Source: http://docplayer.es/714963-I-metodo-magerit-version-2-metodologia-de-analisis-y-gestion-de-riesgos-de-los-sistemas-de-informacion-ministerio-de-administraciones-publicas.html
Timestamp: 2018-06-19 09:30:33+00:00

Document:
I - Método. MAGERIT versión 2 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información MINISTERIO DE ADMINISTRACIONES PÚBLICAS - PDF
Download "I - Método. MAGERIT versión 2 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información MINISTERIO DE ADMINISTRACIONES PÚBLICAS"
Mario Aranda Robles
1 MINISTERIO DE ADMINISTRACIONES PÚBLICAS MAGERIT versión 2 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información I - Método MINISTERIO DE ADMINISTRACIONES PÚBLICAS Madrid, 20 de junio de 2006 (v 1.1) NIPO: X Catálogo general de publicaciones oficiales
3 Índice 1. Introducción a Magerit Objetivos de Magerit Introducción al análisis y gestión de riesgos El análisis y gestión de riesgos en su contexto Concienciación y formación Incidencias y recuperación Organización de las guías Modo de empleo El catálogo de elementos La guía de técnicas Para los que han trabajado con Magerit v Evaluación, certificación, auditoría y acreditación Cuándo procede analizar y gestionar los riesgos? Realización del análisis y de la gestión Análisis de Riesgos Paso 1: Activos Paso 2: Amenazas Paso 4: Determinación del impacto Paso 5: Determinación del riesgo Paso 3: Salvaguardas Revisión del paso 4: impacto residual Revisión del paso 5: riesgo residual Gestión de Riesgos La interpretación de los valores de impacto y riesgo residuales Selección de salvaguardas Pérdidas y ganancias La actitud de la Dirección Revisión del paso 1: activos Estructuración del proyecto Participantes Desarrollo del proyecto Visión global Proceso P1: Planificación Actividad A1.1: Estudio de oportunidad Actividad A1.2: Determinación del alcance del proyecto Actividad A1.3: Planificación del proyecto Actividad A1.4: Lanzamiento del proyecto Síntesis del proceso P Lista de control del proceso P Proceso P2: Análisis de riesgos Actividad A2.1: Caracterización de los activos Actividad A2.2: Caracterización de las amenazas Actividad A2.3: Caracterización de las salvaguardas Actividad A2.4: Estimación del estado de riesgo Síntesis del proceso P Lista de control del proceso P Proceso P3: Gestión de riesgos Actividad A3.1: Toma de decisiones Actividad A3.2: Elaboración del plan seguridad de la información Actividad A3.3: Ejecución del plan Síntesis del proceso P Lista de control del proceso P Desarrollo de sistemas de información Inicialización de los procesos...80 Ministerio de Administraciones Públicas página 3 (de 154)
4 4.2. Ciclo de vida de las aplicaciones Plan de sistemas Análisis de riesgos Gestión de riesgos MÉTRICA versión SPD Seguridad del proceso de desarrollo SSI Seguridad del sistema de información Referencias Consejos prácticos Para identificar activos Para descubrir y modelar las dependencias entre activos Para valorar activos Para identificar amenazas Para valorar amenazas Para seleccionar salvaguardas Aproximaciones sucesivas Protección básica Referencias Apéndice 1. Glosario Términos en español Términos anglosajones ISO/IEC Guide 73: Referencias Apéndice 2. Referencias Apéndice 3. Marco legal Procedimiento administrativo Protección de datos de carácter personal Firma electrónica Información clasificada Seguridad de las redes y de la información Apéndice 4. Marco de evaluación y certificación Sistemas de gestión de la seguridad de la información (SGSI) La certificación La acreditación de la entidad certificadora Terminología Referencias Criterios comunes de evaluación (CC) Beneficiarios Requisitos de seguridad Creación de perfiles de protección Uso de productos certificados Terminología Referencias Apéndice 5. Herramientas PILAR Referencias Apéndice 6. Evolución de Magerit versión Libro I. Guía de aproximación a la seguridad de los sistemas de información Libro II. Guía de procedimientos Libro III. Guía de técnicas Libro IV. Guía para desarrolladores de aplicaciones Libro V. Guía para responsables del dominio protegible Libro VI. Arquitectura de la información y especificaciones de la interfaz para el intercambio de datos Libro VII. Referencia de normas legales y técnicas Ministerio de Administraciones Públicas página 4 (de 154)
5 Apéndice 7. Caso práctico La historia Proceso P2: Análisis de riesgos Tarea T Identificación de activos Tarea T2.1.2: Dependencias Tarea T2.1.3: Valoración Actividad A2.2: Caracterización de las amenazas Actividad A2.4: Estimación de impacto y riesgo Actividad A2.3: Caracterización de las salvaguardas Actividad A2.4: Estimación del estado de riesgo Proceso P3: Gestión de riesgos Actividad A3.1: Toma de decisiones Actividad A3.2: Plan de seguridad Evolución de los indicadores de impacto y riesgo Calificación según los Criterios de Seguridad del CSAE Calificación según la norma ISO/IEC 17799: Ministerio de Administraciones Públicas página 5 (de 154)
6 Introducción 1. Introducción a Magerit El CSAE 1 ha elaborado y promueve Magerit 2 como respuesta a la percepción de que la Administración (y en general toda la sociedad) depende de forma creciente de las tecnologías de la información para la consecución de sus objetivos de servicio. La razón de ser de Magerit está directamente relacionada con la generalización del uso de los medios electrónicos, informáticos y telemáticos, que supone unos beneficios evidentes para los ciudadanos; pero también da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que generen confianza en el uso de tales medios. En el periodo transcurrido desde la publicación de la primera versión de Magerit (1997) hasta la fecha, el análisis de riesgos se ha venido consolidando como paso necesario para la gestión de la seguridad. Así se recoge claramente en las Guías de la OCDE 3 que, en su principio 6 dicen: 6) Evaluación del riesgo. Los participantes deben llevar a cabo evaluaciones de riesgo. Esta metodología interesa a todos aquellos que trabajan con información mecanizada y los sistemas informáticos que la tratan. Si dicha información o los servicios que se prestan gracias a ella son valiosos, esta metodología les permitirá saber cuánto de este valor está en juego y les ayudará a protegerlo. Conocer el riesgo al que están sometidos los elementos de trabajo es, simplemente, imprescindible para poder gestionarlos y por ello han aparecido multitud de guías informales, aproximaciones metódicas y herramientas de soporte todas las cuales buscan objetivar el análisis