7aloración de los activos
na ve# identificados los activos! el
na ve# identificados los activos! el siguiente paso a reali#ar es valorarlos. Es siguiente paso a reali#ar es valorarlos. Es decir! &aydecir! &ay que estimar qué valor tienen
que estimar qué valor tienen para la organi#ación! cual es su importancia para para la organi#ación! cual es su importancia para la misma.la misma. ara calcular este valor! se considera cual puede ser el
ara calcular este valor! se considera cual puede ser el da0o que puede suponer para lada0o que puede suponer para la organi#a
organi#ación que un activo ción que un activo resulte da0ado en cuanto a su disponibilidad! integridad yresulte da0ado en cuanto a su disponibilidad! integridad y confidencialidad.
Esta valoración se &ará de acuerdo con
Esta valoración se &ará de acuerdo con una escala que puede ser cuantitativa ouna escala que puede ser cuantitativa o cualitativa. 2i es posible valorar
cualitativa. 2i es posible valorar económicaeconómicamente los activos! se utili#a mente los activos! se utili#a la escalala escala cuantitativa. En la mayoría de los casos! no es posible o va a suponer un esfuer#o cuantitativa. En la mayoría de los casos! no es posible o va a suponer un esfuer#o e-cesivo! por lo que utili#an
e-cesivo! por lo que utili#an escalas cualitativas como por e%emplo: ba%o! medio! alto escalas cualitativas como por e%emplo: ba%o! medio! alto oo bien un rango nu
bien un rango numérico! por e%empmérico! por e%emplo de @ a <@lo de @ a <@
Con independencia de la escala utili#ada! los aspectos a considerar pueden ser los
Con independencia de la escala utili#ada! los aspectos a considerar pueden ser los da0osda0os como resultado de:
como resultado de:
Violación de legislación aplicable.Violación de legislación aplicable.
Ieducción del rendimiento de la actividad.Ieducción del rendimiento de la actividad.
Efecto negativo en la reputación.Efecto negativo en la reputación.
erdidas erdidas económicaseconómicas..
)rastornos en el negocio.)rastornos en el negocio.
La valoración debe ser lo más ob%etiva posible! por lo que en el proceso deben estar La valoración debe ser lo más ob%etiva posible! por lo que en el proceso deben estar involucradas todas las áreas de la
involucradas todas las áreas de la organi#organi#ación! aunque no participen en otras ación! aunque no participen en otras partes delpartes del proyecto y de e
proyecto y de esta manera obtesta manera obtener una imagen reaner una imagen realista de los activlista de los activos de la orgaos de la organi#ación.ni#ación. Es +til definir
Es +til definir con anterioridad unos parámetros para que todos los con anterioridad unos parámetros para que todos los participantes valorenparticipantes valoren de acuerdo a unos criterios
de acuerdo a unos criterios comunes! y se obtengan valores co&erentes. n e%emplo decomunes! y se obtengan valores co&erentes. n e%emplo de la definición de estos parámetros podría
la definición de estos parámetros podría ser la siguiente:ser la siguiente:
*isponiblidad *isponiblidad
ara valorar este criterio debe responderse a la pregunta de cual sería la ara valorar este criterio debe responderse a la pregunta de cual sería la
importancia o el trastorno que tendría el que el activo no estuviera disponible. 2i importancia o el trastorno que tendría el que el activo no estuviera disponible. 2i consideramos como e%emplo una escala de @ a
consideramos como e%emplo una escala de @ a ; se podría valorar ; se podría valorar como sigue:como sigue: ,isponibilidad
,isponibilidad
7
7aalloorr CCrriitteerriioo
@
@ ((o o aapplliicca a J J ((o o ees s rreelleevvaannttee <
< ,e,ebe be eesstatar r ddisisppononibible le aal ml menenoos s eel l <@<@8 8 ddel el titiememppoo 5
5 ,e,ebe be eesstatar r ddisisppononibible le aal ml menenoos s eel l F@F@8 8 ddel el titiememppoo ;
; ,e,ebe be eesstatar r ddisisppononibible le aal ml menenoos s eel l DDDD8 8 ddel el titiememppoo
or e%emplo! la disponibilidad de un servidor central! sería de ; con estos or e%emplo! la disponibilidad de un servidor central! sería de ; con estos criterios
criterios
Integridad Integridad
ara valorar este criterio
ara valorar este criterio la pregunta a responder será qué la pregunta a responder será qué importancia tendríaimportancia tendría que el activo fuera
que el activo fuera alterado sin autori#ación ni control. na alterado sin autori#ación ni control. na posible escala es:posible escala es: *ntegridad
*ntegridad
7
7aalloorr CCrriitteerriioo
*ntegridad *ntegridad
7
7aalloorr CCrriitteerriioo
<< (o (o es es rerelelevavantnte loe los es errrrorores es quque te tenenga ga o lo la ina infoformrmacacióión qn que ue fafaltltee 55 ))ieiene ne quque ee eststar ar cocorrrrececto to y cy comomplpleteto ao al ml menenos os en en un un F@F@88
