METODOLOGIA DE ADMINISTRACION DE RIESGOS NIST SP 800-30

MAYTÉ PATRICIA ARIAS GONZÁLEZ
MAURICIO LLANOS GÓMEZ

UNIVERSIDAD CATOLICA DE COLOMBIA
FACULTAD DE INGENIERIA
GESTION DE RIESGOS Y CONTROLES INFORMÁTICOS
BOGOTÁ
2012
CONTENIDO

INTRODUCCIÓN 3
METODOLOGIA DE ANALISIS DE RIESGOS NIST SP 800-30 4
1. Origen 4
2. Objetivos 4
3. Estructura y Aplicación de la Metodología NIST SP 800-30 4
3.1 Evaluación del riesgo 5
Paso 1: Caracterización del sistema 7
Paso 2: Identificación de amenazas 8
Paso 3: Identificación de vulnerabilidades: 10
Paso 4: Análisis de control 12
Paso 5: Cálculo de probabilidad 18
Paso 6: Análisis de impacto 19
Paso 7: Determinación del riesgo 21
Paso 8: …ver más…

Esta metodología se basa en un proceso de tres pasos: Evaluación del riesgo, Mitigación; y Análisis y Evaluación.

3.1 Evaluación del riesgo

Las organizaciones utilizan la evaluación de riesgo para determinar el grado de impacto de una potencial amenaza y el riesgo asociado con un sistema de información. El resultado de este proceso ayuda a identificar controles apropiados para mitigar el riesgo.

Para determinar la probabilidad de un evento adverso, las amenazas deben ser analizadas junto con las vulnerabilidades potenciales y los controles implantados en el sistema de información. El impacto se refiere a la magnitud del daño que puede causar la ejecución de una amenaza sobre una vulnerabilidad. El nivel de impacto está regido por el impacto potencial sobre los objetivos de la organización y sobre el valor de los activos y recursos del sistema de información afectados.

La metodología NIST SP 800 30 puede ser aplicada a la evaluación de sistemas individuales ó interrelacionados.

La metodología de evaluación de riesgos comprende nueve (9) pasos:

1. Caracterización de Sistema,
2. Identificación de Amenazas,
3. Identificación de Vulnerabilidades,
4. Análisis de Control,
5. Calculo de Probabilidad,
6. Análisis del Impacto,
7. Determinación del Riesgo,
8. Recomendaciones de Control,
9. Documentación de Resultados.

Figura 1. Flujo de Evaluación de Riesgos.