"Aquello que no te mata... debería hacerte más fuerte" ;)
InfoSecMan Blog
Análisis de Riesgos, ¿Para Qué? (Otras Opiniones)
3 February 2009El post de hace unos días buscando un poco de polémica sobre la necesidad de un análisis de riesgos en todas las ocasiones ha despertado cierto interés en otros foros paralelos a este blog donde otros profesionales han manifestado distintas opiniones y reflexiones al respecto que, para ampliar la reflexión, incluyo a continuación (previa aprobación por parte de los autores correspondientes).
¡¡Muchas gracias a todos por las excelentes aportaciones!!
———-
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 13:48
De: Christian B. <christianx@gmail.com>
Fecha: 15 de enero de 2009 13:52
Desde mi punto de vista, el principal problema de las pymes con lo que
respecta a la seguridad es el pensamiento arcaico de
problema-solucion, es decir, cuando sucede una catastrofe se le busca
la solucion y se establece un parche para evitar que vuelva a suceder
ese problema especifico. No seria mejor, que se implementaran medidas
para evitar este tipo de situaciones en un primer lugar?
Un analisis de riesgo, como bien haces el paralelismo con un analisis
medico a un paciente, solo va a servir si el paciente confia en el
diagnostico, respeta al doctor y cree en que las soluciones que el
medico puede brindarle van a ser de ayuda. A que voy con esto? Que hay
una.. “incompatibilidad” entre las pymes y el sector de IT. A medida
que el tiempo avanza, cada vez mas empresas empiezan a apoyarse en las
nuevas tecnologias, migracion de formas de trabajo hacia bases de
datos, sistemas de facturacion virtual, camaras por ip, fax virtuales,
voip, cientos de cosas diferentes, pero cuantas de ellas luego
invierten para asegurar esa infraestructura? Cuantas invierten parte
de su presupuesto en mejorar esto? O contratar personal para su
correcto mantenimiento?
Palabras como planes de contingencia o similares son desconocidas y
hasta en algunas es mala palabra porque significan dinero adicional en
bueno, nada tangible (Excepto seguridad fisica, que dentro de todo
esta mas aceptado). Personalmente, creo que el principal problema es
la falta de interes y una mentalidad bastante cerrada ante la
tecnologia, y todos deben conocer algun caso de problemas que hayan
sido causados en una organizacion por esta actitud.
Saludos, Christian Ariel Benitez (I’m not Borghello damn it!!!, jaja 
)
———-
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 13:57
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 15 de enero de 2009 14:15
)SL
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 14:20
De: VESTER TOMAZIN, DANIEL <dvestert@ypf.com>
Fecha: 15 de enero de 2009 14:56
Saludos
Daniel
———-
De: Tirso Hernandez <tirso@netminds.com.mx>
Fecha: 15 de enero de 2009 17:02
Antes que otra cosa les envío un cordial saludo.
Déjenme comentar que en general estoy de acuerdo en lo expresado por Rodney.
Sin embargo yo creo que habría que hacer algunas apreciaciones al respecto para dejar más claro este asunto.
Primero, el termino PyME (pequeña y mediana empresa) aplica para empresas con un número pequeño de empleados (existen varias clasificaciones pero en general podríamos decir que más de 25 y menos de 250), pero en este grupo de empresas hay las que apenas generan los recursos necesarios para sobrevivir y las que ganan muchísimo dinero y que por lo tanto tienen muchísimos recursos para invertir.
Por otro lado hay manufactureras que tienen procesos productivos como base de sus riqueza y cuentan con poca infraestructura informática (informática en el sentido de información) ya que solo tienen nómina y contabilidad como bienes informáticos, hay también empresas que tienen como su bien más preciado la información con que trabajan (por ejemplo los despachos de profesionales (contadores, abogados, etc.) además existen muchos tipos más.
En este contexto vemos que si bien es posible generalizar, también es necesario conocer bien el o los sectores a los que pertenecen nuestros clientes.
Por otro lado un análisis de riesgos contempla factores que son muy particulares como la situación geográfica y los riesgos ambientales, sociales, etc., por lo que la generalización total sería, desde mi punto de vista, peligrosa y poco práctica.
