Introducción
La
Matriz para el Análisis
de Riesgo,
es producto del proyecto de Seguimiento al “Taller
Centroamericano Ampliando la Libertad de Expresión: Herramientas para la
colaboración, información y comunicación seguras” y fue punto clave en
analizar y determinar los riesgos en el manejo de los datos e información de
las organizaciones sociales participantes. La Matriz, que basé en una hoja de
calculo, no dará un resultado detallado sobre los riesgos y peligros de cada
recurso (elemento de información) de la institución, sino una mirada aproximada
y generalizada de estos.
Hay
que tomar en cuenta que el análisis de riesgo detallado, es un trabajo muy
extenso y consumidor de tiempo, porque requiere que se compruebe todos los
posibles daños de cada recurso de una institución contra todas las posibles
amenazas, es decir terminaríamos con un sinnúmero de grafos de riesgo que
deberíamos analizar y clasificar. Por otro lado, hay que reconocer que la
mayoría de las organizaciones sociales centroamericanas (el grupo meta del
proyecto), ni cuentan con personal técnico específico para los equipos de
computación, ni con recursos económicos o mucho tiempo para dedicarse o
preocuparse por la seguridad de la información que manejan y en muchas
ocasiones tampoco por la formación adecuada de sus funcionarios en el manejo de
las herramientas informáticas.
Entonces
lo que se pretende con el enfoque de la Matriz es localizar y visualizar los
recursos de una organización, que están más en peligro de sufrir un daño por
algún impacto negativo, para posteriormente ser capaz de tomar las decisiones y
medidas adecuadas para la superación de las vulnerabilidades y la reducción de
las amenazas.
Descargar la Matriz
El
formato (vacío) de la Matriz en versión OpenOffice y Microsoft Excel, más
algunos documentos de apoyo, se puede obtener en la sección Descargas.
Fundamento de la Matriz
La
Matriz la basé en el método de Análisis de Riesgo con un grafo de riesgo,
usando la formula Riesgo
= Probabilidad de Amenaza x Magnitud de Daño
La
Probabilidad de Amenaza y Magnitud de Daño
pueden tomar los valores y condiciones respectivamente
- 1
= Insignificante
(incluido Ninguna)
- 2
= Baja
- 3
= Mediana
- 4
= Alta
El
Riesgo, que es el producto de la multiplicación Probabilidad de Amenaza por
Magnitud de Daño, está agrupado en tres rangos, y para su mejor visualización,
se aplica diferentes colores.
- Bajo
Riesgo
= 1 – 6 (verde)
- Medio
Riesgo
= 8 – 9 (amarillo)
- Alto
Riesgo
= 12 – 16 (rojo)
Uso de la Matriz
La
Matriz verdadera la basé en un archivo con varias hojas de calculo que superan
el tamaño de una simple pantalla de un monitor. Entonces por razones
demostrativas, en las siguientes imágenes solo se muestra una fracción de ella.
La
Matriz contiene una colección de diferentes Amenazas (campos verdes) y Elementos
de información
(campos rojos). Para llenar la Matriz, tenemos que estimar los valores de la
Probabilidad de Amenaza (campos azules) por cada Amenaza y la Magnitud de Daño
(campos amarillas) por cada Elemento de Información.
Para
la estimación de la Probabilidad de amenazas, se trabaja con un valor
generalizado, que (solamente) está relacionado con el recurso más vulnerable de
los elementos de información, sin embargo usado para todos los elementos. Si
por ejemplo existe una gran probabilidad de que nos pueden robar documentos y
equipos en la oficina, porque ya entraron varias veces y no contamos todavía
con una buena vigilancia nocturna de la oficina, no se distingue en este
momento entre la probabilidad si robarán una portátil, que está en la oficina
(con gran probabilidad se van a llevarla), o si robarán un documento que está
encerrado en una caja fuerte escondido (es menos probable que se van a llevar
este documento).
Este
proceder obviamente introduce algunos resultados falsos respecto al grado de
riesgo (algunos riesgos saldrán demasiado altos), algo que posteriormente
tendremos que corregirlo. Sin embargo, excluir algunos resultados falsos
todavía es mucho más rápido y barato, que hacer un análisis de riesgo
detallado, sobre todo cuando el enfoque solo es combatir los riesgos más
graves.
En
el caso de que se determine los valores para la Probabilidad de Amenaza y
Magnitud de Daño a través de un proceso participativo de trabajo en grupo
(grande), se recomienda primero llenar los fichas de apoyo (disponible en Descargas) para los Elementos
de Información y Probabilidad de Amenaza, y una vez consolidado los datos,
llenar la matriz.
Dependiendo
de los valores de la Probabilidad de Amenaza y la Magnitud de Daño, la Matriz
calcula el producto de ambos variables y visualiza el grado de riesgo.
