cuenta la opinión del personal

laboral dentro de la empresa, BlueBox se compromete a brindar información histórica y

actual, adicional deberá trabajar en conjunto para la implementación del modelo de gestión

de riesgo para una mejor toda de decisiones.

4.5.11 Principio de Factor Humano y Cultural

BlueBox se compromete a realizar capacitaciones, charlas para crear conciencia de

las amenazas existentes sobre los activos de la empresa y crear una cultura sobre el

personal para mejorar los procedimientos laborales.

56

4.6 Fase 2: Gestión de riesgos

La fase de la gestión de riesgos es un pilar fundamental para la implementación del

modelo en esta tarea se identificó los activos, amenazas, análisis y tratamientos, para

responder a factores de amenazas o incidentes que se presenten a lo largo del proyecto

dentro de la empresa y así medir el nivel de criticidad cuando una amenaza llegue a

materializarse, para toda la fase de la gestión de riesgo se tomó en consideración la

metodología MAGERIT versión 3.0.

El comité que está encargado de desempeñar esta función conjunto a la directiva y

el investigador de este proyecto deberán acoger las guías brindadas para el tratamiento de

los riesgos, precautelando la seguridad de los activos, para que así se llegue al

cumplimiento de los objetivos de la empresa, mediante la gestión de los riesgos se deberán

obtener los siguientes resultados.

Determinar los activos de mayor importancia para la empresa.

Definir las amenazas a las que está expuesto cada activo.

Estimar el impacto si se llegase a materializar alguna amenaza.

4.6.1 Identificación de activos

Para la identificación de los activos se tomará en consideración los activos cuya

importancia sean más relevantes para la empresa, a continuación, se mostrará una tabla con

los diferentes activos en general que pueden existir dentro de una organización.

Para identificar estos activos se consideró la metodología MAGERIT, que brinda

una lista de activos y detalla las funciones de cada uno. Cabe considerar que está es una

lista general y no todas las empresas pueden disponer de todos los activos del listado.

57

Tabla 2 Identificación de activos

4.6.2 Valoración de activos

Para valorar de los activos se tomarán en cuenta varios aspectos tales como: adquirir

nuevos equipos, nueva información, el no tener información disponible, en qué plazos

puedo recuperar la información, y que tan necesario es el activo para la empresa, por ende

valoramos sus tres dimensiones disponibilidad, integridad, confidencialidad y adicional, la

importancia que tiene el activo para la empresa las valoraciones de estos criterios tendrán

una escala del 0 al 10, siendo el 10 un máximo y el 0 un mínimo. La identificación de

activos para la empresa BlueBox se la realizó conjunto al comité.

Activos Función

Datos Físicos y digitales para uso esencial de la empresa

Servicios Necesarios para poder organizar el sistema

Aplicaciones informáticas

(Software)

Uso para el manejo de datos, actividades y procedimientos de la

empresa

Equipos informáticos (Hardware) Para alojar los datos , las aplicaciones y los servicios

Soportes de información Dispositivos extraíbles de almacenamiento de datos

Equipamiento auxiliar Complementarios de materiales informáticos

Redes de comunicación intercambio de datos

Instalaciones Acogen los equipos informáticos y los de comunicación

Personas Explotan u operan todos los elementos anteriormente ya citados

Utensilios de oficina Objetos de escritorio


58

Tabla 3 Criterios de valoración para activos, amenazas y riesgos

Nivel Criterio Descripción

10 Extremo Casi imposible de reponer

9 Muy alto Muy dificil de reponer

6-8 Alto Complicado en reponer

3-5 Medio Facíl de reponer

1-2 Bajo Reposición inmediata

0 Despreciable Despreciable

El esquema para la valoración de activos será dado de la siguiente manera:

Nombre del activo

Sus dimensiones

{D} Disponibilidad.

{I} Integridad

{C} Confidencialidad.

Importancia del activo

Este mismo criterio de valoración será utilizado al momento de valorar amenazas y

riesgos.

4.6.2 Identificación de amenazas

Terminada la identificación de activos con sus niveles de importancia, se procede a

realizar la identificación y el análisis de las amenazas a la que los activos están expuestos

para determinar las causas, orígenes, aspectos positivos y negativos de cómo surge las

amenazas.


59

Para llevar a cabo esta tarea, se la realizó en conjunto con el comité con base a los

datos obtenidos de las encuestas y técnicas de observación. Un aspecto adicional que se

toma a consideración para la identificación de una amenaza es saber cuán probable o

improbable es que esta se materialice.

4.6.3 Valoración de las amenazas

Una vez identificada las amenazas, la siguiente tarea es la valoración la cual

consiste en determinar los promedios de impacto de las amenazas que lleguen a ocasionar

sobre los activos, es decir que tan dañino puede ser una amenaza sobre un activo. Las

amenazas se las valoran planteando tres preguntas fundamentales (¿Qué daño causaría qué

lo conociera quien no debe?, ¿Qué perjuicio causaría no tenerlo o no poder utilizarlo? y

¿Qué perjuicio causaría que estuviera dañado o corrupto?) y así le damos valores a sus

dimensiones disponibilidad, integridad y confidencialidad y sus criterios serán una escala

del 0 al 10 siendo 10 un máximo y 0 un mínimo, estos valores son dados conjunto al comité

La fórmula para establecer el promedio de las amenazas es la siguiente:

Promedio de amenaza = La suma de sus 3 dimensiones (D+I+C) * la

importancia de un activo dado en %

4.6.4 Determinación de los niveles de riesgo

El nivel del riesgo es la medida de daño sobre un activo producido por la

materialización de una amenaza. Conociendo la importancia de los activos y las amenazas a

las que están expuestos, los niveles de riesgo son los mismos criterios de la tabla# 3.

Una vez conocido el promedio que tiene la amenaza sobre un activo, el riesgo

aumenta con su probabilidad, para el cálculo del riesgo y se da de la siguiente forma:

60

Riesgo = Probabilidad * la suma de todos los promedios de las amenazas en

cada uno de los activos.

La probabilidad de las amenazas fue dada en conjunto con el comité con base a los

datos recolectados a lo largo del proyecto.

Tabla 4 Tabla de probabilidad

4.6.5 Tratamiento de las amenazas

Ya determinado los niveles de riesgos, se establecen las guías para tratar las

amenazas y estas no lleguen a materializarse sobre un activo. Las guías o tratamientos

establecidas fueron tomadas en conjunto con el comité buscando la acción de minimizar el

nivel de impacto de los riesgos sobre los activos, los tratamientos o guías pueden ser de

diferentes tipos, pero se dan según la prioridad que tengan estas amenazas es decir se van a

tratar de forma inmediata aquellas amenazas que se consideren más altas.

La implementación de guías o tratamientos se dará en tres fases, partiendo desde las

amenazas de mayor prioridad hasta las de menor prioridad.

La prioridad de una amenaza se da según el resultado del nivel del riesgo obtenido

Nivel Criterio

5 Muy alto

4 Alto

3 Posible

2 Bajo

1 Raro


61

Tabla 5 Tabla de prioridad para tratar las amenazas según su nivel de riesgo

Nivel de

riesgo

entre:

Prioridad

19-20 Muy crítico

16-18 Crítico

13-16 Muy alto

7-10 Alto

4-6 Medio

1-3 Bajo


4.7 Fase 3: Establecer salvaguardas

En esta fase se eligen las contramedidas adicionales a las guías y tratamientos de las

amenazas, estas medidas serán tomadas conjunto al comité y serán dadas según a los

niveles de riesgos obtenidos. Cabe detallar que las salvaguardas pueden ser de cualquier

tipo y además que se pueden agregar más salvaguardas según las necesidades que se

presenten en la empresa a medida que transcurra el tiempo o se detecten o emerjan nuevas

amenazas.

