NIST 800-30 - Esp

10/6/2014 Gua de Gestin de Riesgos prr Sistemas Informticos
http://translate.googleusercontent.com/translate_f 1/45
Pgina 1
Gua de gestin de riesgos para
Sistemas de Tecnologa de la Informacin
Recomendaciones del Instituto Nacional de
Normas y Tecnologa
Gary Stoneburner, Alice Goguen, y Alexis Feringa
Special Publication 800-30
Pgina 2
SP 800-30 Pgina ii
COMPUTERSECURITY
Divisin de Seguridad Informtica
Laboratorio de Tecnologas de la Informacin
Instituto Nacional de Estndares y Tecnologa
Gaithersburg, MD 20899-8930
1
Booz Allen Hamilton Inc.
3190 Fairview Park Drive
Falls Church, VA 22042
07 2002
EE.UU. Departamento de Comercio
Donald L. Evans, Secretario
ADMINISTRACIN DE TECNOLOGA
Phillip J. Bond, Subsecretario de Tecnologa
INSTITUTO NACIONAL DE NORMAS Y TECNOLOGA
Arden L. Bement, Jr., Director
NIST Special Publication 800-30
Gua de gestin de riesgos para
Sistemas de Tecnologa de la Informacin
Recomendaciones de la
Instituto Nacional de Estndares y Tecnologa
Gary Stoneburner, Alice Goguen 1, Y
Alexis Feringa 1
Pgina 3
Informes sobre Sistemas Computer Technology
El Laboratorio de Tecnologa de la Informacin (DIT) en el Instituto Nacional de Estndares y Tecnologa
promueve la economa de EE.UU. y el bienestar pblico al proporcionar liderazgo tcnico para la nacin de
la medicin y la infraestructura de las normas. ITL desarrolla pruebas, mtodos de prueba, datos de referencia, prueba de
implementaciones de concepto y anlisis tcnicos para avanzar en el desarrollo y el uso productivo de
tecnologa de la informacin. Responsabilidades de ITL incluyen el desarrollo de tcnicas, fsicas,
normas y directrices para la seguridad econmica y la privacidad de los administrativos y de gestin
informacin no clasificada sensible en los sistemas informticos federales. La Publicacin Especial 800-series
informes sobre la investigacin, la gua de liras italianas, y los esfuerzos de difusin de la seguridad informtica, y su colaboracin
actividades con la industria, el gobierno y organizaciones acadmicas.
SP 800-30 Pgina iii
Instituto Nacional de Estndares y Tecnologa de la publicacin especial 800-30
Natl. Inst. Prese. Technol. Spec. Publ. 800-30, 54 pginas (julio de 2002)
CODEN: NSPUE2
Ciertas entidades comerciales, equipos o materiales pueden ser identificadas en este documento con el fin de describir un
procedimiento experimental o concepto adecuadamente. Esta identificacin no pretenden dar a entender recomendacin u
aprobacin por parte del Instituto Nacional de Estndares y Tecnologa, ni pretende dar a entender que las entidades,
materiales o equipos son necesariamente los mejores disponibles para ese fin.
Pgina 4
Agradecimientos
Los autores, Gary Stoneburner, del NIST y Alice Goguen y Alexis Feringa de Booz
Allen Hamilton desean expresar su agradecimiento a sus colegas de las dos organizaciones que
borradores revisados de este documento. En particular, Timothy Grance, Marianne Swanson, y Joan
Hash de NIST y Debra L. Banning, Jeffrey Confer, Randall K. Ewell, y Waseem
Mamlouk de Booz Allen proporcion informacin valiosa que contribuyeron sustancialmente a la
contenido tcnico de este documento. Por otra parte, agradecemos y apreciamos el
muchos comentarios de los sectores pblico y privado cuyas reflexiva y constructiva
comentarios mejoraron la calidad y la utilidad de esta publicacin.
SP 800-30 Pgina iv
Pgina 5
TABLA DE CONTENIDO
1.
INTRODUCTION..............................................................................................................................................1
1.1 La
UTORIDAD
.................................................................................................................................................1
1.2 P
ROPSITO
......................................................................................................................................................1
1.3 O
BJETIVO
..................................................................................................................................................2
1.4 T
ARGET
La
UDIENCE
.....................................................................................................................................2
1.5 R
EXALTADA
R
EFERENCIAS
................................................................................................................................3
1.6 T
GUA DEL USUARIO
S
STRUCTURA
......................................................................................................................................3
2.
