01Introducción al Análisis de Riesgos
El análisis de riesgos es un proceso sistemático para identificar, evaluar y gestionar los riesgos a los que están expuestos los sistemas de información. Permite proteger los activos, garantizar la continuidad del negocio y tomar decisiones informadas sobre inversiones en seguridad.
Conceptos clave
Activo
Cualquier elemento de valor para la organización: información, hardware, software, personal o instalaciones.
Amenaza
Evento o circunstancia que puede causar daño a un activo. Puede ser natural, humana o tecnológica.
Vulnerabilidad
Debilidad en un activo que puede ser aprovechada por una amenaza para causar daño.
Riesgo
Probabilidad de que una amenaza explote una vulnerabilidad y cause daño. Combina probabilidad e impacto.
Impacto
Magnitud del daño que causaría la materialización de un riesgo sobre los activos de la organización.
Pasos del análisis de riesgos
- Identificación de activos relevantes para la organización
- Identificación de amenazas que podrían afectar a los activos
- Identificación de vulnerabilidades explotables por las amenazas
- Evaluación de riesgos: probabilidad e impacto de cada escenario
- Tratamiento de riesgos: aceptar, mitigar, transferir o evitar
Tipos de análisis
02Vulnerabilidades, Malware y Programación Segura
Tipos de vulnerabilidades
Fallos de programa
Errores en el código fuente que permiten comportamientos inesperados. Ej: desbordamiento de búfer, inyección SQL, XSS.
Vulnerabilidades de configuración
Configuraciones incorrectas en SO, aplicaciones o red. Ej: contraseñas por defecto, puertos abiertos, permisos excesivos.
Vulnerabilidades de diseño
Errores en el diseño de sistemas o protocolos. Ej: falta de autenticación, criptografía débil, protocolos inseguros.
Vulnerabilidades humanas
Errores o descuidos de usuarios y administradores. Ej: phishing, ingeniería social, contraseñas débiles.
Criterios de programación segura
- Validación de entradas – Verificar que los datos introducidos por los usuarios sean válidos y seguros
- Codificación de salidas – Codificar los datos antes de mostrarlos en la interfaz para evitar XSS
- Minimización de privilegios – Asignar solo los permisos necesarios a usuarios y procesos
- Criptografía robusta – Usar algoritmos de cifrado seguros y actualizados en todo momento
- Gestión de errores – Controlar los errores de forma segura sin divulgar información sensible
- Pruebas de seguridad – Pentesting y análisis de vulnerabilidades para identificar y corregir debilidades
03Particularidades de los Tipos de Código Malicioso
El malware engloba una amplia gama de programas diseñados para dañar, infiltrarse o controlar sistemas informáticos. Cada tipo tiene características y objetivos distintos.
🦠 Virus
Necesitan archivo huésped. Se replican insertando su código. Dañan o corrompen archivos. Se propagan por adjuntos de email o descargas.
🐛 Gusanos
Se propagan automáticamente por redes sin huésped. Explotan vulnerabilidades del SO. Crean botnets y consumen recursos.
🎭 Troyanos
Se disfrazan de software legítimo. No se replican solos. Abren puertas traseras para acceso remoto. Roban contraseñas y datos bancarios.
🔒 Ransomware
Cifra archivos y exige rescate. Se propaga por phishing o vulnerabilidades. Causa pérdidas críticas y paraliza operaciones.
👁️ Spyware
Se oculta y espía actividades. Registra pulsaciones (keylogging) y captura pantallas. Se instala sin conocimiento del usuario.
📢 Adware
Muestra publicidad no deseada. Ralentiza sistemas y consume recursos. Se instala junto con software gratuito o shareware.
🕳️ Rootkits
Se ocultan profundamente en el SO para evitar detección. Permiten control remoto del sistema. Difíciles de eliminar.
⌨️ Keyloggers
Registran pulsaciones de teclado. Roban contraseñas y datos bancarios. Pueden ser software o hardware físico.
04Elementos del Análisis de Riesgos y sus Modelos de Relaciones
El análisis de riesgos integra seis elementos clave que están interrelacionados formando un modelo de relaciones que permite evaluar y priorizar los riesgos.
Herramientas de modelado de relaciones
Diagrama de flujo
Visualiza el flujo de información e identifica los puntos donde pueden materializarse los riesgos.
Matriz de riesgos
Representa gráficamente probabilidad e impacto de los riesgos, permitiendo priorizarlos visualmente.
Árbol de fallos
Muestra las posibles combinaciones de eventos que pueden llevar a un fallo o incidente de seguridad.