Las salvaguardas pueden ser de tipo:

62

4.8 Fase 4: Mejora continua

La mejora continua es el proceso cíclico en el cual se da un seguimiento a la gestión

de riesgo, guías y contramedidas establecidas para verificar que estén cumpliendo de

manera correcta sus funciones establecidas, la tarea de la mejora continua es la

retroalimentación de todo el modelo de la gestión de riesgo implementada.

El comité deberá monitorear las guías establecidas para la gestión de los riesgos, se

puede considerar que la revisión puede ser de manera periódica de dos veces por año, llevar

una documentación adecuada precisa y correcta de todos los incidentes presentados después

de establecer el modelo de gestión de riesgos.

Preventivas Minimización.

Corrección. Detección.

Disuasión. Monitorización.

Figura 19 Tipos de salvaguardas


63

4.8.1. Monitoreo, revisión periódica y documentada de la gestión de riesgos

Para el monitoreo se realizará un registro de incidentes el cual lo llevará el comité y

se creará una dirección de correo específica para estos eventos y el responsable de llevar el

registro y dar reporte a estos incidentes es el representante del departamento de TI.

El correo establecido fue: [email protected]

Y el procedimiento será mediante:

Cualquier anomalía sin importar su tipo tendrá que ser inmediatamente reportada

por el usuario al comité por medio del correo establecido.

Para la revisión periódica se la realizará cada 6 meses, pero cada vez que se presente

un incidente de riesgo catalogado como grave que afecte a la organización el comité deberá

reunirse de manera inmediata.

Para la documentación se llevará un registro en Microsoft Excel de los incidentes y

las acciones tomadas, adicional se documentará las reuniones periódicas y las establecidas

por casos de emergencia por parte del comité.

4.8.2 Medidas de prevención

Esta medida tiene como finalidad colaborar a la mejora de las guías propuestas en el

tratamiento de los riesgos, dando cerramiento a aquellas brechas de las amenazas internas

estas medidas fueron realizadas, analizadas e implementadas junto con el comité.

4.9 Ejecuciones del modelo

La ejecución del modelo se la realizó en dos periodos de tiempo, obteniendo dos

resultados diferentes y demostrando la efectividad del modelo, para obtener detalles de las

ejecuciones del modelo consultar el anexo B.

mailto:[email protected]

64

4.9.1 Ejecución del modelo por primera vez

Una vez establecidas las 4 fases y cómo se va a realizar cada una de estas, se

procede a ejecutar el modelo, en la primera ejecución como era de esperarse se pudo

identificar un nivel de riesgo alto en cuanto a las amenazas encontradas y a las cuales están

expuestas los activos.

A continuación, se muestra una tabla mostrando los resultados de la primera

ejecución. El desarrollo de los resultados de está tabla se encuentran en la ejecución del

modelo por primera vez en el anexo B.

Tabla 6 Resultados de la ejecución del modelo por primera vez

012345678

Pérdida, hurtode la

información

Libre acceso a lainformación

Avería de tipofísico

Alteración de lainformación

5,43

7,77

2,61

5,55

NIV

EL D

E R

IESG

O

AMENAZAS

NIVEL DE RIESGO DE LA PRIMERA EJECUCIÓN

Amenaza Nivel de riesgo de la primera ejecución

Pérdida, hurto de la información 5,43

Libre acceso a la información 7,77

Avería de tipo físico 2,61

Alteración de la información 5,55


Figura 20 Gráfica de los niveles de riesgo de la primera ejecución


65

4.9.2 Ejecución del modelo por segunda vez

La segunda ejecución del modelo se la realizó después de tres meses para comprobar

la efectividad que mantenían las guías, tratamientos y salvaguardas implementadas en la

primera ejecución, se pudo evidenciar que estas medidas resultaron efectivas al ver una

disminución en las amenazas, pero surgieron varios incidentes por parte del personal y se

tuvo la necesidad de implementar nuevas salvaguardas para minimizar aún más estos

errores. El desarrollo de los resultados de está tabla se encuentran en la ejecución del

modelo por segunda vez en el anexo B.

Tabla 7 Resultados de la ejecución del modelo por segunda vez

Riesgo Nivel de riesgo de la segunda ejecución

Pérdida, hurto de la información 3,78

Libre acceso a la información 4,77

Avería de tipo físico 2,37

Alteración de la información 3,45


66

4.9.3 Análisis comparativo entre las dos ejecuciones

De acuerdo a la tabla a continuación se puede observar una disminución en los

niveles de riesgos existentes, obtenidos de las dos ejecuciones del modelo.

Tabla 8 Comparación de las ejecuciones

Amenaza Riesgo segunda ejecución Riesgo primera ejecución

Pérdida, hurto de la información 3,78 5,43

Libre acceso a la información 4,77 7,77

Avería de tipo físico 2,37 2,61

Alteración de la información 3,45 5,55


Comparando las dos ejecuciones se puede ver una disminución en los niveles de

riesgos de las amenazas existentes, en la ejecución de la segunda vez se mantuvieron las

mismas guías y tratamientos ya que resultaron efectivas ante las amenazas, pero se


Figura 21 Gráfica de los niveles de riesgo de la segunda ejecución

3,78

4,77

2,37

3,45

0

1

2

3

4

5

6

Pérdida, hurto de lainformación

Libre acceso a lainformación

Avería de tipo físico Alteración de lainformación

NIV

EL D

E R

IESG

O

AMENAZAS

NIVEL DE RIESGO DE LA SEGUNDA EJECUCIÓN

67

agregaron más salvaguardas para minimizar aún más la brecha de las amenazas existentes y

evitar errores por parte de los usuarios y puedan ejercer sus actividades con normalidad.

A continuación, mostramos una y gráfica comparando los niveles de riesgo

mostrados en las dos ejecuciones.

Como se puede apreciar en la gráfica, existe una disminución en los niveles de

riesgo, mostrando una efectividad en el modelo de gestión de riesgos establecido, estos

niveles de riesgos existentes pueden ir disminuyendo paulatinamente también se pueden

incluir más guías, tratamientos y salvaguardas a medida que surjan nuevos incidentes o

amenazas.

Figura 22 Comparación de los niveles de riesgo


0 2 4 6 8

Pérdida, hurto de la información

Libre acceso a la información

Avería de tipo físico

Alteración de la información

3,78

4,77

2,37

3,45

5,43

7,77

2,61

5,55

NIVEL DE RIESGO

AM

ENA

ZAS

COMPARACIÓN DE LOS NIVELES DE

RIESGO

Riesgo primera ejecución Riesgo segunda ejecución

68

CONCLUSIONES

Tabla 9 Conclusiones obtenidas de la investigación

Objetivo Pregunta de investigación Conclusiones

Diseñar un modelo de

sistemas para la gestión de

riesgos basado en la norma

ISO 31000 y MAGERIT

versión 3.0 para la empresa

BlueBox.

¿Cuál fue el impacto de diseñar

un modelo de gestión de

riesgos con base a la norma

ISO 31000 y MAGERIT

versión 3.0?

El impacto de diseñar el modelo de gestión de

riesgos fue positivo, ya que tuvo un cambio en

cuanto a la percepción de los usuarios con respecto

a los riesgos, se generó un ambiente más confiable

por las guías y tratamientos establecidos para tratar

las amenazas.