PANORAMA GENERAL DE GESTIN DEL RIESGO .............................................................................................................4
2.1 Yo
IMPORTANCIA DE
R
ISK
M
GESTIN
.........................................................................................................4
2.2 Yo
INTEGRACIN DE
R
ISK
M
GESTIN EN
SDLC ................................................. .................................... 4
2.3 K
EY
R
OLES
.................................................................................................................................................6
3.
EVALUACIN DE RIESGOS ........................................................................................................................................8
3.1 S
TEP
1: S
ISTEMA
C
HARACTERIZATION
......................................................................................................10
3.1.1 Relacionadas con el sistema Information................................................................................................................10
3.1.2 Tcnicas de recogida de informacin .....................................................................................................11
3.2 S
TEP
2: T
Hreat
Yo
DENTIFICACIN
.............................................................................................................12
3.2.1 Amenaza-fuente Identification................................................................................................................12
3.2.2 La motivacin y la amenaza acciones ............................................................................................................13
3.3 S
TEP
3: V
Ulnerabilidad
Yo
DENTIFICACIN
.................................................. .............................................. 15
3.3.1 Vulnerabilidad Sources...........................................................................................................................16
3.3.2 Pruebas de seguridad del sistema .......................................................................................................................17
3.3.3 Desarrollo de Requisitos de Seguridad Lista de control ............................................. ................................... 18
3.4 S
TEP
4: C
ONTROL
La
NLISIS
....................................................................................................................19
3.4.1 Control Methods..................................................................................................................................20
3.4.2 Control de Categoras ..............................................................................................................................20
3.4.3 Anlisis de control Technique.................................................................................................................20
3.5 S
TEP
5: L
IKELIHOOD
D
ETERMINACIN
.....................................................................................................21
3.6 S
TEP
6:
MPACT
La
NLISIS
.......................................................................................................................21
3.7 S
TEP
7: R
ISK
D
ETERMINACIN
.................................................................................................................24
3.7.1 Riesgo Nivel Matrix.................................................................................................................................24
3.7.2 Descripcin de Riesgo Level.....................................................................................................................25
3.8 S
TEP
8: C
ONTROL
R
RECOMENDACIONES
...................................................................................................26
3.9 S
TEP
9: R
ESULTADOS
D
OCUMENTACIN
.........................................................................................................26
4.
RIESGO MITIGATION.......................................................................................................................................27
4.1 R
ISK
M
ITIGATION
O
PCIONES
.......................................................................................................................27
4.2 R
ISK
M
ITIGATION
S
ESTRATEGIA
....................................................................................................................28
4.3 La
NFOQUE PARA
C
ONTROL
Yo
EJECUCIN
.................................................. .......................................... 29
4.4 C
ONTROL
C
ATEGORIES
.............................................................................................................................32
4.4.1 Seguridad Tcnica Controls.................................................................................................................32
4.4.2 Security Management Controls............................................................................................................35
4.4.3 Seguridad Operacional Controls.............................................................................................................36
4.5 C
OST
-B
ENEFICIO
La
NLISIS
.........................................................................................................................37
SP 800-30 Pgina iv
4.6 RESIDUAL RISK.........................................................................................................................................39
5.