para saber cuán seguros (o inseguros) están y no llamarse a engaño. El gran reto de todas estas aproximaciones es la complejidad del problema al que se enfrentan; complejidad en el sentido de que hay muchos elementos que considerar y que, si no se es riguroso, las conclusiones serán de poco fiar. Es por ello que se persigue una aproximación metódica que no deje lugar a la improvisación, ni dependa de la arbitrariedad del analista. Pese a que se ha puesto en manos de los sistemas de información graves responsabilidades para cumplir los objetivos de las organizaciones, no deja de ser un tema recurrente la inquietud por su seguridad. Los afectados, que frecuentemente no son técnicos, se preguntan si estos sistemas merecen su confianza, confianza que se ve mermada por cada fallo y, sobre todo, cuando la inversión en defensa de los medios de trabajo no se traduce en la ausencia de fallos. Lo ideal es que los sistemas no fallen. Pero lo cierto que se acepta convivir con sistemas que fallan. El asunto no es tanto la ausencia de incidentes como la confianza en que están bajo control: se sabe qué puede pasar y se sabe qué hacer cuando pasa. El temor a lo desconocido es el principal origen de la desconfianza y, en consecuencia, aquí se busca conocer para confiar: conocer los riesgos para poder afrontarlos y controlarlos Objetivos de Magerit Magerit persigue los siguientes objetivos: Directos: 1. concienciar a los responsables de los sistemas de información de la existencia de riesgos y de la necesidad de atajarlos a tiempo 2. ofrecer un método sistemático para analizar tales riesgos 3. ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos bajo control 1 CSAE: Consejo Superior de Administración Electrónica. 2 MAGERIT: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información 3 Guías de la OCDE para la seguridad de los sistemas de información y redes. Hacia una cultura de seguridad Ministerio de Administraciones Públicas página 6 (de 154)
7 Indirectos: Introducción 4. preparar a la Organización para procesos de evaluación, auditoría, certificación o acreditación, según corresponda en cada caso También se ha buscado la uniformidad de los informes que recogen los hallazgos y las conclusiones de un proyecto de análisis y gestión de riesgos: Modelo de valor Caracterización del valor que representan los activos para la Organización así como de las dependencias entre los diferentes activos. Mapa de riesgos Relación de las amenazas a que están expuestos los activos. Evaluación de salvaguardas Evaluación de la eficacia de las salvaguardas existentes en relación al riesgo que afrontan. Estado de riesgo Caracterización de los activos por su riesgo residual; es decir, por lo que puede pasar tomando en consideración las salvaguardas desplegadas. Informe de insuficiencias Ausencia o debilidad de las salvaguardas que aparecen como oportunas para reducir los riesgos sobre el sistema. Plan de seguridad Conjunto de programas de seguridad que permiten materializar las decisiones de gestión de riesgos 1.2. Introducción al análisis y gestión de riesgos Seguridad es la capacidad de las redes o de los sistemas de información para resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles. El objetivo a proteger es la misión de la Organización, teniendo en cuenta las diferentes dimensiones de la seguridad: Disponibilidad: o disposición de los servicios a ser usados cuando sea necesario. La carencia de disponibilidad supone una interrupción del servicio. La disponibilidad afecta directamente a la productividad de las organizaciones. Integridad: o mantenimiento de las características de completitud y corrección de los datos. Contra la integridad, la información puede aparecer manipulada, corrupta o incompleta. La integridad afecta directamente al correcto desempeño de las funciones de una Organización. Confidencialidad: o que la información llegue solamente a las personas autorizadas. Contra la confidencialidad o secreto pueden darse fugas y filtraciones de información, así como accesos no autorizados. La confidencialidad es una propiedad de difícil recuperación, pudiendo minar la confianza de los demás en la organización que no es diligente en el mantenimiento del secreto, y pudiendo suponer el incumplimiento de leyes y compromisos contractuales relativos a la custodia de los datos. Autenticidad (de quién hace uso de los datos o servicios): o que no haya duda de quién se hace responsable de una información o prestación de un servicio, tanto a fin de confiar en él como de poder perseguir posteriormente los incumplimientos o errores. Contra la autenticidad se dan suplantaciones y engaños que buscan rea- Ministerio de Administraciones Públicas página 7 (de 154)
8 Introducción lizar un fraude. La autenticidad es la base para poder luchar contra el repudio y, como tal, fundamenta el comercio electrónico o la administración electrónica, permitiendo confiar sin papeles ni presencia física. Todas estas características pueden ser requeridas o no dependiendo de cada caso. Cuando se requieren, no es evidente que se disfruten sin más. Lo habitual que haya que poner medios y esfuerzo para conseguirlas. A racionalizar este esfuerzo se dedican las metodologías de análisis y gestión de riesgos que comienzan con una definición: Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la Organización. El riesgo indica lo que le podría pasar a los activos si no se protegieran adecuadamente. Es importante saber qué características son de interés en cada activo, así como saber en qué medida estas características están en peligro, es decir, analizar el sistema: Análisis de riesgos: proceso sistemático para estimar la magnitud de los riesgos a que está expuesta una Organización. Sabiendo lo que podría pasar, hay que tomar decisiones: Gestión de riesgos: selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados. Nótese que una opción legítima es aceptar el riesgo. Es frecuente oír que la seguridad absoluta no existe; en efecto, siempre hay que aceptar un riesgo que, eso sí, debe ser conocido y sometido al umbral de calidad que se requiere del servicio. Como todo esto es muy delicado, no es meramente técnico, e incluye la decisión de aceptar un cierto nivel de riesgo, deviene imprescindible saber en qué condiciones se trabaja y así poder ajustar la confianza que merece el sistema. Para ello qué mejor que una aproximación metódica que permita tomar decisiones con fundamento y explicar racionalmente las decisiones tomadas El análisis y gestión de