Como siempre quedo a sus órdenes y en espera de sus comentarios.
Saludos a todos.
ATENTAMENTE
Tirso Hernández
———-
De: Gustavo Rodriguez <rodriguez.gustavo@gmail.com>
Fecha: 15 de enero de 2009 19:15
———-
De: Edson Pizarro C. <proyecto.uap@gmail.com>
Fecha: 16 de enero de 2009 7:36
Estimados
Noto interesante el tema del Analisis de Riesgos, pero como lei en un comentario pocas empresas analizan lo que en verdad quieren proteger, siempre reaccionan tardiamente a soluciones inmediatas (parches) a la seguridad.
Quiza por tema de presupuesto ya que muchas veces es dificil aceptar que el area involucrada en resguardar la informacion no cuenta con los conocimientos adecuados con esto no quiero juzgar a nadie pero la alta gerencia no trata de capacitar al personal que tiene a cargo la labor de resguardar la info.
Los tiempo cambian y no solo es necesario la seguridad Fisico.
saludos
edson
———-
De: Carlos Suarez <csuarez@alpat.com.ar>
Fecha: 16 de enero de 2009 13:09
Estimados, muy bueno el debate.
Me sumo con mi humilde opinión.
El hecho de prevenir una perdida de información/producción o accidente, esta relacionado a la estructura de mantenimiento a mi entender.
Mantenimiento preventivo, para evitar la reparación/Mitigación;
Una vez ocurrido el hecho in fortuito demandaría mantenimiento correctivo.
Siendo este último el de mayor índice de existencia en la mayoría de las empresas.
Si el análisis de riesgo es efectivo se traza un plan de ejecución de mantenimiento preventivo, justamente para evitar el riesgo; esto, bajaría el índice de tareas correctivas que generalmente (pero no siempre) consumen mas recursos y generan una perdida o baja en la línea de producción.
Es por esto a mí entender, el análisis de riesgo, una herramienta muy valorable para toda empresa. Y este a su vez, único según el caso.
No se puede analizar el riesgo de todas las partes funcionales de una empresa, o, mejor dicho, si se puede analizar pero no podemos pretender una efectividad del 100×100 en el análisis, en muchos casos interviene el factor humano (desde siempre imprevisible), también pueden afectar situaciones externas a la empresa.
Como en todos los casos entra en juego el factor costo-beneficio, a veces la medida correctiva es mas “barata” que poner en marcha un plan de: análisis de riesgo + oportunas medidas preventivas.
Un cordial saludo.
Carlos
———-
De: Javier Hernández™ <javier.hernandez.ar@gmail.com>
Fecha: 16 de enero de 2009 13:15
Excelente forma de ver las cosas.
———-
De: Christian B. <christianx@gmail.com>
Fecha: 16 de enero de 2009 20:10
No creo que sea unicamente un tema de costos, muchas empresas tienen
los recursos para mejorar su infraestructura pero lo ven como un
“costo” y no como “inversion”, asi que se deja como esta hasta que es
inevitable que pongan plata por cierta catastrofe. Aparte al ser una
pymes, esos recursos no son taan abundantes asi que si deciden
invertir, lo hacen en otros campos (Como sueldos y bonos! Jjajajja).
Saludos
———-
De: Cristian Borghello | www.segu-info.com.ar <segu.info@gmail.com>
Fecha: 17 de enero de 2009 19:44
Hola,
Muy buen debate. Acaba de salir el Boletin 128 de Segu-Info y en el
mismo se hace un resumen del mismo:
http://www.segu-info.com.ar/boletin/
Quiero aclarar 2 cosas:
- El articulo original de 4 partes pertenece a Adrían Palma de bSecure
y fue publicado en diciembre en nuestro Blog:
http://blog.segu-info.com.ar/2008/12/anlisis-y-evaluacin-de-riesgos-en.html
- En el Boletin se trascribieron partes de la conversación que se
mantuvo aquí. Si se encuentran errores, los mismos me corresponden
Creo q esta metodología de trabajo y posterior publicación podría
emplearse posteriormente para enriquecer los contenidos de cualquier
articulo. Q opinan ?
