Análisis de riesgos cubiertos según la ISO/IEC 27002:2013
Para esta actividad he imaginado un análisis básico sobre cómo los distintos dominios de seguridad de la norma ISO/IEC 27002:2013 cubren amenazas y riesgos en una organización.
En lugar de hacer una hoja de cálculo, describo a continuación cómo sería la evaluación para cinco dominios seleccionados, asignando valores simulados a los factores requeridos: ponderación, nivel de amenaza, probabilidad de éxito del control y riesgo cubierto.
Ejemplo de dominios analizados:
Gestión de activos
Ponderación: alta, por ser clave en la protección de datos.
Amenaza estimada: 7/10.
Probabilidad de control efectivo: 0.70.
Riesgo cubierto (estimación): 4.90.
Control de accesos
Ponderación: muy alta.
Amenaza: 9/10.
Probabilidad de éxito: 0.80.
Riesgo cubierto: 7.20.
Seguridad física
Amenaza: 5/10.
Probabilidad de protección: 0.60.
Riesgo cubierto: 3.00.
Seguridad de recursos humanos
Amenaza: 6/10.
Probabilidad: 0.75.
Riesgo cubierto: 4.50.
Criptografía
Amenaza: 4/10.
Probabilidad de éxito: 0.90.
Riesgo cubierto: 3.60.
Este ejercicio permite identificar qué dominios protegen mejor frente a ciertos riesgos. Los que tienen mayor impacto, como el control de accesos, suelen requerir más atención y recursos para garantizar su eficacia.
Comentarios
Publicar un comentario