riesgos en su contexto Las tareas de análisis y gestión de riesgos no son un fin en sí mismas sino que se encajan en la actividad continua de gestión de la seguridad. El análisis de riesgos permite determinar cómo es, cuánto vale y cómo de protegidos se encuentran los activos. En coordinación con los objetivos, estrategia y política de la Organización, las actividades de gestión de riesgos permiten elaborar un plan de seguridad que, implantado y operado, satisfaga los objetivos propuestos con el nivel de riesgo que se acepta la análisis y gestión Dirección. de de riesgos objetivos, estrategia y política La implantación de los controles de seguridad requiere una organización gestionada y la participación informada de todo el personal que trabaja con organización el sistema de información. Es este planificación personal el responsable de la operación diaria, de la reacción ante incidencias y de la monitorización en ge- salvaguardas concienciación neral del sistema para determinar si y formación satisface con eficacia y eficiencia los implantación de de objetivos propuestos. gestión de de config. Este esquema de trabajo debe ser repetitivo pues los sistemas de informa- recuperación ción rara vez son inmutables; más y cambios incidencias y Ministerio de Administraciones Públicas página 8 (de 154)
9 Introducción bien se encuentran sometidos a evolución continua tanto propia (nuevos activos) como del entorno (nuevas amenazas), lo que exige una revisión periódica en la que se aprende de la experiencia y se adapta al nuevo contexto. El análisis de riesgos proporciona un modelo del sistema en términos de activos, amenazas y salvaguardas, y es la piedra angular para controlar todas las actividades con fundamento. La gestión de riesgos es la estructuración de las acciones de seguridad para satisfacer las necesidades detectadas por el análisis Concienciación y formación El mejor plan de seguridad se vería seriamente hipotecado sin una colaboración activa de las personas involucradas en el sistema de información, especialmente si la actitud es negativa, contraria o de luchar contra las medidas de seguridad. Es por ello que se requiere la creación de una cultura de seguridad que, emanando de la alta dirección, conciencie a todos los involucrados de su necesidad y pertinencia. Son dos los pilares fundamentales para la creación de esta cultura: una política de seguridad corporativa que se entienda (escrita para los que no son expertos en la materia), que se difunda y que se mantenga al día una formación continua a todos los niveles, recordando las cautelas rutinarias y las actividades especializadas, según la responsabilidad adscrita a cada puesto de trabajo A fin de que estas actividades cuajen en la organización, es imprescindible que la seguridad sea mínimamente intrusiva: que no dificulte innecesariamente la actividad diaria ni hipoteque alcanzar los objetivos de productividad propuestos, sea natural : que no de pie a errores gratuitos, que facilite el cumplimiento de las buenas prácticas propuestas y practicada por la Dirección: que dé ejemplo en la actividad diaria y reaccione con presteza a los cambios e incidencias Incidencias y recuperación Simétricamente, las personas involucradas deben ser conscientes de su papel y relevancia continua para prevenir problemas y reaccionar cuando se produzcan. Es importante crear una cultura de responsabilidad donde los potenciales problemas, detectados por los que están cercanos a los activos afectados, puedan ser canalizados hacia los puntos de decisión. De esta forma el sistema de salvaguardas responderá a la realidad. Cuando se produce una incidencia, el tiempo empieza a correr en contra del sistema: su supervivencia depende de la presteza y corrección de las actividades de reporte y reacción. Cualquier error, imprecisión o ambigüedad en estos momentos críticos, se ve amplificado convirtiendo lo que podía ser un mero incidente en un desastre. Tanto de los éxitos como de los fracasos conviene aprender continuamente e incorporarlos al proceso de análisis y gestión de riesgos. La madurez de una organización se refleja en la pulcritud y realismo de su modelo de valor y, consecuentemente, en la idoneidad de las salvaguardas de todo tipo, desde medidas técnicas hasta una óptima organización Organización de las guías Esta versión 2 de Magerit se ha estructurado en tres libros: éste, que describe El Método, un "Catálogo de Elementos" y una "Guía de Técnicas". Esta guía describe la metodología desde tres ángulos: El capítulo 2 describe los pasos para realizar un análisis del estado de riesgo y para gestionar su mitigación. Es una presentación netamente conceptual. Ministerio de Administraciones Públicas página 9 (de 154)
10 Introducción El capítulo 3 describe las tareas básicas para realizar un proyecto de análisis y gestión de riesgos, entendiendo que no basta con tener los conceptos claros, sino que es conveniente pautar roles, actividades, hitos y documentación para que la realización del proyecto de análisis y gestión de riesgos esté bajo control en todo momento. El capítulo 4 aplica la metodología al caso del desarrollo de sistemas de información, en el entendimiento que los proyectos de desarrollo de sistemas deben tener en cuenta los riesgos desde el primer momento, tanto los riesgos a que están expuestos, como los riesgos que las propias aplicaciones introducen en el sistema. Como complemento, el capítulo 5 desgrana una serie de aspectos prácticos, derivados de la experiencia acumulada en el tiempo para la realización de un análisis y una gestión realmente efectivos. Los apéndices recogen material de consulta: 1. un glosario, 2. referencias bibliográficas consideradas para el desarrollo de esta metodología, 3. referencias al marco legal que encuadra las tareas de análisis y gestión, 4. el marco normativo de evaluación y certificación 5. las características que se requieren de las herramientas, presentes o futuras, para soportar el proceso de análisis y gestión de riesgos, 6. una guía comparativa de cómo Magerit versión 1 ha evolucionado en esta versión 2. Por ultimo, se desarrolla un caso práctico como ejemplo Modo de empleo Los lectores nuevos en la materia, deben empezar por el capítulo 2. Si ya hay un conocimiento de los conceptos, el ejemplo ayuda a centrar ideas y terminología. Si se va a lanzar un proyecto de análisis y gestión de riesgos, el capítulo 3 ayuda a estructurarlo y planificarlo. Si el sistema de información es simple y reducido o bien si sólo se requiere