EVALUACIN Y ASSESSMENT............................................................................................................41
5.1 T
OOD
S
EGURIDAD
P
Ractique
.......................................................................................................................41
5.2 K
EYS PARA
S
L xito
...................................................................................................................................41
Apndice A-Ejemplo de preguntas de la entrevista ............................................................................................................. A-1
Apndice B-Ejemplo de informe de evaluacin de riesgos Outline...........................................................................................B-1
Pgina 6
SP 800-30 Pgina v
Apndice C-Sample Plan de Salvaguarda Implementacin Cuadro Resumen ......................................... ......................... C-1
Apndice DAcronyms.......................................................................................................................................... D-1
Apndice EGlossary..............................................................................................................................................E-1
Apndice FReferences...........................................................................................................................................F-1
LISTA DE FIGURAS
Figura 3-1 Evaluacin de Riesgos Metodologa Flowchart...................................................................................................9
Figura 4-1 Mitigacin de Riesgos Accin Points....................................................................................................................28
Figura 4-2 Mitigacin de Riesgos Metodologa Flowchart...................................................................................................31
Figura 4-3 Tcnica de Seguridad Controls.......................................................................................................................33
Implementacin Figura 4-4 Control y Riesgo Residual ......................................... .................................................. .... 40
LISTA DE TABLAS
Tabla 2-1 Integracin de la Gestin de Riesgos a la ....................................... SDLC .................................................. ..... 5
Tabla 3-1 Amenazas humanas: Amenaza-Source, la motivacin y acciones de amenaza .................................. ............................. 14
Tabla 3-2 Vulnerabilidad / Amenaza Pairs...........................................................................................................................15
Tabla 3-3 Criterios de seguridad ..........................................................................................................................................18
Tabla 3-4 Definiciones de probabilidad ................................................................................................................................21
Tabla 3-5 Magnitud del Impacto Definiciones ................................................................................................................23
Tabla 3-6 Riesgo Nivel Matrix.......................................................................................................................................25
Tabla 3-7 Escala de Riesgo y acciones necesarias ..............................................................................................................25
Pgina 7
SP 800-30 Pgina 1
1.
INTRODUCCIN
Cada organizacin tiene una misin. En esta era digital, como las organizaciones utilizan la informacin automatizada
tecnologa (TI) 1 para procesar su informacin para un mejor apoyo de su misin, el riesgo
gestin juega un papel fundamental en la proteccin de los activos de informacin de una organizacin, y por lo tanto
su misin, de los riesgos relacionados con las TI.
Un proceso eficaz de gestin de riesgos es un componente importante de una seguridad de TI con xito
programa. El objetivo principal del proceso de gestin de riesgos de una organizacin debe ser la proteccin de
la organizacin y su capacidad para llevar a cabo su misin, no slo sus activos de TI. Por lo tanto, el riesgo
proceso de gestin no debe ser tratado principalmente como una funcin tcnica llevada a cabo por la TI
expertos que operan y administran el sistema informtico, sino como una funcin esencial de la administracin de la
organizacin.
1.1 AUTORIDAD
Este documento ha sido desarrollado por el NIST en cumplimiento de sus responsabilidades legales en virtud de
la Ley de Seguridad Informtica de 1987 y la Ley de Reforma de la Gestin de la Tecnologa de la Informacin
1996 (en concreto 15 del Cdigo de los Estados Unidos (USC) 278 g-3 (a) (5)). Esto no es una pauta dentro de
el significado de 15 USC 278 g-3 (a) (3).
Estas directrices son para uso de las organizaciones federales que procesan informacin sensible.
Son consistentes con los requisitos de la OMB Circular A-130, Apndice III.
Las presentes directrices no son obligatorias y las normas vinculantes. Este documento puede ser utilizado por
las organizaciones no gubernamentales sobre una base voluntaria. No est sujeto a derechos de autor.
Nada en este documento que pretenda contradecir las normas y directrices hizo
obligatorio y vinculante para las agencias federales por el Secretario de Comercio bajo su legal
autoridad. Tampoco deberan estas directrices pueden interpretar como la alteracin o reemplazando el existente
autoridades de la Secretara de Comercio, el Director de la Oficina de Gerencia y Presupuesto,
o cualquier otro funcionario federal
.
1.2 PROPSITO
El riesgo es el impacto negativo neto del ejercicio de una vulnerabilidad, teniendo en cuenta tanto la probabilidad
y el impacto de la ocurrencia. La gestin del riesgo es el proceso de identificacin de riesgos, evaluacin de riesgos,
y tomar medidas para reducir el riesgo a un nivel aceptable. Esta gua proporciona una base para la
desarrollo de un programa de gestin de riesgos efectiva, que contiene tanto las definiciones y la
orientacin prctica necesaria para evaluar y mitigar los riesgos identificados en los sistemas de TI. La
objetivo final es ayudar a las organizaciones a gestionar mejor los riesgos relacionados con las TI de misin.
1 El trmino "sistema informtico" se refiere a un sistema de apoyo general (por ejemplo, la computadora central, ordenador de gama media, locales
red de rea, columna vertebral agencywide) o una de las principales aplicaciones que se pueden ejecutar en un sistema de apoyo general y cuya
uso de los recursos de informacin satisface un conjunto especfico de necesidades de los usuarios.