Dependiendo
del color de cada celda, podemos sacar conclusiones no solo sobre el nivel de
riesgo que corre cada elemento de información de sufrir un daño significativo,
causado por una amenaza, sino también sobre las medidas de protección
necesarias
- Proteger
los datos de RR.HH, Finanzas contra virus
- Proteger
los datos de Finanzas y el Coordinador contra robo
- Evitar
que se compartan las contraseñas de los portátiles
- Etc,
etc
También,
como se mencionó anteriormente, existen combinaciones que no necesariamente
tienen mucho sentido y por tanto no se las considera para definir medidas de
protección
- Proteger
el Personal (Coordinador y Personal técnico) contra Virus de computación
- Evitar
la falta de corriente para el Coordinador
- Etc,
etc
Elementos de la Matriz
La
Matriz la basé en una hoja de calculo. Existe la versión en OpenOffice y
Microsoft PowerPoint y se recomienda usar el formato que corresponde con el
sistema operativo donde se la usa, debido a algunos problemas de compatibilidad
entre ambos formatos.
La
Matriz está compuesto por 6 hojas
- 1_Datos: Es la hoja
para valorar el riesgo para los Elementos de Información “Datos e
Informaciones”, llenando los campos “Magnitud de Daño” y “Probabilidad de
Amenaza” conforme a sus valores estimados (solo están permitidos valores
entre 1 y 4). Los valores de Probabilidad de Amenaza solo se aplica en
está hoja, porque las demás hojas, hacen referencia a estos. Los tres
campos de “Clasificación” (Confidencial…, Obligación
por ley…, Costo de recuperación…) no tienen ningún efecto sobre el
resultado de riesgo y no necesariamente tiene que ser llenados. Sin
embargo pueden ser usados como campos de apoyo, para justificar o subrayar
el valor de Magnitud de Daño estimado. En caso de usarlo, hay que marcar
los campos respectivos con una “x” (cualquier combinación de los campos
está permitido, todos marcados, todos vacíos etc.).
- 2_Sistemas: Es la hoja
para valorar el riesgo para los Elementos de Información “Sistemas e Infraestructura”.
Hay que llenar solo los valores de Magnitud de Daño, debido a que los
valores de Probabilidad de Amenaza están copiados automáticamente desde la
hoja “1_Datos”. Igual como en “1_Datos”, los tres campos de
“Clasificación” (Acceso exclusivo, Acceso ilimitado, Costo de
recuperación…) otra vez no tienen ningún efecto sobre el resultado de
riesgo y solo sirven como campo de apoyo.
- 3_Personal: Es la hoja
para valorar el riesgo para los Elementos de Información “Personal”. Igual
como en “2_Sistemas”, solo hay que llenar los valores de Magnitud de Daño.
Otra vez, los tres campos de “Clasificación” (Imagen pública…, Perfil
medio…, Perfil bajo…) solo sirven como campo de apoyo.
- Análisis_Promedio: Esta hoja
muestra el promedio aritmético de los diferentes riesgos, en relación con
los diferentes grupos de amenazas y daños. La idea de esta hoja es
ilustrar, en que grupo (combinación de Probabilidad de Amenaza y Magnitud
de Daño) hay mayor o menor peligro. No hay nada que llenar en esta hoja.
- Análisis_Factores: Esta hoja
tiene el mismo propósito como la hoja “Análisis_Promedio”, con la
diferencia que esta vez el promedio aritmético de los grupos está mostrado
en un grafo, dependiendo de la Probabilidad de Amenaza y Magnitud de Daño.
La linea amarilla muestra el traspaso de la zona Bajo Riesgo a Mediano
Riesgo y la linea roja, el traspaso de Mediano riesgo a Alto Riesgo. La
idea de esta hoja es ilustrar el nivel de peligro por grupo y la
influencia de cada factor (Probabilidad de amenaza, Magnitud de Daño).
- Fuente: Esta hoja se
usa solo para la definición de algunos valores generales de la matriz.
Adaptación de la Matriz a las necesidades
individuales
La
Matriz trabaja con una colección de diferentes Amenazas y Elementos de
información. Ambas colecciones solo representan una aproximación a la situación
común de una organización, pero no necesariamente reflejan la realidad de una
organización especifica. Entonces si hay necesidad de adaptar la Matriz a la
situación real de una organización, solo hay que ajustar los valores de las Amenazas en la hoja “1_Datos” (solo en esta) y los Elementos de información en su hoja
correspondiente. Pero ojo, si hay que insertar, quitar filas o
columnas, se recomienda hacerlo con mucho cuidado, debido a que se corre el
peligro de introducir errores en la presentación y el calculo de los
resultados.
No hay comentarios.:
Publicar un comentario