Bueno ahora el análisis de riesgo donde empezamos este es un tema muy extenso y muy clave para no solo
convertirse en un CSP certificado sino en nuestra vida como profesional de la seguridad informática
porque si bien es muy importante ser técnicos y saber muchos temas técnicos que vuelvo y repito nosotros
tenemos un curso de pruebas de penetración y todo esto todos los temas técnicos es muy importante saberlos.
También tenemos que voltear un poco al lado del negocio como así nosotros tenemos que saber que al final
estamos en un mundo de negocio en el raro caso o en casos donde de repente tengamos dos partes de una
oenegé etcétera etcétera posiblemente el tema monetario no sea un problema o sí depende.
Pero en el 99.9 nueve nueve por ciento de las veces en los negocios el tema monetario es el que rige
hacia dónde nos vamos a mover o si nos vamos a mover o si vamos a invertir en eso.
Aquí es donde el análisis de riesgo puede ser beneficioso para nosotros porque podemos respaldar cualquier
compra de un farol de cualquier contramedida que querramos la podemos respaldar con la reducción del
riesgo entonces qué tenemos que saber para un análisis de riesgo.
Primero tenemos que ver el tema del impacto del activo verdad esto significa saber qué tanto me va a
doler a mí perder un activo.
Para esto existe un tema que sé que se denomina vía bisnes impact analysis o análisis de impacto del
negocio el cual nos va a decir que si se cae este servidor por ejemplo si nosotros somos un comercio
y perdemos el servidor web pues es claro que el impacto va a ser muy alto.
Imagínense que cualquier vendedor en línea se le caiga a su servidor web pues el impacto va a ser muy
alto.
Ahora bien cómo determinar ese impacto es lo que es lo que es difícil.
Ahora también tenemos las vulnerabilidades y las amenazas que eso nos dan la probabilidad verdad ya
tenemos el impacto que pongamos para este ejemplo 10 dólares y la probabilidad no la da.
Las amenazas que tengamos y las vulnerabilidades que tengamos aquí es un concepto clave.
Por qué.
Porque si bien por ejemplo pongamos pongamos el ejemplo de cuando salió el blog si no saben que es el
interno duro pueden googlear fue un ataque muy conocido que atacaba a los sistemas operativos Windows
de una forma muy fácil y que no sabíamos que existía.
Fue un ataque de día cero o una vulnerabilidad de día cero porque no sabíamos que existía hasta hace
muy poco.
Entonces si bien todos los todas las empresas que tenían Windows eran afectadas es decir en este caso
la vulnerabilidad estaba ahí.
Las amenazas no eran las mismas porque vamos un hacker no va a querer atacar o no no va a tener la misma
cantidad de digamos que cuántos hackers quieren atacar el banco más grande del mundo y cuantos hackers
quieren atacar la panadería de la esquina de nuestras casas.
Entonces si bien la vulnerabilidad de la misma posiblemente las amenazas eran distintas y entonces es
ahí donde empezamos a jugar con la probabilidad verdad es por eso que cuando existe una y también cuando
existe un exploit o una vulnerabilidad hacia un sistema qué tan fácil es explotarla.
Porque ojo que un sistema puede ser vulnerable puede haber una vulnerabilidad en Windows pero tal vez
se requiera mucha mucho conocimiento sobre esta vulnerabilidad.
Hay que desarrollar un código nuevo por cada cliente que se quiera atacar etcétera etcétera.
También la complejidad juega un un factor importante acá entonces cuando tenemos el impacto y también
tenemos la probabilidad eso nos da el riesgo verdad.
Ahora bien impacto por probabilidad del riesgo sí pero también no significa que no tengamos ya contramedidas
en sitios recuérdese que por muy poca la sea la seguridad que tengamos posiblemente tenemos un firewall
posiblemente tengamos un antivirus.
Entonces eso también cuenta.
Entonces al final una fórmula básica del riesgo podemos decir que es probabilidad por impacto menos
contramedidas verdad.