Saludos
Cristian
———-
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 17 de enero de 2009 20:05
Christian, me alegro que la polémica os haya gustado
Interesante cuestión… Creo que la clave de la pregunta es la omisión (intencionada?) de una palabra. Es necesario siempre realizar un análisis de riesgos FORMAL? No, por supuesto. Todos hacemos análisis de riesgos sin darnos cuenta, continuamente. Si hay muchas personas a punto de morirse, todos somos conscientes de que el activo son las personas, la amenaza la muerte, y el valor final del riesgo es muy alto. Extremo. Y no necesitamos un análisis formal para saber que ese riesgo es el primero que hay que atajar, nuestra propia intuición, sentido común o como queramos llamarlo es quien “hace el trabajo por nosotros”, en lugar de ser nuestra parte más analítica y racional.
En cualquier ámbito de nuestra vida, y la seguridad no es una excepción, funcionan las quick-wins. Acciones “pequeñas”, “baratas” y a menudo sencillas y obvias cuyo efecto es un beneficio grande. Y para aplicarlas no hace falta realizar un análisis de riesgos formal (aunque si lo pensamos bien, para poder valorar ese beneficio hemos tenido que analizar la situación negativa que soluciona, y por lo tanto en mayor o menor medida habremos analizado sus riesgos, aunque sea cualitativamente y en una fracción de segundo).
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
————-
… y mi contestación:
Samuel January 16th, 2009 11:26 am
Totalmente de acuerdo. Has entendido exactamente lo que quería transmitir (y lo que omitía intencionadamente jeje).
Gracias por el comentario Joseba, como siempre.
Gracias a todos por vuestros comentarios!
Un abrazo,
SL
———-
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 12:24
Samuel:
Ahora que se habla de análisis de riesgo FORMAL estoy en un 100% de acuerdo para aplicación en las empresas de menos de 20 equipos, en especial de las de menos de 5 equipos.
Ocurre frecuentemente en nuestra empresa que al realizar un análisis de riesgos inicial nos encontramos con realidades prácticamente similares en un 99% de los casos, motivo por el cual notamos realizamos el mismo proceso una y otra vez obteniendo los mismos resultados.
De la misma manera notamos que las acciones a realizar para asegurar estas microempresas son las mismas ya que ellas tienen todas los mismos problemas básicos.
Voy a dar algunos ejemplos prácticos para microempresas:
En general empiezan teniendo problemas porque los equipos informáticos son adquiridos de distintos comercios y cada comercio configura los equipos de diferente manera, luego llega la hora de los inconvenientes con estos (ya sea de hardware o software) por lo que son atendidos por más de una empresa o particular para solucionar sus problemas. Como se basan en problema-solución, entonces si tienen muchos virus se instalan muchos antivirus (he visto hasta 4 antivirus con monitor funcionando al mismo tiempo).
En la empresa se acostumbran a este tipo de soporte, de manera tal que los equipos nunca están a un 100% de su performance y mucho menos de seguridad. Entonces, salvo que el equipo no funcione se sigue usando. Cuando se llama al servicio informático esperan una respuesta inmediata (que en el 99% de los casos no la tiene porque no existe un compromiso de ninguna de las partes).
Cuando ocurren problemas vinculados con la rotura de algún disco se dan cuenta que la información estaba unicamente en los puestos de trabajo y que nunca se realizó un backup de la información, que todos acceden a la información compartida en todos los puestos con permisos totales (inclusive el malware).
Y así sucesivamente vemos que muchas empresas están en la misma situación y que inclusive pasan por los mismos estados de inseguridad-seguridad a medida que maduran.
Creo que un análisis general de los riesgos de un sector es útil, porque al fin y al cabo, sería útil para que se puedan compartir experiencias generales sobre sectores con problemas similares y permitir asegurar muchas microempresas que no son alcanzadas por las grandes consultoras, pero que no por eso tienen o causan problemas de seguridad a diario.