Pgina 8
Adems, esta gua proporciona informacin sobre la seleccin de los controles de seguridad rentables. 2
Estos controles se pueden utilizar para mitigar los riesgos para la mejor proteccin de misin crtica
la informacin y los sistemas informticos que procesan, almacenan y transportan esta informacin.
Las organizaciones pueden optar por ampliar o abreviar los procesos y medidas integrales
se sugiere en esta gua y adaptarlos a su entorno en la gestin de misin relacionados con TI
riesgos.
1.3 OBJETIVO
El objetivo de la realizacin de la gestin de riesgos es permitir a la organizacin para llevar a cabo su
SP 800-30 Pgina 2
misin (s) (1) por mejor asegurar los sistemas que almacenan, procesan o transmiten organizacional
informacin; (2) haciendo posible la gestin para tomar decisiones de gestin de riesgos con conocimiento de causa a
justificar los gastos que forman parte de un presupuesto de TI; y (3) por ayudar a la administracin en
autorizar (o acreditacin de) los sistemas de TI 3 sobre la base de la documentacin de apoyo
derivados de la realizacin de la gestin de riesgos.
1.4 DESTINATARIOS
Esta gua proporciona una base comn para la experiencia y sin experiencia, tcnica y
personal no tcnico que apoyan o usan el proceso de gestin de riesgos para sus sistemas de TI.
Este personal incluye
La alta direccin, los propietarios de la misin, los que toman las decisiones acerca de la seguridad de TI
presupuesto.
Jefes de los Servicios de Informacin Federal, que garanticen la puesta en prctica de riesgo
la gestin de los sistemas de TI de la agencia y la seguridad proporcionados para estos sistemas de TI
La Autoridad Designada Aprobatoria (DAA), que es responsable de la final
decisin sobre si se debe permitir el funcionamiento de un sistema informtico
El administrador del programa de seguridad de TI, que implementa el programa de seguridad
Los oficiales de seguridad del sistema de informacin (ISSO), que son responsables de la seguridad de TI
Los propietarios de sistemas de TI de software y / o hardware del sistema utilizados para apoyar las funciones de TI.
Los dueos de la informacin de los datos almacenados, procesados y transmitidos por los sistemas de TI
Los gerentes de negocios o funcionales, que son responsables del proceso de adquisicin de TI
El personal de apoyo tcnico (por ejemplo, redes, sistemas, aplicaciones y bases de datos
administradores; especialistas en informtica; Los analistas de seguridad de datos), que gestionan y
administrar la seguridad de los sistemas informticos
Sistema de TI y programadores de aplicaciones, que desarrollan y mantienen el cdigo que podra
sistema y la integridad de datos afectar
2
Los trminos "garantas" y "controles" se refieren a las medidas de reduccin de riesgos; estos trminos se utilizan indistintamente en
este documento de orientacin.
3
Oficina de Administracin y Presupuesto de noviembre de 2000 la Circular A-130 de la Ley de Seguridad Informtica de 1987, y el
Informacin del Gobierno de Ley de Reforma de Seguridad en octubre de 2000 exige que un sistema informtico ser autorizado antes de la
a partir de entonces volvi a autorizar la operacin y al menos cada 3 aos.
Pgina 9
El personal de garanta de calidad de TI, que ponen a prueba y garantizar la integridad de los sistemas informticos
y los datos
Los auditores de sistemas de informacin, quienes auditan sistemas de TI
Los consultores de TI, que apoyan a los clientes en la gestin de riesgos.
1.5 REFERENCIAS RELACIONADAS
Esta gua se basa en los conceptos generales presentados en el Instituto Nacional de Estndares y
Tecnologa (NIST) Publicacin Especial (SP) 800-27, Principios de Ingeniera de Seguridad Informtica,
junto con los principios y prcticas de NIST SP 800-14, Principios Generalmente Aceptados y
Prcticas recomendadas para proteger Sistemas Informticos. Adems, es coherente con la
polticas que se presentan en la Oficina de Administracin y Presupuesto (OMB) Circular A-130, Apndice III,
"La seguridad de Federal Automatizado de Informacin de Recursos"; la Ley de Seguridad Informtica (CSA) de
1987; y la Ley de Reforma de la Seguridad de Informacin del Gobierno de octubre de 2000.