Entonces con eso podemos sacar una matriz de riesgo que es una matriz de riesgo pues básicamente es
una forma bonita de presentar cuáles son los riesgos más altos y los riesgos más bajos.
Al final el valor o el nivel aceptable del riesgo no lo var.
El negocio es decir nuestro sitio por ejemplo o el gerente general nos va a decir que un valor aceptable
para mí un riesgo es un 50 por ciento.
Ok entonces la multiplicación de la probabilidad por el impacto menos las contramedidas nos quedó que
actualmente se tiene un 75 por ciento para llegar a un 50 por ciento debemos comprar X.
GZ contramedida que es una inversión de 10 mil dólares para para poder bajar el riesgo al nivel que
usted está queriendo.
Si no lo bajamos tenemos un 75 probabilidad de perder 20000 dólares 30 mil dólares.
Entonces cuando hablamos en estos términos en esos términos perdón frente a la Junta tenemos muchas
probabilidades de que nos aprueben las inversiones verdad.
Otros temas muy importantes y que vienen dentro del examen para el siguiente CEP es el S L o Shingo
Lost Experience.
Qué significa esto.
El aspecto en sí es cuánto vamos a perder por un activo o una simple pérdida de un activo o una pérdida
aislada de un activo.
Esto significa que ese es el valor del activo o el valio por el factor de exposición.
El Exposure factor.
Estas dos términos nos dan LCL y también tenemos el otro la otra parte de la fórmula que es a que se
ha Novais las expectativas.
Y cómo se pueden imaginar el L.E es el SLP que es el sin dudas expectante por el valor anual de ocurrencia
es decir pongamos un ejemplo.
Tenemos ese L.E de una computadora LCL de una computadora puede ser el as Balio que hayamos determinado.
Y ojo que no sólo estamos hablando de cuánto cuesta la computadora sino cuánto de información tiene
adentro porque no es lo mismo la computadora personal que de repente tengo un par de juegos etcétera
etcétera la cúpula a la computadora corporativa que tiene acceso a información de identificación personal
de mis clientes.
Entonces el valor del activo también va determinado por eso y luego les un factor no es lo mismo yo
que tengo una máquina de esto o una laptop que nunca deja la oficina a la de un vendedor que se mantiene
viajando a aeropuertos va a hoteles se la pueden robar etcétera etcétera entonces ahí podemos jugar
un poco con ese tema.
Una vez definido por ejemplo digamos que las valio de la laptop son diez dólares y el esposo factores
uno es LCL sin dudas expecting las experiencias de 10 dólares entonces el a L.
En este caso que sabemos que ese es 10 dólares entonces el Hailee es los 10 dólares por cuántas veces
se nos pierde una laptop al año por ejemplo.
Bueno entonces del año pasado tenemos las estadísticas que por lo menos 10 veces los vendedores han
dejado olvidada las laptops en el aeropuerto.
Entonces él es el Hailee sería 10 dólares por 10 veces verdad entonces esto haría que a él son 100 dólares
verdad.
Entonces esto es lo que tenemos que tomar en cuenta cuando cuando querramos tener alguna inversión cuando
queramos decir bueno para esto entonces si son 100 dólares al año yo voy a contratar un seguro que me
cuesta 50 dólares y me va a cubrir la cantidad de veces que se me pierde una laptop algo por el estilo
recuérdense.
No podemos aplicar una contramedida que sobrepase el valor de la pérdida.
Es decir no tendría sentido que el Hailee o el impacto total o la materialización de un riesgo sea de
200 dólares y la medida de la contramedida que yo quiera comprar sería de 500 dólares.
No tiene sentido y entonces ahí esa delgada línea es cuando la seguridad informática se convierte posiblemente
en una inversión a una pérdida.
Entonces otro tema que tenemos que tocar es el cash cost of ownership o el costo de ser el dueño de
un activo Orda el TC o como se le conoce Ticio Total Cost of Ownership o costo total de ser el dueño
es el costo de la mitigación de la contramedida es decir si yo voy a comprar un Farewell esto esto el
TC incluye los 100 mil dólares que me costó el fãtbol verdad porque es lo que costó también el costo
del mantenimiento anual mensual etcétera etcétera.