una primera aproximación, puede bastar un planteamiento informal; pero cuando el proyecto toma envergadura conviene ser metódico. Si se está realizando un proyecto de análisis y gestión de riesgos, el capítulo 5 ayuda a centrar la actividad sin distracciones. Si se va a colaborar en un proyecto de desarrollo de un nuevo sistema de información, o en un ciclo de mantenimiento, conviene recurrir al capítulo 4. Si se va a trabajar con sistemas homologados, bien porque interesa como mecanismo para especificar lo que se necesita, bien porque interesa como mecanismo para especificar lo que se tiene, conviene recurrir al apéndice 4. En el planteamiento de estas guías se ha seguido un criterio de máximos, reflejando todo tipo de activos, todo tipo de aspectos de seguridad, todo tipo de situaciones, en definitiva. En la práctica, el usuario puede encontrarse ante situaciones donde el análisis es más restringido. Siguen algunos casos prácticos frecuentes: sólo se requiere un estudio de los ficheros afectos a la legislación de datos de carácter personal sólo se requiere un estudio de las garantías de confidencialidad de la información sólo se requiere un estudio de la disponibilidad de los servicios (típicamente porque se busca el desarrollo de un plan de contingencia) etc. Ministerio de Administraciones Públicas página 10 (de 154)
11 Introducción Estas situaciones, frecuentes, se recogen formalmente en las tareas de la actividad A1.2 e informalmente comentando que es constructivo centrarse en un dominio reducido e ir ampliando en la medida de las necesidades, antes que afrontar la totalidad El catálogo de elementos En libro aparte, se propone un catálogo, abierto a ampliaciones, que marca unas pautas en cuanto a: tipos de activos dimensiones de valoración de los activos criterios de valoración de los activos amenazas típicas sobre los sistemas de información salvaguardas a considerar para proteger sistemas de información Se persiguen dos objetivos: 1. Por una parte, facilitar la labor de las personas que acometen el proyecto, en el sentido de ofrecerles elementos estándar a los que puedan adscribirse rápidamente, centrándose en lo específico del sistema objeto del análisis. 2. Por otra, homogeneizar los resultados de los análisis, promoviendo una terminología y unos criterios uniformes que permitan comparar e incluso integrar análisis realizados por diferentes equipos. Cada sección incluye una notación XML que se empleará para publicar regularmente los elementos en un formato estándar capaz de ser procesado automáticamente por herramientas de análisis y gestión. Si el lector usa una herramienta de análisis y gestión de riesgos, este catálogo será parte de la misma; si el análisis se realiza manualmente, este catálogo proporciona una amplia base de partida para avanzar rápidamente sin distracciones ni olvidos La guía de técnicas En libro aparte, aporta luz adicional y guías sobre algunas técnicas que se emplean habitualmente para llevar a cabo proyectos de análisis y gestión de riesgos: técnicas específicas para el análisis de riesgos análisis mediante tablas análisis algorítmico árboles de ataque técnicas generales análisis coste-beneficio diagramas de flujo de datos diagramas de procesos técnicas gráficas planificación de proyectos sesiones de trabajo: entrevistas, reuniones y presentaciones valoración Delphi Se trata de una guía de consulta. Según el lector avance por la tareas del proyecto, se le recomendará el uso de ciertas técnicas específicas, de las que esta guía busca ser una introducción, así como proporcionar referencias para que el lector profundice en las técnicas presentadas. Ministerio de Administraciones Públicas página 11 (de 154)
12 1.5. Para los que han trabajado con Magerit v1.0 Introducción Si usted ha trabajado con Magerit v1.0, todos los conceptos le resultarán familiares, aunque hay cierta evolución. En particular reconocerá lo que se denominaba submodelo de elementos: activos, amenazas, vulnerabilidades, impactos, riesgos y salvaguardas. Esta parte conceptual ha sido refrendada por el paso del tiempo y sigue siendo el eje alrededor del cual se vertebran las fases fundamentales de análisis y gestión. Se ha corregido y ampliado lo que se denominaba subestados de seguridad dándole el nuevo nombre de dimensiones 4 e introduciendo nuevas varas de medir lo que interesa de los activos. El submodelo de procesos aparece bajo el epígrafe de estructuración del proyecto de análisis y gestión de riesgos. Si bien Magerit v1.0 ha resistido bien el paso del tiempo en lo conceptual, no se puede decir lo mismo de los detalles técnicos de los sistemas de información con los que se trabaja. Se intenta una puesta al día; pero ante todo se intenta diferenciar lo que es esencial (y permanente) de lo que es coyuntural y cambiará con el tiempo. Esto se traduce en parametrizar el método de trabajo, referenciándolo a catálogos externos de amenazas y salvaguardas que se podrán actualizar, adaptándose al paso del tiempo, tanto por progreso tecnológico como por progreso de los sujetos, pues tan cierto es que los sistemas cambian como que lo hacen los sujetos a su alrededor, buenos y malos. Y, cuanto más éxito tengan los sistemas, más usuarios tendrán y simultáneamente, más sujetos habrá interesados en abusar de ellos o, simplemente, destruirlos. Así pues, quede el método, abierto de forma que estando claro qué se hace y cómo, se puedan adaptar los detalles a cada momento. A efectos prácticos, el párrafo anterior se traduce en que se ha segregado en un libro anejo, Catálogo de Elementos, los tipos de activos, las dimensiones y criterios de valoración, el catálogo de amenazas y el catálogo de salvaguardas, de tal forma que puedan evolucionar. El apéndice 6 es más preciso estableciendo las correspondencias entre la versión 1.0 y esta Evaluación, certificación, auditoría y acreditación El análisis de riesgos es una piedra angular de los procesos de evaluación, certificación, auditoría y acreditación que formalizan la confianza que merece un sistema de información. Dado que no hay dos sistemas de información iguales, la evaluación de cada sistema concreto requiere amoldarse a los componentes que lo constituyen. En análisis de riesgos proporciona una visión singular de cómo es cada sistema, qué valor posee, a qué amenazas está expuesto y de qué salvaguardas se ha dotado. Es pues el análisis de riesgos paso obligado para poder llevar a cabo todas las tareas mencionadas, que se relacionan según el siguiente esquema: 4 Dimensión, en una de las acepciones del Diccionario de la Lengua Española, dícese que es Cada una de las magnitudes de un conjunto que sirven para definir un fenómeno. Por ejemplo, el espacio de cuatro dimensiones de la teoría de la relatividad. Ministerio de Administraciones Públicas página 12 (de 154)