Saludos
———-
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 17 de enero de 2009 20:05
Interesante cuestión… Creo que la clave de la pregunta es la omisión (intencionada?) de una palabra. Es necesario siempre realizar un análisis de riesgos FORMAL? No, por supuesto. Todos hacemos análisis de riesgos sin darnos cuenta, continuamente. Si hay muchas personas a punto de morirse, todos somos conscientes de que el activo son las personas, la amenaza la muerte, y el valor final del riesgo es muy alto. Extremo. Y no necesitamos un análisis formal para saber que ese riesgo es el primero que hay que atajar, nuestra propia intuición, sentido común o como queramos llamarlo es quien “hace el trabajo por nosotros”, en lugar de ser nuestra parte más analítica y racional.
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
———-
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 12:24
Samuel:
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 13:57
Para: forosi@googlegroups.com
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 13:11
Para: forosi@googlegroups.com
Alvaro:
2009/1/19 Alvaro Vanni <avanni@ama.com.uy>Certificar ISO <-> microempresa… Me parece que estamos hablando de realidades MUY distintas…
Una microempresa, que no solo es pequeña por cantidad de equipos sino por la experiencia en tecnología no puede estar más lejos de lo que es una certificación.
No se está tratando de decir que NO hay que hacer análisis de riesgo, simplemente que no es necesario un análisis de riesgo FORMAL en empresas u organizaciones con características muy similares (en especial empresas muy, pero muy pequeñas). Siendo el objetivo hacer un análisis más general de un sector en particular, haciendo foco en un efecto vacuna, donde lo que se pretende es no perder tiempo en una actividad donde los resultados más importantes ya son sabidos de antemano.
Para una empresa donde deba certificar es indispensable un buen análisis de riesgo a conciencia, eso no es lo que se discute.
Creo yo, que tal cual como insisten Nacho y Samuel con IS2ME que sigue habiendo falta de entendimiento de la mayoría de los profesionales de seguridad informática y las microempresas…
Observación: 175 x $$$ la hora = valor irreal para una microempresa. Obvio que sería mucho menos el tiempo para una microempresa, pero de todas formas si se pretende atacar a ese mercado dudo que se pueda realizar algo de esta manera…
De: Javier Hernández™ <javier.hernandez.ar@gmail.com>
Fecha: 19 de enero de 2009 13:13
———-
De: Mariano Mileti <mariano.mileti@gmail.com>
Fecha: 19 de enero de 2009 17:58
Me detengo 2 minutos en esto último que hace referencia al primer renglón de lo que escribí.
Uno sin hacer un análisis cuando llega a una PYME y ve (al pasar) que de servidor tienen una PC común, no hay estabilizador, el “servidor” es la PC del jefe, el sistema que utilizan esta programado por un pasante de 1er año de la facultad o en algún sistema obsoleto (que anda mal y todo el mundo se queja), la red esta montada sobre cables pasados por el costado de los escritorios (muchas veces junto con la cadena de zapatillas que alimenta varias PC’s), en fin… millones de ítems que a simple vista (sin ser necesario un análisis profundo) llevan a que a uno no le haga falta hacer un “análisis de riesgos” ya que las medidas a tomar en esa situación son standard.
Pero ojo… uno no hizo un análisis profundo, no hace falta si uno ve que la PC de escritorio del jefe es el servidor y que si el sistema que hay en esa PC se compromete la empresa funde (cosa que sucede mas seguido de lo que uno cree), uno YA SABE que es necesario ubicar el sistema en un servidor dedicado el cual TIENE que tener respaldo. Pero al NOTAR eso, uno ya hizo un análisis y evaluó que era la primera acción necesaria.
En resumen…
No es que no sea necesario hacer un análisis de riesgos. Sino que nos alcanza (y muchas veces nos sobra) un diagnostico rapido a la hora de analizar una PYME promedio.
Ya si uno en una primera medida no “nota” los riesgos mas comunes uno realizara uno detallado.
Mariano Mileti
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 19 de enero de 2009 18:11
Para: forosi@googlegroups.com
) y que muy hábilmente intuyó Joseba es FORMAL que, seamos realistas, es a lo que habitualmente llamamos un análisis de riesgos (sin más adjetivos) De: Tirso Hernandez <tirso@netminds.com.mx>
Fecha: 19 de enero de 2009 18:58
Permítanme un comentario, creo que cuando llegas con un cliente y te contrata para que te hagas cargo de la seguridad de su información, lo menos que puedes hacer es cumplir con sus expectativas y ayudarlo de la mejor manera posible.