Desarrollar medidas

preventivas para sumir,

tratar, mitigar o minimizar

los riesgos evaluados con

mayor impacto para la

empresa

¿Cuál es el propósito de las

guías o medidas para el

tratamiento de los riesgos de

una empresa?

La empresa una vez establecido todo el modelo

tiene guías o medidas específicas que nos ayuden a

tratar estos riesgos y minimizar su impacto,

permitiendo que así haya rotación del personal ya

existen guías establecidas y documentaciones que

nos permitan mantener una constante mejora

Concientizar al personal de

la empresa sobre la

necesidad de un sistema de

gestión de riesgos que

permita evaluar

continuamente los riesgos de

la empresa.

¿Cuál es la importancia de

concientizar al personal de una

empresa sobre la necesidad de

un modelo de gestión de

riesgo?

Es importante ya que nos ayuda a conocer sobre

una cultura, o procesos adecuados para la gestión

de riesgos, en donde se concientiza a todo el

personal y se dan las guías necesarias que nos

ayudan a este modelo.


69

Bibliografía

AEN/GET13. (2010). UNE-ISO 31000. MADRID- ESPAÑA: AENOR.

BSI Group. (2019). ISO 31000 Gestión de Riesgo. Obtenido de Norma iso 31000 Gestión

de Riesgo: https://www.bsigroup.com/es-ES/ISO-31000-Gestion-de-Riesgos/

Carrozzini Villagran, A. (18 de Marzo de 2019). (G. M. Daniel, Entrevistador)

Diario El Comercio. (24 de Enero de 2015). Cibermafias atacaron a 17 empresas

ecuatorianas. Obtenido de El Comercio:

https://www.elcomercio.com/actualidad/cibermafias-ciberataque-17empresas-

ecuador-seguridadinformatica.html

Dirección general de modernización administrativa. (2012). Magerit - versión 3.0

Metodología de análisis y gestión de riesgos de los sitemas de información. Madrid

- España: Ministerio de hacienda y administraciones públicas.

EcuRed. (17 de Agosto de 2012). EcuRed. Obtenido de Sistema de información:

https://www.ecured.cu/index.php?title=Sistema_de_Informaci%C3%B3n&action=i

nfo

Estela Raffino, M. (8 de Marzo de 2019). Concepto.de. Obtenido de Probabilidad:

https://concepto.de/probabilidad/

Gaona Vásquez, K. (Octubre de 2013). Repositorio UPS. Obtenido de Aplicación de la

Metodología Magerit para el análisis y Gestión de Riesgos de la Seguridad de la

Información aplicado a la empresa pesquera e industrial Bravito S.A. en la ciudad

de Machala: https://dspace.ups.edu.ec/bitstream/123456789/5272/1/UPS-

CT002759.pdf

Gerens. (28 de Diciembre de 2017). Gerens. Obtenido de Gestión de riesgos: ¿Qué es? ¿Por

qué emplearla? ¿Cómo emplearla?: https://gerens.pe/blog/gestion-riesgo-que-por-

que-como/

Instituto Nacional de Ciberseguridad de España (INCIBE). (20 de Marzo de 2017). Instituto

Nacional de Ciberseguridad de España (INCIBE). Obtenido de Amenaza vs

Vulnerabilidad, ¿Sabes en qué se diferencia?: https://www.incibe.es/protege-tu-

empresa/blog/amenaza-vs-vulnerabilidad-sabes-se-diferencian

ISO. (Noviembre de 2009). ISO. Obtenido de IEC 31010 Risk Management -- Risk

Assessment Techniques: https://www.iso.org/standard/51073.html

ISO. (Noviembre de 2009). ISO. Obtenido de ISO GUIDE 73 Risk Management --

Vocabulary: https://www.iso.org/standard/44651.html

ISO. (Noviembre de 2009). ISO. Obtenido de ISO 31000 Risk management -- Principles

and Guidelines: https://www.iso.org/standard/43170.html

ISO. (Febrero de 2018). ISO. Obtenido de ISO 31000 Risk management -- Guidelines:

https://www.iso.org/standard/65694.html

ISOTools. (24 de Julio de 2015). ISOTools. Obtenido de Riesgo laboral, ¿Cuá es su

definición?: https://www.isotools.cl/riesgo-laboral-definicion/

Moreno, T. (Diciembre de 2013). Calameo. Obtenido de Historia de la gestión de riesgos:

https://es.calameo.com/read/002896401c5ffd0ca7f9c

PAE. (Octubre de 2012). Portal de Administración Electrónica. Obtenido de Magerit V.3

Metodología de análisis y gestión de los riesgos:

https://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_Metod

olog/pae_Magerit.html#.XSuPV-hKiUl

70

Portal de administración electrónica . (Octubre de 2012). Portal de administración

electrónica . Obtenido de Magerit v.3 Metodología de ançalisis y gestión de riesgos

de los sistemas de información:

https://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_Metod

olog/pae_Magerit.html#.XWn9kyhKiUk

Ramírez Castro, A., & Ortiz Bayona, Z. (15 de Agosto de 2011). Gestión de riesgos

tecnológicos basada en ISO 31000 e ISO 27005 y su aporte a la continuidad de los

negocios. Obtenido de Dialnet:

https://dialnet.unirioja.es/servlet/articulo?codigo=4797252

Universidad Internacional de Valencia (VIU). (21 de Marzo de 2018). Universidad

Internacional de Valencia (VIU). Obtenido de ¿Qué es la seguridad informática y

cómo puede ayudarme?: https://www.universidadviu.com/la-seguridad-informatica-

puede-ayudarme/

71

ANEXOS

ANEXOS

72

INDICE DE ANEXOS

1 ANEXO A.- Encuestas y Entrevista .................................................................. 73

1 Encuesta ........................................................................................................ 73

1.1 Formato de la encuesta laboral .......................................................................... 73

1.2 Resultados de las encuestas expresadas gráficamente ....................................... 74

2 Entrevista ...................................................................................................... 81

2 ANEXO B.- Ejecuciones del modelo ................................................................. 83

2.1 Ejecución del modelo por primera vez ............................................................... 83 2.1.1 Identificación de activos ................................................................................................ 83 2.1.2 Valoración de activos ..................................................................................................... 84 2.1.3 Identificación de amenazas ........................................................................................... 85 2.1.5 Valoración de las amenazas .......................................................................................... 85 2.1.6 Determinación del riesgo ............................................................................................... 87 2.1.7 Tratamiento de las amenazas ........................................................................................ 88 2.1.8 Salvaguardas .................................................................................................................. 91 2.1.9 Mejora continua ............................................................................................................. 98

2.2 Ejecución del modelo por segunda vez ............................................................. 101 2.2.1 Identificación y valoración de activos ........................................................................ 103 2.2.2 Identificación y valoración de las amenazas .............................................................. 103 2.2.3 Determinación del riesgo ............................................................................................. 104 2.2.4 Tratamiento de las amenazas ...................................................................................... 106 2.2.5 Establecer Salvaguardas ............................................................................................. 106 2.2.6 Mejora continua ........................................................................................................... 110

3 ANEXO C.- Costo beneficio de los tratamientos ............................................. 111

73

1 ANEXO A.- Encuestas y Entrevista

1 Encuesta

Una vez obtenido el resultado de las encuestas se procedió al análisis de la

información para identificar las falencias dentro de la empresa, los resultados fueron

expresados gráficamente por cada respuesta.

