Anlisis y Gestin de Riesgo en Tecnologa

de la Informacin
Introduccin
El Banco Central de la Repblica Argentina (B.C.R.A), dentro del marco de implantacin
de Basilea II, ha desarrollado una serie de normativas y comunicaciones para que la
Entidades Financieras adopten este estndar internacional de medicin y gestin de
riesgos, a partir del ao 2010.
Como todos sabemos, Basilea II incorpor el riesgo operacional a
los riesgos ya evaluados por Basilea I (de crdito, de mercado y
de tipo de cambio) y uno de los aspectos a evaluar del riesgo
operacional es el factor de riesgo de tecnologa de la informacin
(TI).
En concordancia con ello, el B.C.R.A. tambin ha emitido la
Comunicacin A 4609 - Requisitos mnimos de gestin,
implementacin y control de los riesgos relacionados con tecnologa informtica y
sistemas de informacin, en donde se establece que las Entidades Financieras debern
contar con anlisis de riesgo formalmente realizados y documentados sobre los
sistemas de informacin, la tecnologa informtica y sus recursos asociados.

Qu es el anlisis de riesgo de TI?

La tarea de anlisis y gestin
de riesgo de la Tecnologa de
la Informacin es una parte
fundamental para el anlisis
del riesgo operacional de la
Entidad.

Para mas informacin:

Cr. Horacio Martinez
hmartinez@suarez-menendez.com
Lic. Damian Requejo
drequejo@suarez-menendez.com
www.suarez-menendez.com
www.moorestphens.com

IT Risk Management

Conocer los riesgos al que estn sometidos los activos de TI es imprescindible para
poder gestionarlos.
El gran reto de este proyecto es enfrentar una problemtica compleja dado que se
interrelacionan diferentes tipos de activos, con lo
cual si no se es metdico y riguroso, los
resultados y conclusiones no son de fiar y
difcilmente sean de valor para la Entidad.
Negocios

Probabilidad

Amenazas

Riesgo
Residual

a.

Para incorporar a la matriz de riesgo

operacional, el riesgo de TI asociado a cada
proceso de negocio.

b.

Para concientizar a los responsables de las

Gerencias de Tecnologa y Sistemas de
Informacin de la existencia de riesgos y
brindar soluciones para su mitigacin.

Frecuencia

Anlisis de
Riesgo
de TI

Activos

Riesgo

Riesgo
Repercutido

Impacto

Riesgo
Acumulado

Degradacin
Controles

Valoracin

c.

Para ayudar a descubrir y planificar medidas oportunas para mantener los riesgos
bajo control.

d.

Para preparar a la organizacin para procesos de evaluacin, auditora y

cumplimiento, segn corresponda.

e.

Para establecer los aspectos a tener en cuenta para la realizacin de planes de

contingencias y continuidad del negocio y sistemas de gestin de seguridad
informtica.

Cmo es el proceso?
El anlisis de riesgo de TI es una aproximacin metdica para determinar el riesgo
siguiendo unos pasos pautados:
a.

Determinar los activos relevantes para

la organizacin.

b.

Determinar a qu amenazas estn

expuestos aquellos activos.

c.

Estimar el impacto, definido como el

dao sobre el activo derivado de la
materializacin de la amenaza.

d.

Determinar que controles hay

dispuestos y cun eficaces son frente al riesgo.

e.

Estimar el riesgo, definido como el impacto ponderado con la probabilidad de

ocurrencia de la amenaza.

Cmo se evalua el proceso de negocio con el riesgo de TI?

El anlisis de riesgo es el
inicio de una gestin
planificada y ordenada de los
riesgos operacionales y de
TI.

El desafo ms importante es entender la interrelacin que tiene el proceso de negocio

con los riesgos de los activos de TI que son necesarios para que los mismos funcionen
correctamente. Para ello es necesario ver las capas del negocio y como los activos
interactan con cada uno de los
procesos. Para ello se deben
subdividir los procesos del negocio y
buscar las diferentes dependencias que
hay entre esos procesos y los activos.
Esta dependencia no es un tema trivial
dado que un proceso de negocio puede
depender de ms de una aplicacin y a
su vez una aplicacin puede depender de ms de un equipo. Con lo cual los riesgos
de un activo naturalmente repercuten en los activos que son dependientes y stos a su
vez de los procesos de negocio. Sin embargo, el resultado derivado de la construccin
de estas relaciones es lograr dos tipos de riesgos:

Moore Stephens
Suarez & Menendez
Maipu 942, piso 12
C1006ACN
C. A. de Buenos Aires
Argentina
www.suarez-menendez.com
Tel: +54 11 4 103 9500
Fax: +54 11 4 103 0959

IT Risk Management

Riesgo nico de TI por cada proceso de negocios: Este riesgo sirve para el dueo de
los procesos y le permite conocer como la tecnologa de la informacin afecta el riesgo de la
operacin.

Riesgo de TI por cada uno de los activos: Este riesgo sirve para que el departamento
de informtica de la Entidad pueda mitigar los riesgos a los que est expuesto y determinar
cul es la gestin de riesgo que debe desarrollar.