13 Introducción En esta sección se hace una presentación conceptual de las actividades citadas. El lector encontrará en el apéndice 4 un tratamiento específico de los marcos normativos relativos a sistemas de gestión y productos de seguridad. Evaluación Es cada vez más frecuente la evaluación de la seguridad de los sistemas de información, tanto internamente como parte de los procesos de gestión, como por medio de evaluadores independientes externos. Las evaluaciones permiten medir el grado de confianza que merece o inspira un sistema de información. Certificación La evaluación puede llevar a una certificación o registro de la seguridad del sistema. En la práctica se certifican productos y se certifican sistemas de gestión de la seguridad. La certificación de productos es, de alguna forma, impersonal: esto tiene estas características técnicas. Sin embargo, la certificación de sistemas de gestión tiene que ver con el componente humano de las organizaciones buscando el análisis de cómo se explotan los sistemas 5. Certificar es asegurar responsablemente y por escrito un comportamiento. Lo que se certifica, producto o sistema, se somete a una serie de evaluaciones orientadas por un objetivo para qué lo quiere? 6. Un certificado dice que un sistema es capaz de proteger unos datos de unas amenazas con una cierta calidad (capacidad de protección). Y lo dice en base a que ha observado la existencia y el funcionamiento de una serie de salvaguardas. Es decir que detrás de un certificado no hay sino los conceptos de un análisis de riesgos. Antes de proceder a la certificación, debe haberse realizado un análisis de riesgos a fin de conocer los riesgos y de controlarlos mediante la adopción de los controles adecuados, además, será un punto de control de la gestión del producto o sistema. Acreditación Algunas certificaciones tienen como objetivo la acreditación del producto o sistema. La acreditación es un proceso específico cuyo objetivo es legitimar al sistema para formar parte de sistemas más amplios. Se puede ver como una certificación para un propósito específico. Auditorías Aunque no sea lo mismo, no están muy lejos de este mundo las auditorías, internas o externas, a las que se someten los sistemas de información unas veces requeridas por ley para poder operar en un cierto sector, otras veces requeridas por la propia Dirección de la Organización, otras veces requeridas por entidades colaboradoras que ven su propio nivel de riesgo ligado al nuestro. Una auditoría puede servirse de un análisis de riesgos que le permita (1) saber qué hay en juego, (2) saber a qué está expuesto el sistema y (3) valorar la eficacia y eficiencia de las salvaguardas. Frecuentemente, los auditores parten de un análisis de riesgos, implícito o explícito, que, o bien realizan ellos mismos, o bien lo auditan. Siempre en la primera fase de la auditoría, pues es difícil opinar de lo que no se conoce. A partir del análisis de riesgos se puede analizar el sistema e informar a la gerencia de si el sistema está bajo control; es decir, si las medidas de seguridad adop- 5 Hay vehículos con altas calificaciones técnicas y otros más humildes. Lo mismo que hay conductores que son verdaderos profesionales y otros de los que nunca nos explicaremos cómo es que están certificados como aptos para el manejo de vehículos. Lo ideal es poner un gran coche en manos de un gran conductor. De ahí para abajo, tenemos una gran variedad de situaciones de menor confianza: mayor riesgo de que algo vaya mal. 6 Y así tenemos sistemas aptos para consumo humano o utilización en condiciones térmicas extremas. Ministerio de Administraciones Públicas página 13 (de 154)
14 Introducción tadas están justificadas, implantadas y monitorizadas, de forma que se puede confiar en el sistema de indicadores de que dispone la gerencia para gestionar la seguridad de los sistemas. La conclusión de la auditoría es un informe de insuficiencias detectadas, que no son sino incoherencias entre las necesidades identificadas en el análisis de riesgos y la realidad detectada durante la inspección del sistema en operación. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles al presente Reglamento, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas. [RD 994/1999, artículo 17.2] En el caso de la Administración pública, existen algunos referentes fundamentales respecto de los cuales se puede y se debe realizar auditorías: Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. Criterios de seguridad, normalización y conservación de las aplicaciones utilizadas para el ejercicio de potestades, MAP, 2004 Las auditorías deben repetirse regularmente tanto para seguir la evolución del análisis de riesgos (que se debe actualizar regularmente) como para seguir el desarrollo del plan de seguridad determinado por las actividades de gestión de riesgos Cuándo procede analizar y gestionar los riesgos? Realizar un análisis de riesgos es laborioso y costoso. Levantar un mapa de activos y valorarlos requiere la colaboración de muchos perfiles dentro de la Organización, desde los niveles de gerencia hasta los técnicos. Y no solo es que haya que involucrar a muchas personas, sino que hay que lograr una uniformidad de criterio entre todos pues, si importante es cuantificar los riesgos, más importante aún es relativizarlos. Y esto es así porque típicamente en un análisis de riesgos aparecen multitud de datos. La única forma de afrontar la complejidad es centrarse en lo más importante (máximo impacto, máximo riesgo) y obviar lo que es secundario o incluso despreciable. Pero si los datos no están bien ordenados en términos relativos, su interpretación es imposible. En resumen, que un análisis de riesgos no es una tarea menor que realiza cualquiera en sus ratos libres. Es una tarea mayor que requiere esfuerzo y coordinación. Por tanto debe ser planificada y justificada. Un análisis de riesgos es recomendable en cualquier Organización que dependa de los sistemas de información y comunicaciones para el cumplimiento de su misión. En particular en cualquier entorno donde se practique la tramitación electrónica de bienes y servicios, sea en contexto público o privado. El análisis de riesgos permite tomar decisiones