Se pudo concluir que el personal desconoce el cómo actuar frente a algún tipo de

riesgos, varios equipos no disponen de antivirus, no conllevan un manejo adecuado,

oportuno con la información.

1.1 Formato de la encuesta laboral

Universidad Estatal de Guayaquil

Trabajo de titulación

Encuesta: “Gestión de riesgos”

La encuesta es de carácter privado, no se revelarán nombre ni funciones de la persona

encuestada.

Sexo: M F

Edad:

1) ¿Conoce usted al riesgo al que está expuesta su información?

Sí No

2) La información de uso laboral la almacena en:

PC

Dispositivos de almacenamiento

3) ¿La computadora en que realiza sus actividades laborales dispone de

antivirus?

Sí No

4) ¿Guarda usted respaldo de la información?

Sí No

74

5) ¿Ha sufrido alteraciones, modificaciones o pérdida de la información que

maneja?

Sí No Especifique cual ha sufrido

6) Si la respuesta anterior fue afirmativa. ¿Ha podido usted recuperar la

información perdida?

Sí No

7) ¿Sabe usted cómo actuar al momento de sufrir pérdida de información?

Sí No

1.2 Resultados de las encuestas expresadas gráficamente

Como análisis de la primera pregunta de la encuesta se pudo descifrar que el

76% que equivale a 19 usuarios del personal de la empresa desconoce el riesgo al que está

expuesta la información que maneja, el otro 24% que equivale a 6 usuarios dicen conocer

los riesgos de la información que manejan, pero no saben cómo actuar o como sobrellevar a

los riesgos a los que está expuesta su información.

24%

76%

¿ C O N O C E U S T E D E L R I E S G O A L

Q U E E S T Á E X P U E S T A S U

I N F O R M A C I Ó N ?

Si No

Figura 23 Gráfica de la respuesta 1


75

En análisis a la segunda pregunta de la encuesta el 80% que equivale a 20 usuarios

almacenan su información laboral de todo tipo en las computadoras, y el otro 20% que

equivalen a 5 personan las almacenan en dispositivos extraíbles sin llevar tampoco ningún

tipo de respaldo adicional.

80%

20%

L A I N F O R M AC I Ó N D E U S O

L A B O RA L L A A L M A C E N A E N :

Pc Dispositivos de almacenamiento



76

De todo el personal de la empresa BlueBox se logró identificar que el 80% que

equivale a 20 usuarios sus computadoras no cuentan con ningún tipo de antivirus que

proteja sus equipos, y el otro 20% equivalente a 5 usuarios dicen tener antivirus en sus

equipos, pero varios de estos están desactualizados y su funcionamiento ya es obsoleto.

80%

20%

¿ L A C O M P U T A D O R A E N Q U E

R E A L I Z A S U S A C T I V I D A D E S

L A B O R A L E S D I S P O N E D E

A N T I V I R U S ?

Si No



77

En análisis a esta pregunta de la encuesta se estableció que el 60% equivalente a 15

usuarios no llevan respaldo adicional de la información las guardan solo en computadoras o

ya sea en discos extraíbles, el otro 40% equivalente a 10 usuarios llevan respaldo de la

información en computadoras y en dispositivos extraíbles de uso laboral.

40%

60%

¿ G U A R D A U S T E D R E S P A L D O D E L A


Si No



78

Con base a los resultados obtenidos mediante esta pregunta de la encuesta se

identificó que el 76% que equivalen a 18 usuarios de la empresa ha sufrido alteraciones,

modificaciones y pérdidas de información, y el 24% que equivale a 7 usuarios aseguran que

no han padecido de ninguno de estos tipos de percance.

76%

24%

¿ H A S U F R I D O A L T E R A C I O N E S ,

M O D I F I C A C I O N E S O P É R D I D A D E L A

I N F O R M A C I Ó N Q U E M A N E J A ?

Si No



79

De las personas que han sufrido alteraciones, modificación o pérdida de la

información que en total fueron 18 usuarios, 15 de ellos no pudieron recuperar los datos

originales que tuvieron desde un inicio antes de sufrir el percance, mientras que los 3

usuarios restantes pudieron recuperar parte o la totalidad de la información.

3; 17%

15; 83%

S I L A R E S P U E S T A A N T E R I O R F U E

A F I R M A T I V A . ¿ H A P O D I D O

R E C U P E R A R L A I N F O R M A C I Ó N

P É R D I D A ?

Si No



80

Con base a los resultados de esta pregunta se determinó que el 72% que equivale a

18 usuarios no saben cómo actuar ante cualquier incidente de riesgos que se materialice

sobre un activo y perjudique la información, mientras que el otro 28% que equivale a 7

usuarios indican que, si saben cómo actuar, pero sus acciones no son las correctas.

28%

72%

¿ S A B E U S T E D C O M O A C T U A R A L

M O M E N T O D E S U F R I R P É R D I D A D E


Si No



81

2 Entrevista

Para la entrevista se tomó en consideración al responsable del departamento de

audiovisual y TI, entre las preguntas establecidas para dicha entrevista fueron las

siguientes:

¿Existen responsables sobre los activos tales como: equipos de computación,

discos duros extraíbles, dispositivos extraíbles de almacenamiento, impresoras?

La respuesta de los entrevistados a dicha pregunta fue la siguiente: La empresa no

ha establecido responsabilidades sobre los activos brindados para el cumplimiento de las

actividades de la empresa, sí existe algún tipo de daño él o la trabajadora indica el daño,

pero no se responsabiliza por lo sucedido.

¿La empresa cuenta con algún tipo de control o firewall para restringir o

bloquear el acceso hacia alguna red privada por parte de alguien no autorizado?

El responsable del departamento de Ti nos indicó: La empresa no cuenta con la

implementación de firewall, cualquier trabajador puede acceder a cualquier tipo de

información o navegación web no existe un control hoy por hoy para este tipo de casos.

¿La empresa maneja logeos para acceder a las computadoras por parte de los

usuarios de la empresa?

El responsable de TI nos indicó: Los equipos informáticos tales como computadoras

no cuentas con un logue para los equipos no se ha considerado aplicar este método de

restricción. El responsable de audiovisual acoto: Cualquier trabajador tiene acceso a la

información de sus compañeros de trabajo, cualquiera puede acceder a cualquier maquina

sin problema alguno.

82

¿La empresa en la actualidad cuanta con algún servicio de Backups para tener

respaldo de la información que maneja tales como: vídeos, documentos, información

sobre clientes?

Los entrevistados respondieron de la siguiente manera ante dicha pregunta: La

empresa no cuenta con ningún servicio de backups, toda información es almacenada en las

computadoras, el representante de audiovisual acoto: muchas veces los trabajadores solo

llevan respaldos en sus máquinas no tienen ningún respaldo adicional y se ha presentado la

ocasión que por accidentes o errores de los mismos usuarios se han perdido o borrado

vídeos y ellos se han visto en apuros.

¿Cómo maneja la empresa la clasificación de la información por cada

departamento?

La respuesta a dicha pregunta por parte de los entrevistados fue: La información se

comparte en discos duros extraíbles tanto en departamentos administrativos como de

producción, es decir la información que maneja el departamento de recursos humanos

también puede ser accedida por el departamento de audiovisual o cualquier otro

departamento.

¿Cómo maneja la empresa el control de acceso a internet por parte de los

trabajadores?

El encargado del departamento de TI indico: Que no hay un control para el acceso a

internet, por lo cual las redes están abiertas a cualquier uso.

