EL RIESGO

El riesgo es parte de4 todas nuestras vidas como sociedad, debemos tomar riesgos para crecer
y desarrollarnos. En energía, infraestructura, cadenas de suministros para la seguridad de los
aeropuertos, hospitales a la vivienda, la administración eficaz de los riesgos ayudar a las
sociedades a tener éxito.

El papel de la TI es una organización se ha transformado en los últimos años y ya no es visto

como simple apoyo a las empresas.

Como resultado, la perspectiva sobre gestión de riesgo de TI dentro de una organización

también ha evolucionado.

FUNDAMENTOS DE LO GESTION DE RIESGOS

CONCEPTOS CLAVE:

El riesgo es una medida del grado en que una entidad está amenazada por una posible
circunstancia o acontecimiento.

RIESGO

Combinación de la probabilidad de un suceso y de su consecuencia

CONSECUENCIA:

Resultado de un suceso. Se puede derivar más de una consecuencia de un mismo suceso.

PROBABILIDAD

Grado en que un suceso puede tener lugar.

GESTION DE RIESGOS

Actividad coordinada para dirigir y controlar una empresa en relación con el riesgo.

IDENTIFICACION DE RIESGOS

Proceso por el que se encuentran, enumeran y caracterizan elementos de riesgo.

ESTIMACION DE RIESGOS

Proceso utilizado para asignar valores a la probabilidad y a la consecuencia de un riesgo.

EVALUCACION DE RIESGOS

Proceso que consiste en comparar el riesgo calculado con ciertos criterios de riesgos para
determinar la importancia del riesgo.

TRATAMIENTO DE RIESGOS

Proceso de selección y puesta en aplicación de medidas para modificar el riesgo.

RIESGO RESIDUAL

Riesgo que permanece después del tratamiento de riesgos.

UNA METODOLOGIA DE EVALUACION:

ACTIVIDAD DESCRIPCION
1.- identifica Amenazas ; a partir de incidentes sufridos, la lista de activos críticos

2.- identifica vulnerabilidades; Análisis de la lista de vulnerabilidades asociadas a los procesos

3.- valora el Riesgo inherente; se determina cuáles son los riesgos inherentes a las actividades

4.- Identifica Controles existente; identifica controles que actualmente tiene

implementado la organización.

5.- Valora el riesgo residual; Se evalúa la calidad y eficacia de los controles mitigantes del
riesgo.

6.- Optimiza Controles; Se propone una serie de mejoras con el fin de optimizar los
controles existentes o agregar nuevos controles necesarios.

7.- Mantiene un Perfil de Riesgo; establecer una matriz de Riesgos, controles,

monitoreos.

MARCO DE TRABAJO

- Gobierno de TI
- Gente
- Estándares y Políticas
- Procesos y Procedimientos
- Mejora Continua.

IDENTIFICAR RIESGOS.- identificar los riesgos de TI aplicables a partir de los escenarios de r

GESTIONAR EL RIESGO.- Gestionar los riesgos de TI a través de la implementación de proce

OPTIMIZAR EL RIESGO.- establecer procesos y procedimientos para optimizar controles y f

MITIGAR EL RIESGO.- establecer estrategias de mitigación al impacto de la materialización

de riesgos.

ESTANDARES Y NORMAS

ISO 31000: 2009, gestión de riesgos principios y directrices (organización Internacional de

normalización)

ISO/IEC 31010: 2009, Gestión del riesgo técnico de apreciación.

ISO/IEC 20000-1:2011, TECNOLOGIA DE LA INFORMACION Gestión de servicios. Tecnología

de la informacion parte1; requisitos del sistema de gestión de servicios.

ISO/IEC 20000-2:2012, tecnología del informacion gestión de servicio parte 2: orientación

sobre la aplicación de sistemas de gestión de servicios.

ISO 22301:2012, La seguridad social sistemas de gestión de la continuidad de negocio,

requisitos.

ISO/IEC 27000:2009, tecnología del informacion técnicas de seguridad sistemas de gestión

de seguridad de la informacion, informacion general y vocabulario.

ISO/IEC 27001:2005, Sistemas de gestión de seguridad de la informacion requisitos.

 ISO/IEC 27002:2005, tecnología de la informacion técnicas de seguridad código de buenas
prácticas de gestión de la seguridad de informacion.

ISO/IEC 27005:2011, Tecnología de la informacion técnicas de seguridad gestión de riesgos

de seguridad de la informacion.

BUENAS PRÁCTICAS.

ITSM, ITIL V3.- ITIL (Informacion technology infraestructure library o biblioteca de

infraestructura de tecnologías de la informacion)

COBIT 5.- provee de un marco de trabajo integral que ayuda a las empresas a alcanzar sus
objetivos para el gobierno y la gestión de las TI corporativas. ISACA ha emitido escenarios
de riesgo utilizando COBIT 5 para proporcionar orientación de riesgo.

UN MARCO DE REFERENCIA GENERICO PARA LA GESTION DE RIESGOS (ISO 31000)

TODAS las organizaciones, no importa cuan grande o pequeño, se enfrentan a factores

internos y externos que generan incertidumbre sobre si serán capaces de alcanzar sus
objetivos. El efecto de esta incertidumbre es RIESGO y es inherente a todas las actividades.

PRINCIPIOS.

1- Crea valor
2- Está integrada en los procesos de una organización.
3- Forma parte de la toma de decisiones
4- Trata explícitamente la incertidumbre.
5- Es sistemática, estructurada y adecuada.
6- Está basada en la mejor informacion disponible.
7- Está hecha a medida.
8- Tiene en cuenta factores humanos y culturales
9- Es transparente e inclusiva.
10- Es dinámica, iterativa y sensible al cambio.
11- Facilita la mejora continua de la organización.

Compromiso de la dirección

Diseño del modelo de gestión del riesgo

Mejoramiento implementación de la gestión del riesgo

Continuo del

Modelo

Seguimiento y

Revisión del modelo

 Establecer el contexto

Identificación de riesgos monitoreo y revisión

Comunicación y análisis de riesgos

Consulta valoración de los riesgos

Tratamiento de los riesgos

BENEFICIOS

1- Establecer una base confiable para la toma de decisiones

2- Mejora los controles
3- Efectivamente asignar y utilizar recursos para el tratamiento del riesgo
4- Mejora la eficacia y eficiencia operativa
5- Mejorar la salud y de seguridad así como la protección del medio ambiente
6- Mejorar la prevención de perdidas
7- Mejorar al mínimo de perdidas
8- Mejorar el aprendizaje organizacional
9- Mejorar la capacidad de recuperación de la organización.

Conclusión
La norma Iso 31000 ofrece un nuevo concepto de riesgo y define la necesidad de
incorporar la gestión de riesgos en todos los procesos y practica s de las
organizaciones. Ya que la norma no es específica para ningún sector.