de inversión en tecnología, desde la adquisición de equipos de producción hasta el despliegue de un centro alternativo para asegurar la continuidad de la actividad, pasando por las decisiones de adquisición de salvaguardas técnicas y de selección y capacitación del personal. El análisis de riesgos es una herramienta de gestión que permite tomar decisiones. Las decisiones pueden tomarse antes de desplegar un servicio o con éste funcionando. Es muy deseable hacerlo antes, de forma que las medidas que haya que tomar se incorporen en el diseño del servicio, en la elección de componentes, en el desarrollo de las aplicaciones y en los manuales de usuario. Todo lo que sea corregir riesgos imprevistos es costoso en tiempo propio y ajeno, lo que puede ir en detrimento de la imagen prestada por la Organización y puede suponer, en último extremo, la pérdida de confianza en su capacidad. Siempre se ha dicho que es mejor prevenir que curar y aquí se aplica: no espere a que un servicio haga agua; hay que prever y estar prevenido. Por precepto legal El análisis de riesgos puede venir requerido por precepto legal. Tal es el caso del Real Decreto 263/1996, de 16 de Febrero, por el que se regula la utilización de técnicas electrónicas, informáticas y telemáticas por la Administración General del Estado. En su artículo 4 (Garantías generales Ministerio de Administraciones Públicas página 14 (de 154)
15 Introducción de la utilización de soportes, medios y aplicaciones electrónicas, informáticas y telemáticas) dice así: 2. Cuando se utilicen los soportes, medios y aplicaciones referidos en el apartado anterior, se adoptarán las medidas técnicas y de organización necesarias que aseguren la autenticidad, confidencialidad, integridad, disponibilidad y conservación de la información. Dichas medidas de seguridad deberán tener en cuenta el estado de la tecnología y ser proporcionadas a la naturaleza de los datos y de los tratamientos y a los riesgos a los que estén expuestos 7. De forma similar, en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su artículo 9 (Seguridad de los datos) dice así: 1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. Texto que se recoge de nuevo en el preámbulo al REAL DECRETO 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. En este decreto se recoge la obligación de elaborar un documento de seguridad 1. El responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información. Difícilmente se puede desarrollar dicho documento sin un análisis previo de los riesgos sobre los datos, análisis que nos lleve a determinar las medidas de seguridad pertinentes. Certificación y acreditación Si el sistema aspira a una certificación, el análisis de riesgos es un requisito previo que exigirá el evaluador. Es la fuente de información para determinar la relación de controles pertinentes para el sistema y que por tanto deben ser inspeccionados. Véase el apéndice 4.1 sobre certificación de sistemas de gestión de la seguridad de la información (SGSI). El análisis de riesgos es así mismo un requisito exigido en los procesos de acreditación 8 de sistemas. Estos procesos son necesarios cuando se va a manejar en el sistema información clasificada nacional, UE, OTAN o de otros acuerdos internacionales. El primer paso del proceso es la realización del análisis de riesgos que identifique amenazas y salvaguardas y gestione satisfactoriamente los riesgos del sistema. Por último, cabe mencionar el empleo de perfiles de protección como mecanismo de contratación. Los perfiles de protección (ISO/IEC-15408) nacen con la doble misión de poder especificar a priori los requisitos de seguridad de un sistema (para su adquisición o desarrollo) y poder servir de referencia internacional del significado de una certificación. En uno u otro caso, establece la vara de medir respecto de la que se calificará la idoneidad de la seguridad del sistema. Véase el apéndice 4.2 sobre criterios comunes de evaluación (CC). En conclusión Procede analizar y gestionar los riesgos cuando directa o indirectamente lo establezca un precepto legal y siempre que lo requiera la protección responsable de los activos de una organización. 7 El análisis de riesgos permite determinar los riesgos a los que están expuestos y la gestión de riesgos permite adecuar las medidas a dichos riesgos. 8 En el sentido formal de autorización para manejar información clasificada. Los procesos de acreditación se ajustan a la normativa aplicable en cada caso. Ministerio de Administraciones Públicas página 15 (de 154)
16 Realización del análisis y gestión 2. Realización del análisis y de la gestión Este capítulo expone de forma conceptual en qué consiste esto del análisis de riesgos y aquello de su gestión, qué se busca en cada momento y qué conclusiones se derivan. Hay dos grandes tareas a realizar: I. análisis de riesgos, que permite determinar qué tiene la Organización y estimar lo que podría pasar. Elementos: 1. activos, que no son sino los elementos del sistema de información (o estrechamente relacionados con este) que aportan valor a la Organización 2. amenazas, que no son sino cosas que les pueden pasar a los activos causando un perjuicio a la Organización 3. salvaguardas (o contra medidas), que no son sino elementos de defensa desplegados para que aquellas amenazas no causen [tanto] daño. Con estos elementos se puede estimar: 1. el impacto: lo que podría pasar 2. el riesgo: lo que probablemente pase El análisis de riesgos permite analizar estos elementos de forma metódica para llegar a conclusiones con fundamento. II. gestión de riesgos, que permite organizar la defensa concienzuda y prudente, defendiendo para que no pase nada malo y al tiempo estando preparados para atajar las emergencias, sobrevivir a los incidentes y seguir operando en las mejores condiciones; como nada es perfecto, se dice que el riesgo se reduce a un nivel residual que la Dirección asume. Informalmente, se puede decir que la gestión de la seguridad de un sistema de información es la gestión de sus riesgos y que el análisis permite racionalizar dicha gestión Análisis de Riesgos El análisis de riesgos es una aproximación metódica para determinar el riesgo siguiendo unos pasos pautados: 1. determinar los activos relevantes para la Organización, su interrelación y su valor, en el sentido de qué perjuicio (coste) supondría su degradación 2. determinar a qué amenazas están expuestos aquellos activos 3. determinar qué salvaguardas hay dispuestas y cuán eficaces son frente al riesgo 4. estimar el impacto, definido como el daño sobre el activo derivado de la materialización de la amenaza 5. estimar el riesgo, definido como el impacto ponderado con la tasa de ocurrencia (o expectativa de materialización) de la amenaza Con el objeto de organizar la presentación, se tratan primero los pasos 1, 2, 4 y 5, obviando el paso 3, de forma que las estimaciones de impacto y riesgo sean potenciales : caso de que no hubiera salvaguarda alguna desplegada. Una vez obtenido este escenario teórico, se incorporan las salvaguardas del paso 3, derivando estimaciones realistas de impacto y riesgo. Ministerio de Administraciones Públicas página 16 (de 154)