83

2 ANEXO B.- Ejecuciones del modelo

2.1 Ejecución del modelo por primera vez

En la ejecución del modelo vamos a establecer los siguientes puntos:

Determinar los activos de mayor importancia para la empresa.

Definir las amenazas a las que está expuesto cada activo.

Estimar el impacto si se llegase a materializar alguna amenaza.

2.1.1 Identificación de activos

La identificación de activos fue tomada en conjunto al comité establecido por la

empresa y se tomó en consideración la lista de activos de la metodología MAGERIT

(establecida en la tabla#2). Está identificación de los activos fue realizada únicamente en el

departamento de audiovisual.

Tabla 10 Identificación de activos de la empresa BlueBox


Activos

Servicios {S} Telefonía

Internet

Software {SW} Ofimática

Software de uso laboral

Hardware {HW}

Computadoras de escritorio

Routers

Impresoras

Dispositivos de

almacenamiento

Personal {P} Usuarios del departamento de

audiovisual

84

2.1.2 Valoración de activos

Para la valoración de activos se consideró lo establecido en el capítulo 4, ítem 4.6.2,

la valoración fue dada conjunto al comité dando criterios a sus dimensiones de

disponibilidad (D), integridad (I) y confidencialidad (C), tomado en consideración: adquirir

nuevos equipos, nueva información, el no tener información disponible, en qué plazos

puedo recuperar la información, y que tan necesario es el activo para la empresa.

Tabla 11 Valoración de activos de la empresa BlueBox

Activos Dimensiones

Importancia

D I C Servicios

7 Telefonía 6 7 7

Internet 8 7 6

Software

8 Ofimática 9 9 8

Software de uso laboral 8 8 9

Hardware

9 Computadoras de escritorio 8 7 7

Routers 8 9 8

Impresoras 9 7 8

Personal 7

Usuarios del departamento de audiovisual 8 7 7

Datos

9 Físicos 8 8 8

Digitales 8 8 8


85

2.1.3 Identificación de amenazas

Las identificaciones de las amenazas fueron obtenidas con base a los resultados de

las encuestas, entrevistas y observaciones realizadas en el área de audiovisual, junto al

comité se analizó y se puedo concluir, que el departamento de audiovisual presenta las

siguientes amenazas:

Figura 30 Identificación de las amenazas

2.1.5 Valoración de las amenazas

Para la valoración de las amenazas se la realizó conjunto al comité, y se tomó en

consideración lo establecido en el capítulo 4, ítem 4.6.3, planteando tres preguntas

fundamentales ¿Qué daño causaría qué lo conociera quien no debe?, ¿Qué perjuicio

causaría no tenerlo o no poder utilizarlo? y ¿Qué perjuicio causaría que estuviera dañado o

corrupto?, así damos valores a sus dimensiones de, disponibilidad (D), integridad (I) y

confidencialidad (C).


Amenazas

Identificadas



Avería de origen físico


86

Fórmula de Promedio: Importancia del activo % * (La suma de las

dimensiones (D+I+C))

Tabla 12 Determinación de las amenazas a las que están expuestos los activos, con los

promedios de impacto


Activo Amenazas

Importancia

del activo

(A)

Dimensiones Suma de las

dimensiones

(B)

Promedio

(A% * B)

D I C

Servicios/Telefonía,

internet

Pérdida, hurto de la

información 7

3 2 1 6 0,42

Alteración de la

información 3 3 - 6 0,42

Software/Ofimática,

software de uso

laboral

Libre acceso de la

información

8

7 2 - 9 0,72

Alteración de la

información 3 - - 3 0,24

Avería de tipo físico 3 - - 3 0,24

Hardware/Equipos

de computación,

routers, impresoras


9

7 - - 7 0,63

Libre acceso de la


Personal/Usuarios

del departamento de

audiovisual


información

7

7 - - 7 0,49

Alteración de la


Libre acceso de la

información 4 1 3 7 0,49

Datos/Físicos y

digitales


información

9

7 - 3 10 0,9

Libre acceso de la


Alteración de la

información 5 - 2 7 0,63

87

2.1.6 Determinación del riesgo

El riesgo es la medida de daño ocasionado al materializarse una amenaza.

Conociendo la importancia de los activos para el área de audiovisual y las amenazas a las

que están expuestos se procede al cálculo del mismo. Los criterios de las amenazas son los

mismos establecidos de la tabla#3.

Formula de Riesgo = Probabilidad * Impacto

Tabla 13 Determinación del riesgo

Suma de los

promedios de

las amenazas

(Impacto)

Probabilidad

(P)

Nivel de

riesgo

(P*I)

Total de promedio de amenaza Pérdida, hurto de la

información 1,81 3 5,43

Activos y promedio de amenaza

Servicios 0,42

Datos 0,9

Personal 0,49

Total de promedio de amenaza

Libre acceso a la



Datos 0,81

Hardware 0,63

Software 0,72

Personal 0,49

Total de promedio de amenaza Avería de tipo físico 0.87 3 2.61

Activos y promedio de amenaza Datos 0,24

Hardware 0,63

Total de promedio de amenaza

Alteración de la



Servicios 0,42

Datos 0,63

Software 0,24

Personal 0,56


88

Tabla 14 Prioridad de las amenazas según el nivel de riesgo obtenido


Las guías o tratamientos establecidas fueron tomadas en conjunto con el

comité buscando la acción de minimizar el nivel de impacto de los riesgos sobre los

activos, los tratamientos o guías pueden ser de diferentes tipos, pero se dan según la

prioridad que tengan estas amenazas es decir se van a tratar de forma inmediata aquellas

amenazas que se consideren más altas.

La implementación de guías o tratamientos se dará en tres fases, partiendo desde las

amenazas de mayor prioridad hasta las de menor prioridad.

Tabla 15 Tratamiento de las amenazas según su prioridad

Amenazas Tratamiento o guía de

mejora Acciones

Tiempo de

Implementación

Libre acceso a

la información

Establecer el control de

acceso de usuarios en los

equipos

computacionales.

Minimizar 0,5 meses

Alteración de

la información

Adquisiciones e

implementación del

servicio de cloud backup.

Minimizar 5 meses

Implementación de

firewall Minimizar 4 meses

Prioridad

Amenaza Baja Media Alta Muy alta Crítico






89

Instalación de software

antivirus Minimizar 4 meses

Pérdida y

hurto de

información

Implementación de video

cámaras para vigilancia. Minimizar 5 meses

Mejoramiento de la

configuración del control

de acceso a los usuarios.

Minimizar 4 meses

Segregación de

funciones y

responsabilidades.

Minimizar 4 mes

Avería de tipo

física

Adquisición de UPS. Minimizar 6 meses

Mantenimiento a los

equipos dos veces por

año.

Minimizar 6 meses

Concientización por

medio de charlas,

capacitaciones del uso

correcto del hardware.

Minimizar 6 meses


90

El plan para el tratamiento de los riesgos se lo ejecuta por fases para así medir su

efectividad, que se van ejecutando de manera secuencial, esto quiere decir que una vez

finalizada una fase continúa la otra.

Figura 31 Fases de ejecución para el tratamiento de las amenazas


Fase 1

• Establecer un control de acceso a los usuarios en los equipos computacionales.

• Adquisición e implementación del servicio de cloud backup.

• Implementación de firewall.

• Instlación de software antivirus.

Fase 2

• Implementación de video cámaras para vigilancia.

• Mejoramiento en la configuración del control de acceso a los usuarios.

• Segregación de funciones y responsabilidades.

Fase 3

• Mantenimiento preventivo de dos veces por año en computadoras.

