You are on page 1of 5

LAB 3.

1 ANALISIS DE RIESGO
OBJETIVO
 Determinar los activos de información.
 Realizar la detección de amenazas, impacto, nivel de criticidad y vulnerabilidades.
 Proponer las salvaguardas que pueden aplicarse a los activos de información.

DESCRIPCION:
El presente documento permite el análisis de riesgo, para lo cual se ha establecido ciertos criterios como
referencia para el análisis de amenaza, vulnerabilidades y riesgos para los activos de información

1. ANÁLISIS DE AMENAZA
NATURALES TECNOLOGICO SOCIAL

 Fenómenos de remoción  Incendios  Hurto


en masa.  Explosiones  Asaltos
 Movimientos sísmicos.  Fugas  Secuestros
 Inundación  Derrames  Asonadas
 Lluvias torrenciales  Fallas estructurales  Terrorismo
 Granizadas  Fallas en equipos y sistemas  Concentraciones masivas
 Vientos fuertes  Intoxicaciones  Otros
 Otros dependiendo de la  Trabajos de alto riesgo
 geografía y clima.  Riesgos externos
 Otros

En el análisis de amenazas se desarrollaran dos pasos:

IDENTIFICACIÓN, DESCRIPCIÓN Y ANÁLISIS DE LAS AMENAZAS

Calificación de la amenaza

EVENTO COMPORTAMIENTO COLOR


ASIGNADO
Posible Es aquel fenómeno que puede suceder o que es factible
porque no existen razones históricas y científicas para decir
que esto no sucederá.

Probable Es aquel fenómeno esperado del cual existen razones y


argumentos técnicos científicos para creer que sucederá.

Inminente Es aquel fenómeno esperado que tiene alta probabilidad de


ocurrir.

POSIBLE: NUNCA HA SUCEDIDO Color Verde.

PROBABLE: YA HA OCURRIDO Color Amarillo.

INMINENTE: EVIDENTE, DETECTABLE Color Rojo.

2. ANALISIS DE VULNERABILIDAD

1. PERSONAS 2. RECURSOS 3. SISTEMAS Y PROCESOS


􀂾 Organización 􀂾 Materiales 􀂾 Servicios públicos
􀂾 Capacitación 􀂾 Edificación 􀂾 Sistemas alternos
􀂾 Dotación 􀂾 Equipos 􀂾 Recuperación

Para cada uno de los aspectos se aplican formatos de evaluación, que a través de preguntas
buscan de manera cualitativa dar un panorama general que le permita calificar como mala,
regular o buena, la vulnerabilidad de las personas, los recursos y los sistemas y procesos de
la planta ante cada una de las amenazas descritas, es decir, el análisis de vulnerabilidad
completo se realiza a cada amenaza identificada.

Calificación de las variables


VALOR INTERPRETACION

0,0 Cuando se dispone de los elementos, recursos, cuando se realizan


los procedimientos, entre otros.
1,0 Cuando se dispone de los elementos, recursos o cuando se
realizan los procedimientos de manera parcial, entre otros.
0,5 Cuando se carece de los elementos, recursos, cuando NO se
realizan los procedimientos, entre otros.

Una vez calificadas todas las variables, se realiza una sumatoria de los tres aspectos que
contempla cada elemento considerado es decir, para el elemento “Personas” se debe sumar
la calificación dada a los aspectos de organización, capacitación y dotación, para el elemento
“Recursos” se debe sumar la calificación dada a los aspectos de materiales, edificación y
equipos, para el elemento “Sistemas y Procesos” se debe sumar la calificación dada a los
aspectos de servicios públicos, sistemas alternos y recuperación. La calificación de cada
elemento se realiza de acuerdo con la siguiente tabla:

Calificación de la vulnerabilidad
RANGO CALIFICACION VALOR
0.0 – 1.0 BAJA VERDE

1.1 – 2.0 MEDIA AMARILLO

2.1 – 3.0 ALTA ROJO

3. NIVEL DE RIESGOS

Cada uno de los rombos tiene un color que fue asignado de acuerdo con los análisis
desarrollados, recordemos:
Para la Amenaza:

- POSIBLE: NUNCA HA SUCEDIDO Color Verde.

