Análisis de riesgos Evaluación

No. Activo Criticidad Vulnerabilidad Amenaza Impacto Probabilidad Riesgo Estrategia de Riesgos Controles
Activos primarios

1. Susceptibilidad a la humedad, 2. Ubicación en una area

1 Servidor de correo electrónico Windows Exchange Alto susceptible a inundación, 3. Procedimientos inadecuados de 1.Daño por agua, 2. Destrucción del equipo o los medios Severo Improbable Medio Riesgo
contratación, 4. Uso inadecuado.

1. Trabajo no supervisado, 2. Falta de protección fisica, 3. Falta

de procedimientos formal para la autorización de la información, 1. Hurto de medios o documentos, 2. Datos provenientes de fuentes no
2 Sistema ERP (control financiero-contable y logística) Alto Catastrófico Posible Alto Riesgo
4. Falta o insuficiencia en las disposiciones con respecto a la confiables
seguridad de la información

1. Los empleados de manera intencional o accidental divulgan la

información, 2. Vulnerabilidad en el sistema que permita a
3 Datos de clientes (información confidencial) Alto acceder a datos sensibles, 3. Falta de procedimiento para el 1. Divulgación, 2.Corrupción de los datos Catastrófico Improbable Medio Riesgo
control de documentación del SGSI, 4. Falta de procedimiento
formal para la supervición del registro SGSI.

1. Contraseñas debiles, 2. Exposición accidental de datos, 3.

4 Sitio e-commerce de KWX Medio Mala configuración del sistema, 4. Falta de conciencia de la 1. Intrusión, accesos forzado al sistema, 2. Manipulación del sistema Significante Posible Medio Riesgo
seguridad

1. Falta de superviciones, 2. Falta de control de accesos al

5 Servidores de archivos (almacenamiento de datos críticos) Alto servidor, 3. Falta de esquema de reemplazo periodico, 4. 1. Sabotaje, 2. Polvo, corrosión, congelamiento Catastrófico Improbable Medio Riesgo
Susceptibildad al polvo, corrosión.

1. Falta de politicas formal sobre la utilización del equipo, 2.

Falta de mecanisco de monitoreos establecidos por la brecha de
6 Base de datos de control de acceso (lector de carnet) Alto 1. Hurto de información, 2. Acceso no autorizado al sistema Catastrófico Improbable Medio Riesgo
la seguridad, 3. Falta de procedimientos de identificación, 4.
Falta en la producción de informes de gestión

1. Falta de procedimientos del cumplimiento de las dispociones

con los derechos intelectuales, 2. la insercción de dispositivos
7 Servidores de backup Alto 1. Códigos mal intencionado, 2. Perdida de suministro de energía Catastrófico Improbable Medio Riesgo
usb contaminados, 3. Conexión deficiente de cables, 4. Punto
único de falla

1. Punto único de falla, 2. Falta de procedimiento formal para el

8 Punto de acceso inalámbrico (D-Link) Alto regisro y retiro del registro de usuario, 3. Empleados 1. Intrusión en la privacidad personal, 2. Ataques contra el sistema Severo Posible Medio Riesgo
descontentos, 4. Falta de terminación de "inicio de sesión".

1. Empleados deshonestos, 2. Acceso a información crítica con

9 Datos de producción y planificación Alto poca seguridad, 3. Falta de procedimientos de control de 1. Venta de información, 2. Ingreso de datos falsos o corruptos Significante Probable Medio Riesgo
cambios, 4. Falta de capacitación a empleados

1. Software nuevo o inmaduro, 2. Descargas y uso no controlado

10 Alto del software, 3. Falta de procedimientos para la presentación de 1. Crimen por computador, 2. Pirateria Catastrófico Improbable Medio Riesgo
Servidor ADM/Intranet (Windows 2013 Server/IIS) informes sobre las debilidades en la seguridad, 4. Falta de
mecanismo de monitoreo.

1. Protección insuficiente, 2. Cables debilitados o corroidos, 3. 1. Interceptación de señales de interferencia comprometedoras, 2.

11 Redes Windows Medio Severo Improbable Medio Riesgo
Descarga y uso de software, 4. Falta de copias de respaldos Manipulación con Software

1. Falta de politicas formal sobre la utilización del equipo, 2.

12 Redes de Linux Medio Falta de mecanisco de monitoreos, 3. Uso incorrecto del 1. Uso no autorizado, 2. Error en el uso Severo Improbable Medio Riesgo
software, 4. Entranimento insuficiente de la seguridad

1. Configuración incorrecta, 2. Falta de politicas sobre el uso del

13 Redes eléctricas y sistemas de iluminación Medio correo de las herramientas, 3. Falta deasignación adecuada de 1. Manipulación con hardware, 2. Perdida del suministro de energía Significativo Probable Medio Riesgo
resposabilidades, 4. Red enérgetica inestable

1. Falta de protección fisica, 2. Falta de cuidado en la disposición

14 Impresoras Medio 1. Hurto del equipo, 2. Hurto de medios o documentos Menor Probable Medio Riesgo
final, 3. Falta de control de los activos, 4. Copia no controlada

1. Defectos bien conocidos, 2. Falta de documentación de daños,

15 Red de seguridad física (portería y cercas eléctricas) Medio 3. Susceptibilidad a las variaciones de temperaturas, 4. Falta de 1. Accidente importante, 2. Fenómenos climáticos Significativo Posible Medio Riesgo
esquema de reemplazo periódico.

1. Sensibildad a la radiación electromagnética, 2. Susceptibilidad

16 Equipo de mantenimiento (mecánico y eléctrico) Medio a las variaciones de tensión, 3. Falta de protección, 4. Falta de 1.Radiación electromagnética, 2.Hurto de equipo Significativo Posible Medio Riesgo
control de los activos

1. Conexión deficiente de los cables, 2. Punto único de falla, 3.

17 Equipos de computación (computadoras portátiles y de escritorio) Medio Falta de procesos disciplinarios, 4. Falta de politica formal sobre 1. Fallas del equipo, 2. Abuso del computador Significativo Probable Medio Riesgo
la utilización de equipos portatiles.

1.Arquitectura inseguridad de la red, 2. Transferencias de

18 Sala de reuniones con equipo de red inalámbrica Medio contraseñas autorizadas, 3. Tráfico sensible sin protección, 4. 1. Espionaje remoto, 2. Soborno de la información Significativo Improbable Bajo riesgo
Conexiones de red sin protección

1. Lineas de comunicación sin protección, 2. Tráfico sensible sin

19 PBX (central telefónica) Medio protección, 3. Falta de mecanismo de de identificación y 1. Acto fraudulentos(repetición), 2. Intrusión en el sistema Menor Improbable Bajo riesgo
autenticación, 4. Configuración incorrecta de parámetros.

1. Interface de usuario complicada, 2. Falta de control de cambio

20 Link de Internet (1 GB) Alto con configuración eficiente, 3. Defectos bien conocidos en el 1. Errores en el configuración, 2. Accesos no autorizados Severo Posible Medio Riesgo
software, 4. Uso incorrecto de hardware y software