17 Realización del análisis y gestión La siguiente figura recoge este primer recorrido, cuyos pasos se detallan en las siguientes secciones 9 : están expuestos a Interesan por su activos activos amenazas amenazas valor valor causan una cierta degradación degradación impacto impacto con una cierta frecuencia frecuencia riesgo riesgo Paso 1: Activos Se denominan activos los recursos del sistema de información o relacionados con éste, necesarios para que la Organización funcione correctamente y alcance los objetivos propuestos por su dirección. El activo esencial es la información que maneja el sistema; o sea los datos. Y alrededor de estos datos se pueden identificar otros activos relevantes: Los servicios que se pueden prestar gracias a aquellos datos, y los servicios que se necesitan para poder gestionar dichos datos. Las aplicaciones informáticas (software) que permiten manejar los datos. Los equipos informáticos (hardware) y que permiten hospedar datos, aplicaciones y servicios. Los soportes de información que son dispositivos de almacenamiento de datos. El equipamiento auxiliar que complementa el material informático. Las redes de comunicaciones que permiten intercambiar datos. Las instalaciones que acogen equipos informáticos y de comunicaciones. Las personas que explotan u operan todos los elementos anteriormente citados. Tipos de activos No todos los activos son de la misma especie. Dependiendo del tipo de activo, las amenazas y las salvaguardas son diferentes 10. El capítulo 2 del "Catálogo de Elementos" presenta una relación de tipos de activos. Si el sistema maneja datos de carácter personal, estos suelen ser importantes por sí mismos y requerir una serie de salvaguardas frecuentemente reguladas por ley. En estos activos interesa 9 Los lectores familiarizados con Magerit v1.0, detectarán la ausencia de la voz vulnerabilidad. El concepto de vulnerabilidad (potencialidad o posibilidad de ocurrencia de una amenaza sobre un activo) se incorpora por medio de las métricas de degradación del activo y frecuencia de ocurrencia de la amenaza. 10 No se ataca ni se defiende de la misma manera un servicio telemático que un local de trabajo. Ministerio de Administraciones Públicas página 17 (de 154)
18 Realización del análisis y gestión determinar qué tratamiento hay que imponerles 11. El hecho de que un dato sea de carácter personal impacta sobre todos los activos involucrados en su tratamiento y custodia. Algo similar ocurre con los datos sometidos a una clasificación de confidencialidad. Cuando se dice que un cierto informe está clasificado como reservado, de forma que las copias están numeradas, sólo pueden llegar a ciertas personas, no deben salir del recinto y deben ser destruidas concienzudamente, etc. se están imponiendo una serie de salvaguardas porque lo ordena el reglamento, sectorial o específico de la Organización. Dependencias Los activos más llamativos suelen ser los datos y los servicios; pero estos activos dependen de otros activos más prosaicos como pueden ser los equipos, las comunicaciones o las frecuentemente olvidadas personas que trabajan con aquellos. Por ello aparece como importante el concepto de dependencias entre activos o la medida en que un activo superior se vería afectado por un incidente de seguridad en un activo inferior112. Se dice que un activo superior depende de otro activo inferior cuando las necesidades de seguridad del superior se reflejan en las necesidades de seguridad del inferior. O, dicho en otras palabras, cuando la materialización de una amenaza en el activo inferior tiene como consecuencia un perjuicio sobre el activo superior. Informalmente puede interpretarse que los activos inferiores son los pilares en los que se apoya la seguridad de los activos superiores. Aunque en cada caso hay que adaptarse a la Organización objeto del análisis, con frecuencia se puede estructurar el conjunto de activos en capas, donde las capas superiores dependen de las inferiores: capa 1: el entorno: activos que se precisan para garantizar las siguientes capas equipamiento y suministros: energía, climatización, comunicaciones personal: de dirección, de operación, de desarrollo, etc. otros: edificios, mobiliario, etc. capa 2: el sistema de información propiamente dicho equipos informáticos (hardware) aplicaciones (software) comunicaciones soportes de información: discos, cintas, etc. capa 3: la información datos meta-datos: estructuras, índices, claves de cifra, etc. capa 4: las funciones de la Organización, que justifican la existencia del sistema de información y le dan finalidad objetivos y misión bienes y servicios producidos capa 5: otros activos 11 Es como si el legislador hubiera realizado el análisis de riesgos por nosotros y hubiera determinado las salvaguardas pertinentes. En todo caso, leyes y regulaciones existen y ayudan a que estos datos, ciertamente importantes, estén protegidos. 12 Un ejemplo puede ser mejor que mil palabras. Si se quema el local que hospeda los equipos, lo que no funciona es el servicio percibido por el usuario a kilómetros de distancia. Si roban el portátil de un ejecutivo con información estratégica de la empresa, lo que sufre es la confidencialidad de dicha información. Las instalaciones se reconstruyen; pero puede haberse pasado la oportunidad de prestar el servicio. El robo se subsana comprando otro portátil; pero el secreto ya está perdido. Ministerio de Administraciones Públicas página 18 (de 154)