;; ))ieiene ne quque ee eststar ar cocorrrrececto to y cy comomplpleteto ao al ml menenos os en en un un DFDF88 2iguiendo con el e%emplo del servidor! debido a que
2iguiendo con el e%emplo del servidor! debido a que el servidor debe mantenerseel servidor debe mantenerse en todo momento funcionando correctamente! se asignaría el valor ;
en todo momento funcionando correctamente! se asignaría el valor ;
Confidencialidad Confidencialidad
En este caso la pregunta a
En este caso la pregunta a responder para ponderar adecuadamenresponder para ponderar adecuadamente este criteriote este criterio será cual es la importancia que tendría que al activo se accediera de manera no será cual es la importancia que tendría que al activo se accediera de manera no autori#ada. La escala en este caso podría ser
autori#ada. La escala en este caso podría ser Confidencialidad Confidencialidad
7
7aalloorr CrriitteerriioC o
@@ ((o o aapplliicca a J J ((o o ees s rreelleevvaannttee
<< ,a,a0o0os s mumuy by ba%a%osos! ! el el inincicidedentnte e no no trtrasascecendnderería ía dedel ál árerea aa afefectctadadaa 55 2e2erírían an rerelelevavantnteses! e! el il incncididenente te imimplplicicararía ía a oa otrtras as áráreaeass
;; Los da0os serían catastróficos! la reputación y la Los da0os serían catastróficos! la reputación y la imagen de laorgani#aorgani#ación se ción se verían comprometidasverían comprometidas imagen de la
,ependiendo de la organi#ación y su conte-to! el valor
,ependiendo de la organi#ación y su conte-to! el valor del servidor podría serdel servidor podría ser incluso ; si la
incluso ; si la dependencdependencia de esa ia de esa máquina es muy grande y el máquina es muy grande y el simple accesosimple acceso físico al servidor sería
físico al servidor sería un trastorno para la un trastorno para la organi#acorgani#ación.ión. )
)ambién debe decidirse cómo se va a ambién debe decidirse cómo se va a calcular el valor total calcular el valor total de los activos! bien comode los activos! bien como una suma de los
una suma de los valores que se &an asignado a cada uno valores que se &an asignado a cada uno de los parámetros valorados!de los parámetros valorados! bien el mayor de d
bien el mayor de dic&os valores! la ic&os valores! la media de los mismmedia de los mismos! etc.os! etc.
Los criterios para medir el valor del activo deben ser claros! fáciles de comprender por Los criterios para medir el valor del activo deben ser claros! fáciles de comprender por todos los participantes en la
todos los participantes en la valoración y &omogéneos! para que se puedan comparar losvaloración y &omogéneos! para que se puedan comparar los valores al final del
valores al final del proceso. ,e esta manera se sabrá cuales son proceso. ,e esta manera se sabrá cuales son los principales activoslos principales activos de la organi#ación! y por lo
de la organi#ación! y por lo tanto aquellos que necesitan de una particular atención.tanto aquellos que necesitan de una particular atención. La valoración de los activos deben reali#arla
La valoración de los activos deben reali#arla un grupo de personas que sean loun grupo de personas que sean lo suficientemente representa
suficientemente representativas como para aportar tivas como para aportar entre todos una visiónentre todos una visión ra#onablemente ob%etiva de la
ra#onablemente ob%etiva de la organi#aorgani#ación. or ción. or supuesto deben ser personas quesupuesto deben ser personas que cono#can bien la organi#ación. 2i se van a &acer
cono#can bien la organi#ación. 2i se van a &acer las valoraciones mediante reuniones delas valoraciones mediante reuniones de traba%o! el grupo no
traba%o! el grupo no debería ser e-cesivamente numeroso para que las reuniones no sedebería ser e-cesivamente numeroso para que las reuniones no se alarguen demasiad
alarguen demasiado. 2i se o. 2i se van a utili#ar cuestionarios o van a utili#ar cuestionarios o entrevistas! se puede involucrarentrevistas! se puede involucrar a más personas! siempre teniendo en cuenta el
Módulo 8: nálisis y valoración de los
Módulo 8: nálisis y valoración de los riesgos"riesgos"
Metodolog%as
Metodolog%as
no de los puntos clave de todo 232* es el análisis de riesgos. En este módulo además no de los puntos clave de todo 232* es el análisis de riesgos. En este módulo además de e-plicar detalladamente en qué consiste y cómo debe
de e-plicar detalladamente en qué consiste y cómo debe llevarse a cabo para cumplirllevarse a cabo para cumplir con lo establecido por la
con lo establecido por la (orma se describirán las principales metodologías que e-isten(orma se describirán las principales metodologías que e-isten en el mercado.
en el mercado.
Los contenidos de este
Los contenidos de este módulo comprenden:módulo comprenden:
Conceptos básicos.Conceptos básicos.
Ieali#ación del análisis de riesgos.Ieali#ación del análisis de riesgos.
etodologías.etodologías.
Evaluación.Evaluación.