METODOLOGÍA DE

ANÁLISIS Y EVALUACIÓN
DE RIESGOS
¿QUÉ ES?
Una amenaza, en el contexto de la seguridad informática y según la
norma SP-830, se define como la posibilidad de que ocurra
cualquier evento o acción que tenga el potencial de causar daño,
ya sea de forma material o inmaterial, a los elementos de un
sistema.

IMPORTANCIA
Identificación Proactiva de Amenazas
Priorización de Riesgos
Optimización de Recursos
Toma de Decisiones Fundamentada
Detección Temprana de Vulnerabilidades
Cumplimiento Normativo
Mejora Continua
Resiliencia Organizacional
Comunicación Efectiva
Protección de la Información Sensible

EVALUACIÓN DE AMENAZAS
Categoría Natural:
Fenómenos causados por la naturaleza que
pueden provocar daños físicos o lógicos a los
equipos, sistemas o redes.
Terremoto
Inundaciones
Tormentas eléctricas
Vendavales
Huracanes

Categoría Humana:
son acciones intencionadas o no intencionadas de
personas que pueden comprometer la
confidencialidad, integridad o disponibilidad de la
información.
Acceso no autorizado a la infraestructura
Explotación de errores (usuario y administrador)
Ingeniería social
Malicia
Virus informático (malware)
Phishing
Denegación de servicio
Spoofing

Categoría del Entorno:

Son condiciones ambientales que pueden
afectar al funcionamiento o la integridad de
los equipos, sistemas o redes
Fallas eléctricas
Polución
Temperatura
Incendios
Control de humedad
Edificaciones cercanas
Accidente de tránsito
 METODOLOGÍA DE
ANÁLISIS Y EVALUACIÓN
DE RIESGOS
METODOLOGÍA
En el marco de la aplicación de la metodología de análisis y
evaluación de riesgos, se destacan elementos fundamentales
para garantizar la seguridad informática. Los activos de
información se identifican junto con las amenazas.

IDENTIFICACIÓN
Se identifican los activos de
información que se quieren proteger y
las amenazas que los pueden afectar,
clasificándolas según su categoría
(natural, humana o ambiental), su
probabilidad y su impacto.

PLANIFICACIÓN
Se establece un plan de
contingencia para cada amenaza,
que incluye medidas de prevención,
mitigación, respuesta y
recuperación, según su categoría y
nivel de riesgo.

RESPUESTA
Se elabora un plan de emergencia para
la ciberseguridad, que define los roles,
responsabilidades, procedimientos,
recursos, pruebas, documentación y
comunicación para responder ante un
incidente de seguridad.

CONTROL
Se monitorea y revisa periódicamente
el plan de contingencia y el plan de
emergencia, y se actualiza según los
cambios en el contexto.