19 credibilidad o buena imagen conocimiento acumulado independencia de criterio o actuación intimidad de las personas integridad física de las personas Realización del análisis y gestión Valoración Por qué interesa un activo? Por lo que vale. No se está hablando de lo que cuestan las cosas, sino de lo que valen. Si algo no vale para nada, prescíndase de ello. Si no se puede prescindir impunemente de un activo, es que algo vale; eso es lo que hay que averiguar pues eso es lo que hay que proteger. El valor puede ser propio, o puede ser acumulado. Se dice que los activos inferiores en un esquema de dependencias, acumulan el valor de los activos que se apoyan en ellos. El valor nuclear suele estar en la información (o datos) que el sistema maneja, quedando los demás activos subordinados a las necesidades de explotación y protección de la información. Por otra parte, los sistemas de información explotan los datos para proporcionar servicios, internos a la Organización o destinados a terceros, apareciendo una serie de datos necesarios para prestar un servicio. Sin entrar en detalles técnicos de cómo se hacen las cosas, el conjunto de datos y servicios finales permite caracterizar funcionalmente una organización. Las dependencias entre activos permiten relacionar los demás activos con datos y servicios. Dimensiones De un activo puede interesar calibrar diferentes dimensiones: su autenticidad: qué perjuicio causaría no saber exactamente quien hace o ha hecho cada cosa? Esta valoración es típica de servicios (autenticidad del usuario) y de los datos (autenticidad de quien accede a los datos para escribir o, simplemente, consultar) su confidencialidad: qué daño causaría que lo conociera quien no debe? Esta valoración es típica de datos. su integridad: qué perjuicio causaría que estuviera dañado o corrupto? Esta valoración es típica de los datos, que pueden estar manipulados, ser total o parcialmente falsos o, incluso, faltar datos. su disponibilidad: qué perjuicio causaría no tenerlo o no poder utilizarlo? Esta valoración es típica de los servicios 13. En sistemas dedicados a la administración electrónica o al comercio electrónico, el conocimiento de los actores es fundamental para poder prestar el servicio correctamente y poder perseguir los fallos (accidentales o deliberados) que pudieran darse. En estos activos, además de la autenticidad, interesa calibrar la: la trazabilidad del uso del servicio: qué daño causaría no saber a quién se le presta tal servicio? O sea, quién hace qué y cuándo? la trazabilidad del acceso a los datos: qué daño causaría no saber quién accede a qué datos y qué hace con ellos? 13 Hay servicios finales que materializan la misión última de la Organización. Hay servicios internos de los que la Organización se sirve para estructurar su propia distribución de responsabilidades. Por último, hay servicios que se adquieren de otras organizaciones: suministros externos. Ministerio de Administraciones Públicas página 19 (de 154)
20 Realización del análisis y gestión Se reconocen habitualmente las dimensiones básicas: autenticidad, confidencialidad, integridad y disponibilidad. En esta metodología se ha refinado la autenticidad para distinguir entre el uso de un servicio y el acceso a unos datos. Además se ha introducido el concepto de trazabilidad (del inglés, accountability) tomado de las guías ISO/IEC 13335, igualmente segmentada entra la trazabilidad del servicio y la de los datos. Los aspectos de autenticidad y trazabilidad de los datos son críticos para satisfacer medidas reglamentarias sobre ficheros que contengan datos de carácter personal. El capítulo 3 del "Catálogo de Elementos" presenta una relación de dimensiones de seguridad. En un árbol de dependencias, donde los activos superiores dependen de los inferiores, es imprescindible valorar los activos superiores, los que son importantes por sí mismos. Automáticamente este valor se acumula en los inferiores, lo que no es óbice para que también puedan merecer, adicionalmente, su valoración propia. Cuánto vale la salud de los activos? Una vez determinadas qué dimensiones (de seguridad) interesan de un activo hay que proceder a valorarlo. La valoración es la determinación del coste que supondría salir de una incidencia que destrozara el activo. Hay muchos factores a considerar: coste de reposición: adquisición e instalación coste de mano de obra (especializada) invertida en recuperar (el valor) del activo lucro cesante: pérdida de ingresos capacidad de operar: confianza de los usuarios y proveedores que se traduce en una pérdida de actividad o en peores condiciones económicas sanciones por incumplimiento de la ley u obligaciones contractuales daño a otros activos, propios o ajenos daño a personas daños medioambientales La valoración puede ser cuantitativa (con una cantidad numérica) o cualitativa (en alguna escala de niveles). Los criterios más importantes a respetar son: la homogeneidad: es importante poder comparar valores aunque sean de diferentes dimensiones a fin de poder combinar valores propios y valores acumulados, así como poder determinar si es más grave el daño en una dimensión o en otra la relatividad: es importante poder relativizar el valor de un activo en comparación con otros activos Todos estos criterios se satisfacen con valoraciones económicas (coste dinerario requerido para curar el activo) y es frecuente la tentación de ponerle precio a todo. Si se consigue, excelente. Incluso es fácil ponerle precio a los aspectos más tangibles (equipamiento, horas de trabajo, etc.); pero al entrar en valoraciones más abstractas (intangibles como la credibilidad de la Organización) la valoración económica exacta puede ser escurridiza y motivo de agrias disputas entre expertos. El capítulo 4 del "Catálogo de Elementos" presenta unas pautas para la valoración sistemática de activos. Valoración cualitativa Las escalas cualitativas permiten avanzar con rapidez, posicionando el valor de cada activo en un orden relativo respecto de los demás. Es frecuente plantear estas escalas como órdenes de magnitud y, en consecuencia, derivar estimaciones del orden de magnitud del riesgo. La limitación de las valoraciones cualitativas es que no permiten comparar valores más allá de su orden relativo. No se pueden sumar valores. Ministerio de Administraciones Públicas página 20 (de 154)
MAGERIT versión 3.0 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. Libro I - Método
MAGERIT versión 3.0 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información Libro I - Método TÍTULO: MAGERIT versión 3.0. Metodología de Análisis y Gestión de Riesgos de los Sistemas
PILAR. HERRAMIENTAS PARA EL ANÁLISIS Y LA GESTIÓN DE RIESGOS José A. Mañas Catedrático de Universidad Dept. Ingeniería de Sistemas Telemáticos. E.T.S.I. de Telecomunicación. Universidad Politécnica de

References: artículo 17
 Real Decreto 
 Real Decreto 
 artículo 4
 artículo 9
 REAL DECRETO