05Metodologías Cualitativa y Cuantitativa de Análisis de Riesgos
Lo más recomendable es combinar ambas metodologías: usar la cualitativa para identificar y priorizar riesgos de forma rápida, y la cuantitativa para evaluar con mayor precisión los riesgos más críticos detectados.
06Identificación y Valoración de Activos
El primer paso del análisis de riesgos es inventariar y valorar todos los activos que la organización necesita proteger.
Categorías de activos
Información
Datos personales, información financiera, secretos comerciales, propiedad intelectual.
Hardware
Servidores, ordenadores, dispositivos móviles, equipos de red, periféricos.
Software
Sistemas operativos, aplicaciones de negocio, bases de datos, herramientas de seguridad.
Personal
Empleados con conocimiento especializado, contratistas, administradores de sistemas.
Instalaciones
Edificios, centros de datos, salas de servidores, infraestructura física crítica.
Servicios
Cloud Computing, servicios de terceros, conectividad de red, servicios externalizados.
Criterios de valoración
- Confidencialidad – Necesidad de proteger la información de accesos no autorizados
- Integridad – Necesidad de garantizar la exactitud y completitud de la información
- Disponibilidad – Necesidad de garantizar el acceso cuando sea necesario
- Valor financiero – Coste de reemplazo o impacto económico de la pérdida
- Valor reputacional – Impacto en la imagen y reputación de la organización
- Valor legal – Impacto en el cumplimiento de leyes y regulaciones aplicables
07Identificación de Amenazas que Afectan a los Activos
Amenazas Naturales
Terremotos, inundaciones, incendios, tormentas. Daños físicos a instalaciones y pérdida de información.
Amenazas Humanas
Ataques cibernéticos, sabotaje, robo, fraude, errores humanos. Pueden ser internas o externas.
Amenazas Tecnológicas
Fallos de hardware/software, malware, vulnerabilidades. Interrupciones, pérdidas o accesos no autorizados.
Amenazas Ambientales
Fallos eléctricos, climatización, contaminación. Afectan al funcionamiento de equipos y disponibilidad.
Amenazas Organizativas
Fusiones, falta de políticas de seguridad, incumplimiento normativo. Generan incertidumbre y exposición a riesgos.
Proceso de identificación
- Brainstorming – Sesiones de lluvia de ideas con expertos y personal relevante de distintas áreas
- Análisis de incidentes pasados – Revisar los incidentes que ha sufrido la organización previamente
- Análisis de vulnerabilidades – Identificar debilidades existentes que podrían ser explotadas
- Fuentes externas – Informes de seguridad, bases de datos CVE y alertas de organismos como CCN-CERT
- Análisis de escenarios – Desarrollar situaciones hipotéticas de ataques o incidentes concretos
08Análisis de Vulnerabilidades: Local, Caja Blanca y Caja Negra
Análisis Local
Realizado en el propio sistema con acceso privilegiado. Identifica vulnerabilidades de configuración, fallos de software y debilidades en controles de acceso internos.
Análisis Remoto — Caja Blanca
El analista tiene acceso completo: diagramas de red, código fuente, documentación. Análisis exhaustivo y preciso. Usado en pruebas internas o con proveedores.
Análisis Remoto — Caja Negra
Sin acceso previo a la información del sistema, simulando un atacante externo real. Identifica lo que un atacante podría explotar. Pruebas de penetración externas.
Proceso de análisis de vulnerabilidades
- Planificación. Definir alcance, objetivos y metodología del análisis de vulnerabilidades.
- Recopilación de información. Obtener información sobre sistemas, aplicaciones y redes a analizar.
- Escaneo de vulnerabilidades. Herramientas automatizadas para identificar posibles vulnerabilidades de forma eficiente.
- Análisis manual. Validar y profundizar en las vulnerabilidades identificadas mediante pruebas manuales especializadas.
- Explotación controlada. Intentar explotar las vulnerabilidades en entorno controlado para evaluar su impacto real.
- Documentación. Registrar vulnerabilidades, gravedad, recomendaciones y evidencias que respaldan los hallazgos.