Esto también incluye el entrenamiento a mi personal.
Esto también incluye cuántas horas va a pasar mi personal dándole mantenimiento o tocando regla del
Fireball.
Esto también incluye el mantenimiento de los proveedores esto también incluye las suscripciones de software
es decir todo la depreciación del equipo cuánta electricidad va a gastar cuánta Internet va a consumir
todo esto se traduce en el total cost of ownership porque cuando estamos evaluando una contramedida
o comprar alguna solución no podemos solo tomar en cuenta el valor inicial que nos va a costar o el
valor inicial que tiene hay que tomar en cuenta todo esto para saber si la contramedida al final es
algo que nos convenga o si preferimos irnos por un servicio anualizados.
Por ejemplo en vez de decir bueno yo no quiero comparar Farewell mejor te compro un furbol como servicio.
Eso es algo muy común hoy en día en vez de pagar y manejar yo mejor dámelo tú está en la nube el Farewell
y cualquier tráfico se deriva hacia allá verdad el otro es el Roshi.
Al final yo les dije y les vuelvo a repetir y les voy a seguir diciendo que nosotros tenemos que ser
consultores de negocio verdad.
Cuando empezamos a hablar en términos de empezamos a hablar en términos de reducción de riesgo impacto
probabilidad.
La Junta nos va a escuchar y en este caso para poder justificar una inversión está el Roshi el return
Asset Kirari Investment verdad que es el retorno de la seguridad de la inversión de Seguridad de la
información a seguridad informática verdad.
Entonces aquí tenemos que si nosotros vamos a invertir en un activo pues en cuánto tiempo ese activo
se va a digamoslo a apagar por sí solo verdad.
Ahí tenemos que tomar en cuenta el total cost of ownership el análisis a los expecting y todos esos
temas que hemos visto a través de este curso.
Ahora no quiero que se vuelvan financieros.
Sería algo magnífico pero no es necesario para estos temas del Celles sp.
También podemos nosotros ver tranquilamente cómo podemos apoyarnos en el departamento de finanzas para
tener todos intentar aplicar todos estos temas y para poder presentarlo a junta así que tranquilos.
Luego tenemos las que podemos decirlas.
Cómo podemos responder ante el riesgo verdad.
Las Riss Choice Choices que le dicen en inglés verdad.
Cómo podemos responder.
Por ejemplo tenemos cuatro respuestas ante los riesgos.
La primera es aceptarlo es decir bueno el riesgo es 75 por ciento.
Recuérdense la Junta o el negocio o el sitio o el director general son los que dictan el porcentaje
aceptable y el riesgo entonces si nosotros le decimos miren nosotros tenemos un 75 por ciento de riesgo
de sufrir una pérdida de información porque no tenemos DLP porque no tenemos firewall etcétera etc..
Es la tarea de la junta directiva o del CIO decir bueno lo acepto y vámonos con ese 75 por ciento gorda.
Al final nosotros lo que tenemos que hacer un reportaje verdad.
Luego tenemos la mitigación del riesgo es decir ese 75 por ciento no es aceptable.
Apliquemos contramedidas no apliquemos pongamos esto o aquello vámonos a la nube o nos vamos a la nube
todo esto o cualquier cualquier contramedida que nos sirva para mitigar.
Luego tenemos la transferencia que es básicamente comprar un seguro para nosotros.
Para nosotros poder decir bueno de aquí para acá yo cubro con mi contramedida pero el resto el resto
mejor un seguro.
En dado caso yo pierdo información pues el seguro me va a retribuir la información.
Ahora bien cuando estamos calculando un seguro tenemos que tomar en cuenta muchas cosas no solo en la
información como tal.
Las demandas que vayamos a tener las multas que nos pongan las leyes o regulaciones verdad por ejemplo
GE de PR.