1.6 GUA DE ESTRUCTURA
Las secciones restantes de esta gua discutir lo siguiente:
La Seccin 2 proporciona una visin general de la gestin del riesgo, cmo se integra en el sistema
el desarrollo del ciclo de vida (SDLC), y las funciones de las personas que apoyan y utilizan esta
proceso.
SP 800-30 Pgina 3
La seccin 3 describe la metodologa de evaluacin de riesgos y los nueve pasos principales en
realizar una evaluacin de riesgo de un sistema informtico.
La seccin 4 describe el proceso de mitigacin de riesgos, incluidas las opciones de mitigacin de riesgos y
estrategia, el enfoque de la aplicacin de control, las categoras de control, el costo-beneficio
anlisis, y el riesgo residual.
Seccin 5 analiza las buenas prcticas y la necesidad de una evaluacin de riesgos en curso y
evaluacin y los factores que conduzcan a un programa de gestin de riesgos exitosa.
Esta gua tambin contiene seis anexos. El Apndice A proporciona preguntas de la entrevista de la muestra.
Apndice B proporciona un esquema de ejemplo para su uso en la documentacin de los resultados de la evaluacin de riesgos. Apndice
C contiene una tabla de ejemplo para el plan de implementacin de salvaguardia. Apndice D proporciona una lista de
las siglas utilizadas en este documento. Apndice E contiene un glosario de trminos de uso frecuente en
esta gua. Apndice F incluye las referencias.
Pgina 10
2.
PANORAMA GENERAL DE GESTIN DEL RIESGO
En esta gua se describe la metodologa de gestin de riesgos, cmo se integra en cada fase de la SDLC,
y cmo el proceso de gestin de riesgos est ligado al proceso de autorizacin del sistema (o
acreditacin).
2.1 IMPORTANCIA DE LA GESTIN DE RIESGOS
La gestin de riesgos se compone de tres procesos: evaluacin de riesgos, mitigacin del riesgo y evaluacin
y la evaluacin. Seccin 3 de este manual se describe el proceso de evaluacin de riesgos, que incluye
identificacin y evaluacin de los riesgos e impactos de riesgo, y la recomendacin de reducir el riesgo-
medidas. La seccin 4 describe la mitigacin de riesgos, que se refiere a la priorizacin, ejecucin y
mantenimiento de las medidas de reduccin del riesgo adecuadas recomendadas por la evaluacin de riesgos
proceso. Seccin 5 discute el proceso de evaluacin continua y las claves para la implementacin de un
programa de gestin de riesgos exitosa. La DAA o autorizar sistema oficial es responsable de
determinar si el riesgo restante es a un nivel aceptable o si la seguridad adicional
controles deben implementarse para reducir an ms o eliminar el riesgo residual antes
autorizar (o acreditacin de) el sistema informtico para la operacin.
La gestin del riesgo es el proceso que permite a los administradores de TI para equilibrar el funcionamiento y
los costos econmicos de las medidas de proteccin y lograr ganancias en la capacidad de la misin de proteger la
Sistemas de informacin y de datos que apoyan las misiones de sus organizaciones. Este proceso no es nica para la
Entorno de TI; de hecho, impregna la toma de decisiones en todos los mbitos de nuestra vida cotidiana. Tomemos el caso
de seguridad para el hogar, por ejemplo. Muchas personas deciden tener sistemas de seguridad instalados y
pagar una cuota mensual a un proveedor de servicios para que estos sistemas monitorizados para la mejor proteccin
de su propiedad. Es de suponer que los propietarios han sopesado el costo de la instalacin del sistema y
monitoreo contra el valor de sus artculos para el hogar y la seguridad de su familia, un derecho fundamental
Necesidad "misin".
El jefe de una unidad de organizacin debe asegurarse de que la organizacin tiene la capacidad necesaria
para cumplir su misin. Estos dueos de misin deben determinar las capacidades de seguridad que
sus sistemas de TI deben tener para proporcionar el nivel deseado de apoyo a la misin ante la vida real
amenazas mundiales. La mayora de las organizaciones cuentan con presupuestos limitados para la seguridad de la informacin; Por lo tanto, la seguridad de TI
el gasto debe ser revisado tan a fondo como otras decisiones de gestin. Un riesgo bien estructurado
metodologa de gestin, cuando se utiliza con eficacia, puede ayudar a identificar la gestin adecuada
controla para proporcionar las funciones de seguridad esenciales para la misin.