• Adquisiciones de UPS.

• Concientización por medio de charlas, capacitaciones del uso correcto del hardware.

91

2.1.8 Salvaguardas

Las salvaguardas buscarán brindar un desempeño extra de las guías establecidas

para el control de riesgos, se procura fomentar una cultura sobre la gestión de los riesgos,

estas medidas ayudarán al compromiso del personal laboral de la organización para la

correcta realización de sus actividades y funciones.

2.1.8.1 Implementación de las salvaguardas

Restricción de acceso a la información

Una parte de las falencias que presentó la empresa BlueBox fue que no existía

ningún control al acceso de la información, no existían restricciones para los usuarios y esto

es una vía permisiva para la propagación de incidentes de seguridad en la información.

Restricción de acceso a la información

Justificación:

El control para el acceso a la información que maneja

BlueBox.es necesario, para evitar el uso indebido o el

mal intencionado.

Elaborar perfiles de los usuarios y con ayuda de

la segregación de funciones podrá permitir y

denegar el acceso según esté establecida su

función.

Monitorizar el acceso a los usuarios con el

propósito de así poder detectar posibles intrusos.

Métricas:

Número de porcentaje detección de intrusos.

Número de porcentaje de incidencias ocasionadas

por acceso indebido.

Salvaguardas:

Protección de la información.

Cifrado de la información.

Figura 32 Implementación de salvaguarda


92

Control contra el software malicioso

Surgiendo de las necesidades de controlar incidencias proporcionadas por algún tipo

de software malicioso, es necesario mantener en control los activos de la empresa, la

ejecución de un inventario ayudará a percibir cualquier tipo de anomalías relacionadas con

un software no identificado. La aplicación de antivirus en los equipos computacionales será

realizada exclusivamente por el departamento de TI.


Justificación:

Prevenir la propagación de virus que afecten los

equipos laborales y causen daño a la información.

Conocer y establecer con detalle los softwares

que sean de uso laboral.

Depurar los equipos de trabajo.

Bloquear la instalación de software por parte de

usuarios.

Monitorizar periódicamente.

Métricas:

Número de porcentaje de softwares maliciosos

detectados.

Número de porcentaje de softwares maliciosos

tratados.

Salvaguardas:

Protección de aplicaciones.

Perfiles de seguridad.

Copias de seguridad.



93

Control de la red

En el departamento de audiovisual el acceso a internet, la navegación web, no tenía

limitaciones y los usuarios desconocen si están en una página o sitio seguro provocando las

descargas de virus y esto a su vez ocasionaba una afectación en las estaciones de trabajo y

sus actividades, con base a estos sucesos se creó controles para la red.

Copias de seguridad de la información

Uno de los aspectos que no tenía en contemplación la empresa BlueBox es llevar un

respaldo de la información el cual era realizado escasamente, con este control se pretende

establecer un respaldo de manera ordenada, documentada y realizada periódicamente.

Control de la red

Justificación:

Controlar la navegación web es necesario ya que los

usuarios no se percatan de la navegación insegura a la

que están expuestos y estos son puertas para

incidentes de riesgos.

Diseñar configuraciones de navegación web

Monitorear las actividades en la web

Métricas:

Número de tráfico web no identificado.

Número de visitas a sitios peligrosos durante la

navegación.

Salvaguardas:

Protección de servicios y las aplicaciones.



94

Uso de activos

Se definen medidas para el uso de activos de información, para que así se pretenda

mantener la seguridad de la información, y así comprometiendo al personal a estas medidas

en donde el comité será fundamental para llevar a cabo revisiones, controles, comprobando

los inventarios y verificando el uso adecuado y correcto de los activos e informar de

cualquier tipo de anomalía.


Justificación:

La empresa BlueBox no lleva un adecuado

respaldo de la información y así exponiéndola a

peligros que causen pérdida o alteración de la

misma.

Respaldar información en equipos, dispositivos

extraíbles y nube.

Realizar pruebas de control que verifiquen que la

información fue almacenada de forma correcta

para su respaldo.

Métricas:

Número de inconsistencias en los respaldos por

mes.

Número de respaldos que maneja la empresa.

Salvaguardas:

Protecciones a nivel general de la información.

Registros disponibles al momento de su uso

inmediato.



95

Cumplimiento con políticas de confiabilidad y guías de riesgo

El cumplimiento de las guías y políticas de confiabilidad ayuda a mantener al

personal comprometido y a su vez apoya al cumplimiento adecuado de procedimientos para

que se efectúen los objetivos establecidos por la organización.

Uso de activos

Justificación:

Los activos son fundamentales para el personal

de la empresa BlueBox en sus actividades diarias.

Establecer inventarios y asignar propietario a

cada equipo

Realizar un registro de actividades para el uso de

activos y salvaguardar informaciones.

Métricas:

Número de porcentaje de activos con anomalías

antes de la implementación del modelo.

Número de porcentaje de activos con anomalías

después de la implementación del modelo.

Salvaguardas:

Protecciones a equipos informáticos.

Mantenimientos.



96

Cumplimiento con principios y guías de riesgo

Justificación:

Basado en la implementación del modelo de

gestión de riesgos, que cubra las necesidades de

la empresa.

Métricas:

Número de incidentes desde la concientización de

las políticas de gestión de riesgos.

Número de incidentes presentados antes del

modelo.

Salvaguardas:

Gestión de riesgos.

Gestión de vulnerabilidades.



97

Tabla 16 Aplicabilidad de las salvaguardas

Contramedida Guía Justificación de la guía Riesgo a la que esta derivada

Restricción del

acceso a la

información.

Se delegarán permisos por cada usuario para uso y manejo

de información sensible, según corresponda su perfil. Evitar uso indebido o mal intencionado de la información. Libre acceso de la información

Control para la red. Se determinarán políticas para el uso de los servicios de red,

se realizará jerarquía de funciones.

El acceso sin restricción en la red, conlleva a la efectuación de

incidentes como la propagaciones de virus, infiltraciones de

atacantes externos o internos, hurto de la información ente otros.

Hurto de la información,

vulnerabilidad en los sistemas de

información.

Uso de activos.

Se realizarán capacitaciones para el correcto uso de los

activos, se compromete a los usuarios de realizar un buen

uso de activos entre los cuales destacan computadores y

dispositivos de almacenamiento.

Los activos son de suma importancia para el uso diario de la

operatividad de la empresa, el fallo de estos causaría retrasos en

la empresa.

Avería de origen físico.

Cumplimiento de

políticas y guías de

riesgo.

Los altos mandos de BlueBox aprobaron las políticas de

riesgo y se compromete a la concientización a todas las

partes que conforman el personal de la empresa.

Las políticas son indicaciones para establecer un adecuado

ambiente laboral, y esto ayuda a colaborar en el cumplimiento de

los objetivos de la empresa.

Libre acceso a la información,

alteración de la misma, hurto de

la información, avería de origen

físico.

Control contra

software malicioso.

Se determina el uso de antivirus, para todos los equipos del

personal.

Prevenir incidentes con infecciones y la propagación de virus en

los equipos y dispositivos de almacenamiento.

Avería de origen físico, hurto y

alteración de la información.

Copias de seguridad

de la información.

Se estableció un procedimiento para el respaldo de la

información no solo se almacenará la información en los

discos extraíble y ordenadores, sino para mayor redundancia

se realiza el respaldo respectivo en la nube.

Mantener respaldo de la información en óptimas condiciones y

disponibles al momento de ser requeridas por personal

autorizado.