Todo esto hay que tomarlo en cuenta el impacto a la reputación que tendríamos como empresa cuántos clientes
perderíamos son muchos factores que hay que tomar en cuenta y no simplemente el valor de información
por sí sola y la última respuesta al riesgo es evitarlo es decir bueno si nosotros estamos evaluando
entrar en este otro terreno dentro del negocio o abrir otra empresa o abrir otra fábrica o moverlas
las operaciones a otro país pero estamos viendo que el riesgo muy alto por lo Avito ya simplemente no
lo hago verdad.
Ahora bien para el análisis de riesgo hay dos tipos de análisis de riesgo el primero es el cuantitativo
y cualitativo gorda el cuãn el cualitativo de cualidad.
Al final es algo que no es basado en números es decir yo puedo hablar con los dueños de la información
yo puedo ver algún censo yo puedo ver cualquier dato que me pueda llevar a tener un estimado de cuánto
podría llegar a perder.
Es basado en cualidades que es lo que siento yo que puedo llegar a perder.
Cualitativo y esto es por lo general el primer análisis del primer tipo de análisis de riesgo que se
hace porque no tenemos data histórica después de haber hecho un par de análisis cualitativos porque
recuérdese que este es un ciclo de vida después de haber hecho un par de análisis cualitativos podemos
entrar al análisis cuantitativo porque de repente ya tenemos números históricos.
Ya sabemos que el año pasado se nos perdieron se nos perdieron 20 laptops el año pasado hubo un ataque
de denegación de servicio el año pasado hubo una filtración de datos el año pasado hubo etcétera etcétera
etcétera.
Entonces ya podemos pasar de algo cualitativo o algo cuantitativo es decir números como tal cual es
el mejor obviamente el cuantitativo porque es más objetivo pero como les repito es muy difícil llegar
ahí y muchas veces tenemos que empezar por un par de análisis cualitativos para realmente tener data
y poder pasar de cualitativo y cuantitativo verdad.
Y luego tenemos dos tipos de atacantes porque recuérdense otra vez a amenazas y vulnerabilidades.
Podemos tener la misma vulnerabilidad que la empresa a BC pero de repente los atacantes están más quieren
atacar más a estas empresas grandes a veces porque mejores premios o pueden presumir de esto en internet
o simplemente van tras el dinero o temas valores monetarios.
Entonces aquí tenemos los hackers que es lo que les comento de una vez.
Hackers le digo yo porque así va a aparecer muchas veces en los libros o en los exámenes.
Sin embargo este término está mal usado porque un jaque eres una persona ética que intenta vulnerar
sistemas para poder fortalecerlos más.
Los chicos malos son crackers y otro montón de nombres pero para efectos del examen hacker creo que
es el sinónimo de alguien malo.
Entonces tenemos aquí los crackers como se había dicho los requires que al final son personas que simplemente
bajan exploits de Internet y los corren que créanme por ejemplo frameworks como mera exploit o algo
así lo hacen ver muy fácil y realmente muy fácil y luego tenemos el activista que son personas que tengan
una agenda política que dicen bueno vamos a atacar a tal gobierno tal empresa porque está haciéndole
mal al pueblo etc etc etc etc..
Recuerden jaquear un sistema de cualquier persona sea mala o buena sin consentimiento de esa persona
no es legal entonces siempre cuidado por ahí verdad.
Y luego tenemos a los empleados enojados que lo vimos en la presentación anterior.
También puede ser un tipo de atacante un empleado enojado y luego tenemos las botnets que los que las
personas mismas se pueden suscribir para ser parte de una botnet y hacer ataques de denegación de servicios
distribuido hacia un cliente en específico.
Tenemos los phishers que son las personas que se dedican a hacer phishing que es muy común por correo
electrónico por ejemplo donde les dicen Bueno alerta en un banco tal banco X GZ tiene que actualizar
su nombre y al final los mandan a una página que parece muy similar a la pagina real pero realmente
sólo lo que está haciendo robándose sus credenciales.
Este es un pequeño una pequeña introducción al análisis de riesgo.
Espero les haya gustado y nos vemos muy pronto.