ANÁLISIS DE RIESGOS

Para realizar el proceso de análisis y evaluación de riesgos, se debe proceder de

la siguiente manera:

Primero tener en cuenta la tabla consolidada de las vulnerabilidades, amenazas y

riesgos que fueron detectados inicialmente.
Como cada estudiante está trabajando en un proceso CobIT que ha seleccionado,
deberá tomar en cuenta esta lista de riesgos consolidada y de ella debe extraer los
riesgos que aplican para el proceso que está evaluando. Para este caso del
ejemplo se han enumerado algunos riesgos de diferentes procesos para que no
sean copiados directamente y se analice de la lista de riesgos que están en el
trabajo colaborativo 1, los que están dentro de cada proceso que trabaja el
estudiante.

RIESGOS:
1. Instalación de programas sin fines académicos
2. Equipos con bajo rendimiento
3. Daño en el sistema eléctrico de los equipos de computo
4. Insatisfacción por parte de estudiantes que hacen uso del servicio internet
de la universidad
5. No hay una hoja de vida de la existencia de los equipos
6. La ventilación del aula no es la adecuada
7. No existe monitorio continuo de software instalado en los equipos de
computo
8. Robo de partes de los equipos de computo
9. No es posible detectar movimientos fraudulentos a los equipos de cómputo

Una vez se tiene identificados los riesgos en cada proceso, se hace una lista para
su posterior análisis y evaluación, para ello hay que tener en cuenta que la
evaluación se hace por probabilidad de que llegue a ocurrir el riesgo o la
frecuencia con que está sucediendo el problema y por otro lado el impacto que
puede ocurrir de llegar a suceder ese evento o en caso de concretarse la falla.
La probabilidad tiene su escala de medición y se refiere a la frecuencia con se
presenta el problema en un periodo de tiempo determinado, es decir el número de
veces que el problema se presenta en un año, mes o semana de acuerdo a la
escala de tiempo elegida. Por ejemplo la frecuencia de que se presente un virus
en los computadores puede llegar a darse una o varias veces en la semana, un
corte de energía puede presentarse una vez cada dos meses, el daño de un
equipo puede presentarse cada seis meses. De acuerdo a estas escalas se debe
hacer la medición teniendo la escala de valoración cualitativa (alto, medio, bajo)
El impacto se refiere a lo que puede llegar a suceder en la empresa o un área
específica si la falla se presenta y que consecuencias traería a toda la
organización o a determinados procesos. Para este caso hay que analizar si el
problema una vez se ha concretado afecta a toda la organización, a un macro
proceso o un área de la empresa, o si por el contrario solo afecta a una persona o
proceso en la empresa.
Para este caso la escala definida es leve si solamente afecta a una persona o
proceso, moderado si afecta a un grupo de personas o un macro proceso o un
área funcional, o puede ser catastrófico si afecta a toda la empresa.

MATRIZ DE PROBABILIDAD DE IMPACTO

Matriz de probabilidad de ocurrencia e impacto según relevancia del proceso
Zona de Riesgo Zona de riesgo Zona de riesgo
Alto Moderado Importante Inaceptable
61-100%
PROBABILIDAD

Medio Zona de riesgo Zona de riesgo Zona de riesgo

31-60% Tolerable Moderado Importante

Bajo Zona de riesgo Zona de riesgo Zona de riesgo Moderado

0-30% Aceptable Tolerable
Leve Moderado Catastrófico

IMPACTO
 ANALISIS Y EVALUACIÓN DE RIESGOS
N° Descripción Probabilidad Impacto
Baja Media Alta Leve Moderado Catastrófico
R1 Instalación de X X
programas sin fines
académicos
R2 Equipos con bajo X X
rendimiento
R3 Daño en el sistema X X
eléctrico de los
equipos de computo
R4 Insatisfacción por X X
parte de estudiantes
que hacen uso del
servicio internet de la
universidad
R5 No hay una hoja de X X
vida de la existencia
de los equipos
R6 Sobrecalentamiento X X
de equipos de
computo
R7 No existe monitorio X X
continuo de software
instalado en los
equipos de computo
R8 Robo de partes de X X
los equipos de
computo
R9 No es posible X X
detectar
movimientos
fraudulentos a los
equipos de cómputo

Resultado Matriz de riesgos para hardware

 R4, R7 R1
Alto
61-100%

PROBABILIDAD
Medio R2, R5 R6
31-60%

Bajo R3, R8 R9
0-30%
Leve Moderado Catastrófico

IMPACTO

Menor impacto o probabilidad de ocurrencia

Probabilidad y ocurrencia media
Alta probabilidad de ocurrencia

Esta matriz se usará posteriormente para determinar el tratamiento de los riesgos

en cada proceso CobIT.