Análisis de riesgo

El análisis de riesgos es una herramienta fundamental para evaluar los diferentes peligros que suponen una amenaza para el negocio, y darles una solución.

Para apoyar a las empresas en sus esfuerzos por implementar buenas prácticas de ciberseguridad, SCASSI ofrece un enfoque basado en la gestión de riesgos, que comienza con un análisis.

El objetivo principal de un análisis de riesgos es llevar a una organización a:

1. Identificar los activos a proteger.
2. Identificar los objetivos de seguridad en éstos.
3. Evaluar las amenazas y los escenarios de riesgo que pueden pesar sobre ellos.
4. Implementar un plan de tratamiento para reducir los riesgos residuales a un nivel aceptable para sus operaciones.   

El análisis de riesgos permite:

1. Generar confianza en los sistemas de información y su funcionamiento.
2. Establecer y fortalecer el proceso de gestión de riesgos de seguridad dentro de una organización.
3. El control de riesgos y costes residuales, a través del arbitraje del plan de tratamiento por parte de una autoridad de la organización, para dedicar el esfuerzo y los recursos donde más falta hace.
4. La posibilidad de poner en común el enfoque con otras normativas vigentes en el ámbito de actividad de la empresa, para lograr un enfoque global.

SCASSI utiliza varias metodologías reconocidas para la realización del análisis, que le permiten cumplir con la norma ISO 27001, los requisitos legales y reglamentarios y las mejores prácticas del mercado.

1. ISO 27005 e ISO 31000 para establecer un proceso de gestión de riesgos
2. MAGERIT v3 para realizar análisis de riesgos.

Metodología aplicada:

1. Uso de herramientas como PILAR, con entrega del archivo de datos desde la herramienta.
2. Uso de herramientas internas dedicadas.
3. Apoyo a los responsables de activos en la evaluación de las medidas de seguridad.
4. Análisis de riesgo en consonancia con la política de seguridad, elemento vital del cumplimiento.
5. Aplicación de la metodología elegida por el cliente: ISO 27005, MAGERIT, o metodología propia.
6. Puntos de validación intermedios con operaciones, y propietarios de riesgos.
7. Redacción del informe y plan de tratamiento de riesgos (PTR).
8. Presentación a la dirección general y CISO de la organización.