Herramientas especializadas
09Optimización del Proceso y Elaboración del Informe de Auditoría
Optimización del proceso
- Automatización – Herramientas para escanear vulnerabilidades, analizar registros y generar informes
- Priorización – Centrar el esfuerzo en las vulnerabilidades más críticas y los activos más valiosos
- Colaboración – Involucrar a los responsables de sistemas y aplicaciones en el proceso
- Retroalimentación – Recopilar comentarios para mejorar el proceso de auditoría continuamente
- Actualización – Mantener herramientas y metodologías actualizadas ante nuevas amenazas
Elementos del informe de auditoría
10Medidas de Salvaguarda y su Efecto sobre Amenazas y Vulnerabilidades
Tipos de medidas de salvaguarda
Técnicas
Firewalls, IDS/IPS, antivirus, cifrado, control de acceso, 2FA, segmentación de red.
Organizativas
Políticas de seguridad, gestión de incidentes, planes BCP, formación y concienciación.
Físicas
Control de acceso físico, videovigilancia, alarmas, protección de instalaciones y equipos.
Efecto de las salvaguardas sobre el riesgo
📉 Reducción de la probabilidad
- Las salvaguardas preventivas reducen la probabilidad de que una amenaza explote una vulnerabilidad
- Ejemplo: MFA reduce la probabilidad de acceso no autorizado aunque la contraseña sea robada
💊 Reducción del impacto
- Las salvaguardas correctivas reducen el daño si el incidente se materializa
- Ejemplo: copias de seguridad reducen el impacto del ransomware al permitir la recuperación
🤝 Transferencia del riesgo
- Seguros cibernéticos o contratos con proveedores transfieren la responsabilidad económica del riesgo a un tercero
✋ Aceptación del riesgo
- Si el coste de la salvaguarda supera el impacto del riesgo, la organización puede decidir aceptarlo documentando la decisión
11Escenarios de Riesgo: Pares Activo-Amenaza
Un escenario de riesgo describe detalladamente cómo una amenaza puede explotar una vulnerabilidad para causar daño a un activo concreto. Se representa como un par activo-amenaza con su secuencia de eventos.
Por qué son importantes los escenarios
- Visualización – Permiten comprender concretamente cómo las amenazas afectan a los activos
- Priorización – Ayudan a identificar los riesgos más críticos para actuar primero
- Comunicación – Facilitan la transmisión de riesgos complejos a la dirección de forma clara
- Planificación – Permiten desarrollar planes de respuesta específicos para cada escenario
12Determinación de la Probabilidad e Impacto
13Nivel de Riesgo y Matriz de Riesgos
El nivel de riesgo combina la probabilidad y el impacto para determinar la criticidad de cada escenario y priorizar las acciones de mitigación necesarias.
Matriz de riesgos
| Probabilidad ↕ Impacto → |
Bajo | Medio | Alto |
|---|---|---|---|
| Alta | MEDIO | ALTO | CRÍTICO |
| Media | BAJO | MEDIO | ALTO |
| Baja | BAJO | BAJO | MEDIO |
Interpretación de niveles
Bajo
Riesgo aceptable. No requiere acciones inmediatas. Se puede monitorizar y revisar periódicamente.
Medio
Requiere acciones de mitigación planificadas para reducir la probabilidad o el impacto a corto-medio plazo.
Alto
Riesgo inaceptable. Requiere acciones de mitigación urgentes con recursos específicos asignados.
Crítico
Riesgo extremo. Exige acciones inmediatas y contundentes. Puede requerir detener actividades hasta mitigarlo.
14Criterios de Evaluación del Riesgo
Los criterios de evaluación son los parámetros que la organización define para determinar si un riesgo es aceptable o no, estableciendo el umbral a partir del cual se requieren acciones de mitigación.
Factores para establecer criterios
- Apetito de riesgo – El nivel de riesgo que la dirección de la organización está dispuesta a aceptar
- Objetivos de negocio – Los objetivos estratégicos y operativos que deben protegerse
- Requisitos legales y normativos – Las obligaciones legales y regulatorias aplicables
- Recursos disponibles – Presupuesto, personal y tecnología disponibles para gestionar riesgos
- Impacto reputacional – El efecto potencial de los riesgos en la imagen de la organización
Ejemplos de criterios
📊 Criterio cualitativo
- Riesgo aceptable si impacto es bajo y probabilidad baja o media
- Riesgo inaceptable si impacto y probabilidad son ambos altos
💰 Criterio cuantitativo
- Riesgo inaceptable si pérdida financiera potencial supera el 10% de ingresos anuales
- Permite toma de decisiones basada en datos objetivos y comparables
15Alternativas de Gestión de Riesgos
Existen cuatro estrategias principales para responder a los riesgos identificados, cada una adecuada para diferentes situaciones.
✋ Aceptación
No se toma ninguna acción. Válido cuando el riesgo es bajo, el coste de mitigación supera al impacto o la dirección decide asumir conscientemente el riesgo.