Estoy de acuerdo en que debemos de ser cada vez más formales en este tipo de actividades, recordemos que como profesionales de la seguridad, debemos de basarnos cada vez más en procesos identificados, mapeados y mejorados, a fin de establecer políticas y procedimientos que aseguren hasta donde sea posible preservar la integridad, confidencialidad y disponibilidad de la información.
Si no hacemos un levantamiento de los riesgos a que está expuesta la información de nuestros clientes ¿cómo lo protegeríamos? ¿o de qué?
Yo creo que este tema es personal de acuerdo a lo que cada uno cree que un profesional de la Seguridad de la Información debe o debería de hacer.
Personalmente realizo el análisis siempre, algunas veces más o menos profundo de acuerdo a las circunstancias, pero siempre lo hago.
Recordemos que hay algunos riesgos que aparentemente están fuera del ámbito informático y que no siempre los tomamos en cuenta, pero que en la realidad amenazan la integridad, confidencialidad o disponibilidad de la información de las organizaciones, y estos también deberían ser evaluados y mitigados por los profesionales de la seguridad.
saludos
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 20:04
———-
De: Ojeda Knapp, Martin <martin.chile@gmail.com>
Fecha: 19 de enero de 2009 19:07
Defínase Riesgo cualquier instancia que pueda afectar la integridad, confidencialidad, disponibilidad de la información la cual esta contenida en diferentes medios incluso en las cabezas de los empleados. Aquí está la gran piedra de tope pasando por este punto ya se puede hablar de análisis de riego.
Para mi primero hay que definir qué información es confidencial y cual es importante para el negocio día a día y que sistemas los soportan ya que proteger toda la información es titánico y poco práctico.
Una vez acotado esto los riesgos se manifiestan solos, una vez identificado buscar las mejores prácticas para mitigarlos.
Información general
La herramienta emplea un enfoque holístico para la medición de su postura de seguridad para temas que abarcan tanto: personas, procesos, y la tecnología. Las conclusiones son, junto con la orientación prescriptiva y recomendación de los esfuerzos de mitigación, incluyendo enlaces con más información para la industria de la orientación adicional. Estos recursos pueden ayudarle a ser consciente del mantenimiento de herramientas y métodos específicos para cambiar la postura de seguridad de su ambiente de TI.
Al cargar sus datos de la solicitud puede recuperar los datos disponibles más recientes. Para poder ofrecer esta información comparativa, tenemos clientes, como el añadir su información. Toda la información es estrictamente confidencial y ninguna información personal será enviado de ninguna manera. Para obtener más información sobre la política de privacidad de Microsoft, por favor visite:
http://www.microsoft.com/info/privacy.mspx.
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 20:51
De: Suscripcioneslistas <suscripcioneslistas@yahoo.com.ar>
Fecha: 20 de enero de 2009 12:10
Carlos
Quieras o no siempre estas haciendo un análisis de riesgo, un “diagnostico” lo que diferencia es el nivel de detalle.
Cuando uno habla de PYME hay millones de cosas que no se aplican a la hora de trabajar, seria absurdo en muchos casos hacer un análisis de riesgo detallado, la mayoría de veces primero que nada seria impagable para una PYME promedio (aunque seria una excelente inversión…. o eso al menos es lo que digo cuando me llaman 
), en un segundo nivel veríamos que el 50% de las soluciones a aplicar al análisis de riesgo son imposibles para una PYME por el costo que conlleva y por ultimo los factores de mayor riesgo se pueden ver sin ser necesario un análisis profundo.
Desde mi humilde punto de vista, un buen análisis de riesgos es aquel que comprende la dirección de la empresa y no el que solo entiende el consultor que realiza la adaptación o el auditor que la visa. Si no lo entiende el dueño del negocio, mal vamos (por mucho que el susodicho análisis de riesgos sea la leche de completo a todos los niveles).