Hurto de la información, avería

de origen físico, alteración de la

información.

Fuente 53 Elaborada por el autor

98

2.1.9 Mejora continua

La mejora continua es la retroalimentación de todo el modelo establecido y es el

resultado obtenido de las ejecuciones realizadas, en donde se plantea nuevas medidas para

que se integren en el modelo actual, que se necesiten para el tratamiento del riesgo y de las

eventualidades no previstas.

2.1.9.1 Medidas de prevención

Tabla 17 Medidas de prevención

Medidas de prevención

Amenaza Medidas establecidas Finalidad

Libre acceso a la información. Disminuir los lugares de acceso

para la navegación web.

Navegación segura para

los usuarios.

Pérdida, hurto de la información Realizar tres respaldos de la

información de manera diaria.

Tener soportes de datos

en caso de incidentes de

carácter crítico.

Falta de concientización por parte del personal sobre

los riesgos existentes.

Realizar capacitaciones para la

concienciación al personal.

Crear cultura de sobre

el riesgo de la

información.

Avería de tipo físico en computadoras. Realizar mantenimientos a los

equipos.

Prever el daño en los

equipos.

Libre acceso a la información. Cambio de contraseñas para los

equipos cada 4 meses.

Prever la vulneración

de los equipos.


2.1.9.2 Métricas

Las métricas ayudarán a medir el rendimiento de las guías y salvaguardas

implementadas para tratar los riesgos, estas métricas tendrán que ser revisadas, valoradas y

llevar un detallado de cada una exclusivamente por el comité y así poder identificar si las

medidas para el tratamiento de las amenazas implementadas están siendo efectivas con el

transcurrir del tiempo, las métricas establecidas son:

99

Tabla 18 Implementación de métricas

Métricas

Restricción al acceso de la información

Número de detección

de intrusos. VS

Número de

incidencias

ocasionadas por el

acceso libre.


Número maliciosos

detectados. VS

Número de softwares

maliciosos detectados.

Control de la red

Número de acceso a

páginas restringidas. VS

Número de visitas a

sitios peligrosos

durante la navegación.


Inconsistencia en el

número de respaldos Vs

Números de respaldos

que maneja la

empresa.

Uso de activos

Número de daños en

los activos antes de

implementar la norma

.

VS

Número de daños a

los activos

presentados durante la

aplicación del modelo.

Cumplimiento con los principios y las guías de los

riesgos

Incidentes presentados

durante el año. VS

Número de incidentes

presentados a partir de

la implementación del

modelo


100

La mejora continua es el proceso cíclico en el cual se da un seguimiento a la gestión

de riesgo, guías y contramedidas establecidas para verificar que estén cumpliendo de

manera correcta sus funciones establecidas, la tarea de la mejora continua es la

retroalimentación de todo el modelo de la gestión de riesgo implementada.

El comité deberá monitorear las guías establecidas para la gestión de los riesgos, se

puede considerar que la revisión puede ser de manera periódica de dos veces por año, llevar

una documentación adecuada precisa y correcta de todos los incidentes presentados después

de establecer el modelo de gestión de riesgos.

Actualización

y ejecución

del modelo

Evaluación de

los

procedimientos

del modelo

Análisis de los

resultados de

la ejecución

del modelo

Elaboración de

nuevas guías a

partir de los

nuevos

resultados para

integrarlos al

modelo.

Figura 38 Plan de mejora continua


101

2.2 Ejecución del modelo por segunda vez

La segunda ejecución del modelo se la realizó después de tres meses, como la

segunda ejecución se la realizó en un periodo corto de tiempo no se encontraron nuevas

amenazas, pero sí se encontraron fallas cometidas por los usuarios, a continuación,

mostramos una tabla de los incidentes encontrados durante el periodo de tiempo de tres

meses y un nuevo cálculo de las amenazas y riesgos.

Tabla 19 Incidentes presentados durante el periodo de tiempo de tres meses

Fecha Incidente Causa Amenaza con la que está

relacionada.

Mayo-14-2019

Equipo computacional afectado

Mal uso dado al computador por parte del ususario.


Mayo-25-2019

Documentación de cliente alterada

Cometido por un error de usuario al momento de digitar

la información Alteración de la información

Junio-18-2019

No existia consistencia en los respaldos de la información

por parte de un usuario

Usuario no almaceno la información de manera

correcta. Pérdida, hurto de la información

Julio-01-2019


Usuario desactivo antivirus e inserto un dispositivo de

almacenamiento extraíble e infecto el computador.

Software malicioso


102

Tabla 20 Acciones tomadas contra los incidentes y amenazas detectados

Como se puede observar en la tabla anterior las amenazas son las mismas

identificadas en la primera ejecución, por ende, ya existían guías y tratamientos

establecidos para estas amenazas, pero las aperturas a estas amenazas fueron dadas por los

propios usuarios al no seguir las guías o no tener una conciencia sobre los peligros

existentes. A partir de este punto se procedió a ejecutar una vez más el modelo sacando

nuevos cálculos de promedios de amenazas y un nuevo cálculo de riesgo para evidenciar la

reducción de estos en comparación con la primera ejecución.

Incidente Amenaza con la que está relacionada. Acción tomada


Avería de tipo físico Capacitaciones al personal para el uso correcto y adecuado del

hardware.

Documentación de cliente alterada


Concientización al personal de la importancia de los riesgos existentes al alterar una

información.

No existia consistencia en los respaldos de la

información por parte de un usuario

Pérdida, hurto de la información Verificar los respaldos de la

información al momento de ser almacenadas.


Software malicioso

Acciones por parte de la empresa contra los usuarios que

no acaten las guías o medidas establecidas.


103

2.2.1 Identificación y valoración de activos

La empresa al no haber adquirido nuevos equipos durante este periodo de tiempo

transcurrido, se tomó la misma identificación y valoración de activos ya que siguen siendo

igual de importantes para la empresa.

Tabla 21 Identificación y valoración de activos

2.2.2 Identificación y valoración de las amenazas

Las amenazas identificadas en esta segunda ejecución fueron las mismas, ya que no

se encontraron ni surgieron nuevas amenazas en el periodo de tiempo transcurrido, pero sus

promedios disminuyeron ya que las guías que se establecieron conjunto a las salvaguardas

resultaron efectivas, ya que los incidentes encontrados fueron propiciados por los mismos

usuarios que no acataron o se ajustaron a las guías o tratamientos establecidos.

Activos Dimensiones

Importancia

D I C Servicios

7 Telefonía 6 7 7

Internet 8 7 6

Software

8 Ofimática 9 9 8

Software de uso laboral 8 8 9

Hardware

9 Computadoras de escritorio 8 7 7

Routers 8 9 8

Impresoras 9 7 8

Personal 7

Usuarios del departamento de audiovisual 8 7 7

Datos

9 Físicos 8 8 8

Digitales 8 8 8


104

Tabla 22 Identificación y valoración de las amenazas en la segunda ejecución

2.2.3 Determinación del riesgo

Una vez obtenido los nuevos promedios de las amenazas sobre los activos

procedemos a realizar un nuevo cálculo para determinar el nuevo nivel de riesgo ya que las

guías implementadas conjunto a las salvaguardas demostraron su efectividad sobre las

amenazas existentes hubo una reducción en el promedio de las amenazas y por ende sus

niveles de riesgo disminuirán cabe tomar en cuenta que al transcurrir un periodo corto de

Activo Amenazas

Importancia

del activo

(A)

Dimensiones Suma de las

dimensiones

(B)

Promedio

(A% * B) D I C

Servicios/Telefonía,

internet


información 7

2 1 1 4 0,28

Alteración de la


Software/Ofimática,

software de uso

laboral

Libre acceso de la

información

8

5 1 - 6 0,48

Alteración de la


Avería de tipo físico 2 - - 2 0,16

Hardware/Equipos

de computación,

routers, impresoras


9

5 - - 5 0,45

Libre acceso de la


Personal/Usuarios

del departamento de

audiovisual


información

7

5 - - 5 0,35

Alteración de la


Libre acceso de la


Datos/Físicos y

digitales


información

9

5 - 2 7 0,63

Libre acceso de la


Alteración de la

información 3 - 1 4 0,36


105

tiempo las probabilidades de que una amenaza se materialice se mantiene iguales a la de la

primera ejecución por ende su probabilidad de ocurrencia no cambio.

