ANÁLISIS
DE
RIESGOS
Esta foto de Autor desconocido está bajo licencia CC BY-NC
1
DEFINICIONES
• ANÁLISIS DE RIESGOS :
es un proceso para identificar valores de activos, amenazas y
vulnerabilidades para constatar riesgos
• RIESGO :
es la posibilidad de perdida o daño a un activo ,tal como un edificio o
empleados. se mide con base en relación con las amenazas y
vulnerabilidades que se relacionan con este.
El riesgo se basa en la posibilidad o probabilidad de incidencia de la
amenaza o peligro y las consecuencias o gravedad del incidente que
resulte
2
DEFINICIONES (2)
• EVALUACIÓN DE RIESGOS :
Analiza los valores de activos, las amenazas, su probabilidad asociada de
incidencia ,consecuencias de que la amenaza se lleve a cabo y
vulnerabilidades de los activos para constatar el nivel de cada activo contra
cada amenaza que se aplique.
• PROBABILIDAD :
Es una medida (que se expresa en porcentaje o proporción) de la cantidad de
resultados en un conjunto exhaustivo de posibles e iguales resultados que
producen un evento dado en un número de posibles resultados.
3
DEFINICIONES (3)
• VULNERABILIDAD:
cualquier debilidad que un agresor puede aprovechar
• EXPECTATIVA DE PÉRDIDA ANUAL (ALE):
ALE=Probabilidad de amenaza X el valor de pérdida potencial.
• EVALUACIÓN CUANTITATIVA DE RIESGO:
Es el enfoque más utilizado en el análisis de riesgo. No requiere
información de probabilidad vigente y se utiliza únicamente el impacto o la
estimación de pérdida potencial.
EVALUACION CUALITATIVA DE RIESGO
El enfoque cualitativo del Análisis de Riesgo el cual asigna un valor
relativo a los activos a proteger con base en su costo de reemplazo,
criticidad o impacto en la recuperación de la empresa. se recomienda
realizar esta labor por lo menos una vez al año
4
DEFINICIONES (4)
• METODOLOGÍA DE EVALUACIÓN DE RIESGO (RAM-RISK
ASSESSENT METHODOLOGY) Es un enfoque "en base a
consecuencia" que hace énfasis en la evaluación de la efectividad de
un sistema de seguridad de protección. (Sandia Corporation).
• ACTIVO: es el valor tanto económico como estratégico para la
continuidad del negocio
• PELIGRO: Es la fuente de daño potencial o condición adversa. Por lo
general los peligros se asocian con la naturaleza.
5
DEFINICIONES (5)
• AMENAZA:
es el intento de daño o lesión , indicación de
algo inminente , se asocian generalmente con
las personas.
• PERFIL DE EVENTO DE PÉRDIDA:
Es la lista de las clases de amenazas que
afectan los activos que se protegen.
6
CONCEPTOS CLAVES
• CLASIFICACIÓN DE RIESGO DE SEGURIDAD
– clasificación del valor del activo x clasificación
de la amenaza x clasificación de la gravedad
del incidente x clasificación de vulnerabilidad
• ADMINISTRACIÓN DE RIESGOS
– son las medidas y defensas para mitigar las
amenazas y reducir las vulnerabilidades ,
incluyendo el análisis de costo / beneficio.
7
BENEFICIOS DEL ANÁLISIS DE RIESGOS
• Destaca las aéreas en que se necesita mas o menos
seguridad , permite justificar inversiones económicas ,
aumenta la información de la empresa a nivel
corporativo.