- PROBABLE: YA HA OCURRIDO Color Amarillo.

- INMINENTE: EVIDENTE, DETECTABLE Color Rojo.

Para la Vulnerabilidad:

- BAJA: ENTRE 0.0 Y 1.0 Color Verde.

- MEDIA: ENTRE 1.1 Y 2.0 Color Amarillo.

- ALTA: ENTRE 2.1 Y 3.0 Color Rojo.

Calificación nivel de riesgo


CASO PROPUESTO
El área de soporte técnico de la empresa de comercialización de productos de primera necesidad “MARKETINK” ha
recibido el reporte mensual de incidencias en el área de red. En este reporte se mencionan algunos procesos que
podrían generar algún tipo de vulnerabilidad en la red. Estas incidencias son las siguientes:
1. En la PC secretaria se encontró un software que realizaba “sniffer” no autorizado en la red, recargando el tráfico y
reduciendo el rendimiento del sistema.
2. Utilizando el Wireshark para la detección de usuarios clandestinos, se identificaron algunas direcciones IP que
enviaban mensajes de broadcast en la red, saturando el sistema.
3. Se ubicó una PC en el área de mantenimiento desde donde se podía ingresar a los archivos personales de usuario
sin ninguna autenticación para el ingreso.
4. A las 7 de la noche se comprobó que el RAID de la empresa solamente lograba almacenar el 80% de la información
total del día.
5. Se encontró que se podía acceder a una VPN de la empresa desde la internet, la cual no estaba autorizada.
6. Se identificó el enlace de datos de la empresa con sus partners comerciales era proporcionado a través de un
enlace de línea dedicada de 40 mb.
7. Se detectó que las PC del área de compras podían acceder al software de facturación sin autorización ni permiso
previo.
8. Se identificó que una PC del área de administración que era utiliza por varios usuarios para generar boletas de
pago, pero no tenía cuentas de usuario en su sistema operativo.
9. Se encontraron 3 PCs del área de ventas que tenían dificultades con la instalación del software de la empresa. Se
determinó que era debido a que su HDD estaba operando con sistema FAT32.
10. En el servidor de FTP, se identificaron cuentas de usuarios inexistentes.
11. Se encontró que desde la PC del Contador General se podía acceder a la red, pero no se realiza la copia de
seguridad en el RAID de la empresa.
12. En una PC de desarrollo se encontró el software TecniFlax especializado en romper claves Wep de 64 bits el cual
no estaba autorizado a instalarse.
13. El servidor DNS se colgaba constantemente. El experto en seguridad determinó que era debido a que el servidor
demoraba alrededor de 1 minuto en atender una solicitud con lo que las demás consultas no podían ser atendidas.
14. Se identificó un switch en un gabinete del piso 1, el cual tenía un puerto Ethernet que permitía acceder a internet
sin ningún tipo de autenticación.
15. En las PC del área de gerencia se identificó un software de captura para contraseñas
16. Se hicieron pruebas desde el exterior, y se determinó que el servidor Web de la red analizada tenía abiertos los
puertos 67 y 68 además del puerto 80.
17. El 95% de PC tenían instalada una sola partición en su HDD.
18. Con un software de detección se logró identificar una IP externa que continuamente enviaba paquetes DoS a los
servidores de la empresa.
19. Cuando se realizó las pruebas de depuración de registros de los servidores, solo se pudo optimizar el 70%; con lo
que se consideró una operación insatisfactoria.
20. La última actualización del antivirus estaba fechada al 30/01/2018.
DESARROLLO:

De acuerdo a estas 20 incidencias reportadas, identifique las más críticas y determine un análisis de
riesgo, completando el siguiente cuadro:

CALIFICACION
CALIFICACIO
DE
ACTIVOS AMENAZAS N DE NIVEL DE RIESGO
VULNERABILID
AMENAZAS
AD
Red Tecnológico Probable Media Vulnerabilidad

Red Tecnológico Inminente Alto Amenaza

Hardware Social Inminente Alto Amenaza

Red Tecnológico Inminente Media Vulnerabilidad

Red Social Inminente Alto Amenaza

Software Tecnológico Inminente Alto Amenaza

You might also like