Saludos.
Bea
———
Beatriz ha dado en el clavo, nadie mejor que la dirección para realizar un análisis de riesgos de su empresa. De hecho, y por esto se planteaba este asunto, todos los directivos hacen (al menos los buenos) análisis de riesgos en sus tareas diarias, la clave es que los realizan de forma intuitiva sin utilizar métodos formales. Debido a esto nos planteábamos: ¿merece la pena utilizar las metodologías tradicionales en el entorno pyme?
———
¿Por qué digo que el análisis de riesgos es pura subjetividad?. Por lo siguiente:
Podemos utilizar la metodología y/o aplicación que queramos, más o menos compleja, potente, etc. Al final lo que tenemos que valorar son los siguientes aspectos:
- Valor de nuestros activos
- Impacto de una incidencia en el negocio
- Nivel de amenaza
- Nivel de vulnerabilidad de nuestros sistemas
La valoración de cualquiera de los dos primeros aspectos la deben realizar personas con el suficiente conocimiento de la organización y del entorno empresarial. La valoración de los dos segundos, personas con conocimientos de sistemas y del entorno tecnológico.
La labor del consultor es, apoyándose en una metodología, aportar su conocimiento y experiencia para ayudar a que estas valoraciones se realicen de la forma más correcta posible.
Todo esto no lo acabo de discurrir ahora al hilo de esta discusión, os adjunto una diapositiva de mi charla en sobre Análisis de Riesgos en ENISE I – 2007 donde ya apuntaba este problema.
Saludos
2 Comments » | Posted in Curiosidades, Mercado, Metricas, Normativas, Profesion | del.icio.us |
2 Comments so far
Leave a reply
Últimos "tweets" en InfoSecManBlog
- @sergiogranda As soon as we have good contents to share :) in reply to sergiogranda 4 hrs ago
- Attending the Kickoff meeting of the Spanish Cyber Security Institute. Here we go! 6 hrs ago
- Take a look at this video: Smart Grid, Utilities and Internet Protocols: http://t.co/IO8bVgZJ 6 hrs ago
- More updates...
Powered by Twitter Tools
Últimas entradas
- Resumen Semanal desde Twitter (2012-02-05)
- Resumen Semanal desde Twitter (2012-01-29)
- Resumen Semanal desde Twitter (2012-01-22)
- Resumen Semanal desde Twitter (2012-01-15)
- Resumen Semanal desde Twitter (2012-01-08)
- Resumen Semanal desde Twitter (2012-01-01)
- Resumen Semanal desde Twitter (2011-12-25)
- Resumen Semanal desde Twitter (2011-12-18)
- Primer Curso de Ciberseguridad en Entornos Industriales y Protección de Infraestructuras Críticas
- Resumen Semanal desde Twitter (2011-12-11)
Hola a todos, desde mi muy particular punto de vista..
estamos de acuerdo que el mundo ideal seria que todas las empresas, chicas, medianas, etc, deberian ralizar un Analisis de Riesgos, sin embargo, no todas estan en la disposicion de hacerlo por costo o porque no cuentan con el personal adecuado, sin embargo, esto deberia de iniciar con un analisis de la empresa, es decir, identificar cuales son los procesos de negocio que realmente hacen que la empresa pueda subsistir, una vez esto, identificar los servicios que soportan estos procesos de negocio, y por ultimo, enlistar los activos que soportan estos servicios (gente, tecnologia, procesos, etc.)
esto nos ayudaria a tener un panorama muy amplio de que es lo que tenemos y que es lo que lo esta soportando.
Teniendo esto, podemos definir niveles de riesgo en base a la severidad, probabilidad e importancia.
Cada activo se basa define sus indicadores de riesgo en base a los controles que aplican restando los controles implementados.
Esto nos podria dar un panorama del nivel de riesgo corportivo y relacionado con TI, y los activos que realmente soportan la operacion del negocio.
mitru01@hotmail.com
Sr Webmaster, se ruega sacar las direcciones d email d ecada uno de los comentarios, el tema muy bueno no aportar al SPAM poniendo los mail se ruega eliminar solo las cuentas de correo