8
NATURALEZA DE LA
AMENAZA
• Crímenes
• Eventos no criminales , incidentes
causados por el hombre o desastres
naturales
– desastres naturales
– causados por el hombre
• Aquellos que la afectan la imagen de la
empresa
9
FUENTES DE DATOS DE EVENTOS
CRIMINALES
• Estadísticas de la policía
• Informes policiacos de crímenes
• Registros internos de la empresa de Actividades
criminales
• Condiciones demográficas y sociales
• Quejas criminales o civiles
• Inteligencia de las agencias de orden Publico
• Asociaciones de seguridad
10
EVENTOS RESULTANTES
• El evento resultante derivado de la mala
relación entre dos organizaciones y que
genera perdida económica o de
reputación
11
CONDICIONES QUE AFECTAN
LA PROBABILIDAD
• AMBIENTE FISICO
• ENTORNO SOCIAL
• AMBIENTE POLITICO
• EXPERIENCIA HISTORICA
• PROCEDIMIENTOS Y PROCESOS
• CRIMINALIDAD
12
METODO CARVER
• Es un método desarrollado por el ejercito
como técnica para determinar objetivos
probables de ataque
– CRITICIDAD
– ACCESIBILIDAD
– RECUPERACION
– VULNERABILIDAD
– EFECTOS
– RECONOCIMIENTO
13
FACTORES DE
VULNERABILIDAD
• FALTA DE REDUNDANCIA
• PUNTO UNICO DE FALLA
• CAPACIDAD DE RESPUESTA INADECUADA
• FACILIDAD PARA INGRESO DEL AGRESOR
• CARENCIA DE IMPLEMENTACION DE MEDIDAS DE
SEGURIDAD
• PRESENCIA DE MATERIALES PELIGROSOS
• POSIBILIDAD DE DAÑO COLATERAL DE OTRAS
EMPRESAS
14
CLASIFICACION DE VULNERABILIDADES
SEGUN FEMA (Administración Federal de Emergencias)
• MUY ALTO
– identificación de una o varias debilidades principales
que hace al activo extremadamente susceptible
• ALTO
– identificación de una o varias debilidades principales
que hace al activo altamente susceptible
• ALTO MEDIANO
– identificación de una debilidad importante que hace al
activo susceptible
• MEDIANO
– identificación de una debilidad que hace que el activo
sea bastante susceptible
15
CLASIFICACION DE VULNERABILIDADES
SEGUN FEMA (Administracion Federal de emergencias) (2)
• BAJO MEDIANO
– identificación de una debilidad que hace que
el activo sea de cierta forma susceptible
• BAJO
– identificación de una debilidad menor que
aumenta levemente la susceptibilidad del
activo
• MUY BAJO
– no existen debilidades
16
DIAGRAMA DE SECUENCIA DEL
ADVERSARIO
• Es una herramienta útil que ayuda a los
profesionales a determinar el tiempo que
requiere un adversario para infringir su
seguridad
17
MODERACION DEL RIESGO
• Es una metodología sistemática que utiliza la alta gerencia para reducir riesgos
operativos en general
– SUPOSICION DEL RIESGO
• aceptar el riesgo potencial y continuar las operaciones en su estado
actual o implementar medidas para reducir el riesgo a un nivel
aceptable (no tiene costo )
– PREVENCION DEL RIESGO
• prevenir el riesgo eliminando su causa o consecuencia (tiene costo )
– LIMITACION DEL RIESGO
• implementar controles que minimicen el impacto adverso de la
ejecución de una vulnerabilidad de amenaza (tiene costo)
– TRANSFERENCIA DEL RIESGO
• utilizar otras opciones para compensar la perdida ej : seguros
– FORTALECIMIENTO DEL LUGAR
• fortalecer el lugar en contra de tantas amenazas como sea posible(
costo alto )
– DISPERSION DEL RIESGO
• distribuir los procesos de manera que disminuya su concentración
18
ANALISIS DE COSTO / BENEFICIO
• Busca evaluar los costos de
implementación de un programa de
seguridad y sopesar esos costos contra el
impacto de la perdida , financiera o de otra
clase
19
OTROS METODOS DE ANALISIS DE RIESGO
• VSAT vulnerability self assestment tool
– Es el acrónimo para la herramienta de manejo de la
vulnerabilidad de un adversario especifico
• IDENTIFICAR ACTIVOS
• IDENTIFICAR LAS AMENAZAS
• DETERMINAR CRITICIDAD
• IDENTIFICAR LAS MEDIDAS CONTRAEXISTENTES
• DETERMINAR EL NIVEL DE RIESGO
• DETERMINAR LA PROBABILIDAD DE FALLLA
• ASIGNAR VULNERAVILIDAD
• DETERMINAR SI EL RIESGO ES ACEPTABLE
• DESARROLAR NUEVAS CONTRAMEDIDAS
• HACER UN ANALISIS DE COSTO BENEFICIO
• DESARROLLO DEL PLAN DE CONTINUIDAD DE
NEGOCIO 20
MANEJO DE RIESGO OPERACIONAL
ROM
• Es una herramienta para determinar los riesgos
operacionales y los beneficios para determinar el mejor
curso de acción para una situación especifica
– Identificar los peligros
– Manejo del riesgo
– Analizar las medidas de control del riesgo
– Hacer control de decisiones
– Implementar control de riesgo
– Supervisión y revisión
21
MATRIZ DE DECISION
• Establece una relación entre la frecuencia
y la severidad de perdida, calificando la
severidad y la frecuencia como alto,
medio y bajo en sus respectivos ejes
22
ANALISI COSTO / BENEFICIO CRITERIOS
BASICOS
• COSTOS
– Considerar al menos 3 aspectos
• Costo de Adquisición
• Costos Vida Útil del Sistema
• Costo del Remplazo
• CONFIABILIDAD
– Especialmente critica con sistemas de Hardware y
aparatos electrónicos
• DEMORA
– Tiempo a considerar en la solución de una medida de
seguridad. 23
CONTRAMEDIDAS DE SEGURIDAD
• Desde el punto de vista de costos se
recomienda implementar las medidas de
seguridad de menor costo y escalar a las
medidas de seguridad de mayor costo.
(Priorizar Medidas de menor a mayor
costo)
24
BIBLIOGRAFIA
• Manual de seguridad física de la American
Society For industrial security ASIS
• Grupo de estudio de BP para examen PSP.
25