Tabla 23 Nuevo cálculo para determinar el riesgo

Suma de los

promedios de

las amenazas

(Impacto)

Probabilidad

(P)

Nivel

de

riesgo

(P*I)

Total de promedio de amenaza Pérdida, hurto de la



Servicios 0,28

Datos 0,63

Personal 0,35

Total de promedio de amenaza Libre acceso a la



Datos 0,45

Hardware 0,45

Software 0,48

Personal 0,21

Total de promedio de amenaza Avería de tipo físico 0,79 3 2,37

Activos y promedio de amenaza Datos 0,16

Hardware 0,63

Total de promedio de amenaza Alteración de la



Servicios 0,28

Datos 0,36

Software 0,16

Personal 0,35


106


Los tratamientos para las amenazas serán los mismos que ya se implementaron en la

primera ejecución ya que no existen nuevas amenazas y resultaron ser efectivas, hay que

tomar en cuenta que con el transcurrir del tiempo se pueden agregar nuevos tratamientos y

el comité será el responsable de responder a estos cambios en caso de que se requiera

nuevas implementaciones.

2.2.5 Establecer Salvaguardas

En esta parte se agregaron nuevas salvaguardas que nos ayuden a minimizar esos

incidentes identificados en el lapso de tiempo transcurrido y en un futuro, cabe detallar que

se pueden agregar más salvaguardas conforme transcurra el tiempo, el comité será el

encargado de llevar esta revisión e implementación de futuras salvaguardas en el caso de

ser necesario.

Protección de los equipos informáticos

Se definen medidas para la protección de equipos información, para que así se

pretenda mantener la seguridad de la información, y así comprometiendo al personal a estas

medidas en donde el comité será fundamental para llevar a cabo revisiones, controles,

comprobando y verificando el uso correcto de los activos e informar de cualquier tipo de

anomalía.

107

Protección de las aplicaciones informáticas

Se definen medidas para la protección de aplicaciones informáticas, para mantener la

seguridad y la protección de los equipos y de la información, manteniendo el control del

uso de softwares autorizados o con licencias evitando propagaciones de virus u otras

anomalías, el comité será responsable de una revisión periódica de esta medida.

Protección de los equipos informáticos

Justificación:

Los activos son fundamentales para el personal

de la empresa BlueBox en sus actividades diarias.

Normativas sobre el uso correcto del hardware.

Procedimientos de uso de equipamiento.

Aplicar perfiles de seguridad y asignar

responsables por equipo.

Métricas:

Número de activos dañados antes de la

implementación del modelo.

Número de activos dañados después de la

implementación del modelo.

Salvaguardas:

Protecciones a equipos informáticos.

Mantenimientos.

Figura 39 Implementación de nuevas salvaguardas


108

Protección de las instalaciones

Proteger las instalaciones de BlueBox contra cualquier tipo de incidentes que se

pueda llegar a presentar.

Protección de las aplicaciones informáticas

Justificación:

Prevenir la propagación de virus que afecten los

equipos laborales y causen daño a la información.

Normativas sobre el uso autorizado de

aplicaciones.

Controlar las instalaciones de softwares

autorizados y productos con licencia.

Monitorizar periódicamente.

Métricas:

Número de softwares maliciosos detectados.

Número de softwares tratados.

Salvaguardas:

Protección de aplicaciones.


Copias de seguridad.



109

Acciones por parte de BlueBox contra los usuarios que no pongan en práctica las

guías y tratamientos establecidos para los riesgos

Se tomarán acciones por parte del alta directiva de BlueBox contra todos aquellos

usuarios que no cumplan con las guías y tratamiento establecidos para la gestión de los

riesgos.

Protección de las instalaciones

Justificación:

Proteger las instalaciones de BlueBox contra

cualquier tipo de eventualidad

Disponer de áreas específicas para equipos

informáticos.

Disponer normativas de seguridad para la

seguridad de las instalaciones.

Monitorizar periódicamente las video cámaras de

vigilancia.

Métricas:

Número de incidentes detectados a partir de la

segunda prueba.

Número de incidentes detectados antes de aplicar

la salvaguarda.

Salvaguardas:

Protección de las instalaciones.




110

2.2.6 Mejora continua

En la mejora continua no se efectuará ningún cambio se mantendrán las mismas

medidas preventivas, métricas y plan de mejora continua, como ya se detalló anteriormente

todo el proceso de mejora continua deberá ser monitorizado por parte del comité cada seis

meses y llevar reportes de todos los incidentes encontrados para que el modelo de gestión

de riesgo vaya mejorando paulatinamente.

Acciones por parte de BlueBox contra los

usuarios que no pongan en práctica las guías y

tratamientos para los riesgos

Justificación:

Tomar acciones según lo disponga la alta dirección de

BlueBox para los usuarios que no se ajusten a las

medidas y guías implementadas.

Cumplir con las guías y tratamientos

establecidos.

No dar margen de error por parte de los usuarios,

Métricas:

Número de usuarios que incumplen las guías y

tratamientos.

Salvaguardas:

Protección de las instalaciones.


Cumplimientos de guías y tratamientos

establecidos.



111

3 ANEXO C.- Costo beneficio de los tratamientos

Tabla 24 Análisis de tiempo costo del tratamiento de los riesgos


Fase/Tratamiento Tiempo Costo

Fase 1

Establecer el control de acceso de

usuarios en equipos de computación. 0,5 mes

$

200,00

Adquisición e implementación del

servicio de cloud backup. 1 mes

$

1500,00

Implementación de firewall. 0,5 mes

$

360,00

Instalación de software antivirus 0,5 mes $

175,00

Total de tiempo fase 1 2,5 meses $ 2.235

Total de costo fase 1

Fase 2

Implementación de video cámaras

para vigilancia. 4 meses

$

500,00

Mejoramiento en la configuración del

control de acceso a los usuarios. 1,5 meses

$

200,00

Implementación de políticas para el

control de acceso y segregación de

funciones.

0,5 mes $

500,00

Total tiempo fase 2 6 meses

$

1.200,00 Total costo fase 2

Fase 3

Mantenimiento de los quipos dos

veces por año y adquisición de ups 4 meses

$

400,00

Implementación de guías 0,5 mes $

400,00

Total de tiempo fase 3 4,5 mese

$

800,00 Total de costo fase 3

Total de tiempo de implementación 13 meses

$

4.235,00 Costo total de la implementación

112

4 ANEXO D.- Carta de autorización firmada por la empresa

Documents

UNIVERSIDAD DE GUAYAQUIL FACULTAD DE CIENCIA …repositorio.ug.edu.ec/bitstream/redug/44421/1/Tesis... · supervisión como requerimiento parcial para la obtención del título de