🛡️ Mitigación
Medidas para reducir la probabilidad o el impacto del riesgo mediante controles técnicos, organizativos o físicos.
🤝 Transferencia
El riesgo se transfiere a un tercero, como una aseguradora (seguro cibernético) o proveedor de servicios con SLAs contractuales.
🚫 Evitación
Se elimina la actividad o proceso que genera el riesgo. Para riesgos inaceptables sin alternativas de mitigación efectivas disponibles.
16Guía para la Elaboración del Plan de Gestión de Riesgos
El plan de gestión de riesgos es el documento que describe cómo la organización identificará, evaluará, tratará y supervisará los riesgos de forma estructurada y continua.
Pasos del plan
- Definir alcance y objetivos. Sistemas, procesos y activos incluidos. Objetivos: reducir probabilidad, minimizar impacto, cumplir normativa.
- Establecer la metodología. Seleccionar metodología de análisis. Definir criterios de evaluación y roles/responsabilidades.
- Identificar los riesgos. Inventario de activos, amenazas, vulnerabilidades y escenarios de riesgo detallados.
- Evaluar los riesgos. Probabilidad e impacto de cada escenario. Nivel de riesgo mediante matriz. Priorización por criticidad.
- Definir estrategias de tratamiento. Aceptar, mitigar, transferir o evitar cada riesgo. Acciones concretas con responsables y plazos.
- Desarrollar el plan de acción. Acciones detalladas con recursos necesarios. Plan de contingencia para responder a incidentes.
- Implementar el plan. Comunicar a todas las partes interesadas. Implementar acciones y realizar pruebas periódicas del plan de contingencia.
- Monitorear y revisar. Supervisar la eficacia de las acciones. Auditorías periódicas. Actualizar el plan ante cambios en el entorno.
Elementos clave del documento
17Metodología NIST SP 800-30
La publicación especial 800-30 del NIST proporciona un marco flexible para evaluar y gestionar los riesgos de seguridad de la información, ampliamente adoptado en organizaciones gubernamentales y privadas de todo el mundo.
- Caracterización del sistema
- Identificación de amenazas
- Identificación de vulnerabilidades
- Análisis de controles existentes
- Determinación de la probabilidad
- Análisis del impacto potencial
- Determinación del nivel de riesgo
- Recomendaciones de control
- Documentación de resultados
✅ Ventajas de NIST SP 800-30
- Marco flexible adaptable a todo tipo de organizaciones y sistemas
- Enfoque integral que cubre todos los aspectos de la seguridad
- Reconocimiento internacional amplio en la industria
- Proporciona base para la mejora continua de la gestión de riesgos
🌍 Aplicabilidad
- Sistemas de información gubernamentales (EE.UU. y adaptado globalmente)
- Sistemas financieros e infraestructuras críticas
- Sistemas de salud y comercio electrónico
- Cualquier organización que necesite un estándar reconocido
18Metodología Magerit Versión 2
Magerit (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) fue desarrollada por el Consejo Superior de Administración Electrónica de España. Es el estándar de referencia en la Administración Pública española.
- Identificación y valoración de activos (confidencialidad, integridad, disponibilidad)
- Identificación y valoración de amenazas (probabilidad de ocurrencia)
- Análisis y gestión de riesgos (nivel de riesgo, medidas de seguridad, plan de gestión)
✅ Características principales
- Enfoque en activos como base del análisis de riesgos
- Análisis cualitativo: estimación subjetiva de probabilidad e impacto
- Relativamente sencilla de aplicar y adaptable a distintos tamaños organizativos
- Herramienta PILAR del CCN-CERT para automatizar su aplicación
🌍 Aplicabilidad
- Administraciones Públicas españolas (obligatoria en muchos casos)
- Empresas privadas españolas y del ámbito europeo
- Organizaciones sin ánimo de lucro
- Compatible con ISO 27001 y el ENS (Esquema Nacional de Seguridad)
Comparativa NIST vs Magerit
| Criterio | NIST SP 800-30 | Magerit v2 |
|---|---|---|
| Origen | EE.UU. (federal) | España (CSAE) |
| Enfoque | Amenazas y controles | Activos y valoración CID |
| Análisis | Cuantitativo/Mixto | Cualitativo |
| Fases | 9 fases detalladas | 3 fases principales |
| Herramienta | Múltiples disponibles | PILAR (CCN-CERT) |
| Ámbito principal | Internacional / Gubernamental EE.UU. | Administración Pública española / ENS |