Gestión estratégica de seguridad en la empresa - Anetcom

32
les (ISO, NIST, etc.), así como en el desarrollo de numerosas metodologías y
herramientas que los implementan (MAGERIT, CRAMM, Octave, etc.)
El proceso de análisis y gestión de riesgo propuesto por estos estándares puede
resumirse en los siguientes pasos:
• Establecimiento del alcance del análisis, identificando los activos de
información que deban ser contemplados.
• Identificación de los riesgos. Identificación de las vulnerabilidades y
amenazas a las que están sujetos los activos de información comprendidos
en el alcance.
• Análisis de los riesgos. Valoración de los riesgos identificados, en función
de su probabilidad de ocurrencia e impacto asociado.
• Evaluación de los riesgos. A partir del análisis de riesgo, la organización
procede a evaluar los mismos y decidir si son asumibles o no. En caso de
no serlos, se procederá a tratar los mismos.
• Tratamiento de los riesgos. Despliegue de controles y contramedidas de
seguridad que mitiguen los riesgos.
2.2.1. Identificación de activos: el corazón del negocio
El objetivo de toda Estrategia de Seguridad de la Información es proteger los
activos de información de la organización. Y la razón para ello es la dependencia
entre los servicios y procesos de negocio de una organización y
dichos activos.
Hoy por hoy, cualquier actividad, servicio o proceso de negocio desarrollado
por una organización depende, en mayor o menor medida, de la información
y los medios empleados para su procesamiento, almacenamiento o trasmisión.
Cualquier disrupción en estos últimos supone un impacto en las actividades
de la organización.
Como se ha comentado con anterioridad, el modelo de análisis y gestión de
riesgos persigue identificar los riesgos a los que se encuentran sometidos los