SP 800-30 Pgina 4
2.2 INTEGRACIN DE LA GESTIN DE RIESGOS EN SDLC
Minimizar el impacto negativo en la organizacin y la necesidad de base slida en la toma de decisiones son
las organizaciones razones fundamentales implementar un proceso de gestin de riesgo para proyectos de TI
sistemas. La gestin eficaz del riesgo debe estar totalmente integrado en el SDLC. De un sistema de TI
SDLC tiene cinco fases: inicio, desarrollo o adquisicin, implementacin, operacin o
mantenimiento y eliminacin. En algunos casos, un sistema de TI puede ocupar varias de estas fases en
al mismo tiempo. Sin embargo, la metodologa de gestin del riesgo es el mismo independientemente de la SDLC
fase para la que se est llevando a cabo la evaluacin. La gestin de riesgos es un proceso iterativo que
se puede realizar durante cada fase importante del SDLC. La Tabla 2-1 describe las caractersticas
Pgina 11
de cada fase SDLC e indica cmo la gestin del riesgo se puede realizar en apoyo de cada
fase.
Tabla 2-1 Integracin de la Gestin de Riesgos en el SDLC
Fases SDLC Caractersticas de fase El apoyo de Riesgo
Actividades de gestin
Fase 1-Iniciacin La necesidad de un sistema de TI es
expresado y el propsito y
alcance del sistema de TI es
documentado
Riesgos identificados se utilizan para

apoyar el desarrollo de la
requisitos del sistema, incluyendo
requisitos de seguridad, y una
concepto de seguridad de las operaciones
(Estrategia)
Fase 2-Desarrollo o
Adquisicin
El sistema informtico est diseado,
comprado, programado,
desarrollada, o de otra manera
construido
Los riesgos identificados durante este

fase se puede utilizar para el apoyo
anlisis de la seguridad de la TI
sistema que puede llevar a
arquitectura y diseo con el comercio
offs durante sistema
desarrollo
Fase 3 Implementacin Las funciones de seguridad del sistema
debe ser configurado, se activa,
probado, y verificada
El proceso de gestin de riesgos

apoya la evaluacin de la
la implementacin del sistema en contra
sus requisitos y dentro de su
modelo operativo
medio ambiente. Decisiones
con respecto a los riesgos identificados deben
hacerse antes de sistema
operacin
Fase 4-Funcionamiento o
Mantenimiento
El sistema realiza su
funciones. Tpicamente, el sistema es
se modifique en un curso
base a travs de la adicin de
hardware y software y por
cambios en la organizacin
los procesos, las polticas y
procedimientos
Actividades de gestin de riesgos son

realizado para sistema peridico
reautorizacin (o
reacreditacin) o siempre
principales cambios se hacen para una
Sistema informtico en su funcionamiento,
entorno de produccin (por ejemplo,
interfaces de nuevo sistema)
Fase 5-Eliminacin Esta fase puede implicar la
disposicin de la informacin,
de hardware y software.
Las actividades pueden incluir en movimiento,
archivo, los descartes, o
destruccin de informacin o
desinfectar el hardware y el
software
Actividades de gestin de riesgos

se llevan a cabo para el sistema de
componentes que sern
eliminarlo o bien reemplazado a
asegurarse de que el hardware y el
software en las debidas disposiciones
de, que los datos residuales es
Con manejo apropiado, y que
se lleva a cabo la migracin del sistema
en un lugar seguro y sistemtico
manera
SP 800-30 Pgina 5
Pgina 12
SP 800-30 Pgina 6
2.3 FUNCIONES PRINCIPALES
La gestin de riesgos es una responsabilidad de gestin. En esta seccin se describen las funciones principales de la
personal que deben apoyar y participar en el proceso de gestin de riesgos.
Alta Direccin. La alta direccin, bajo la norma de la diligencia debida y
la responsabilidad final de cumplimiento de la misin, debe asegurarse de que la necesaria
los recursos se apliquen de manera efectiva para desarrollar las capacidades necesarias para llevar a cabo la
misin. Tambin deben evaluar e incorporar los resultados de la actividad de evaluacin de riesgos
en el proceso de toma de decisiones. Un programa eficaz de gestin de riesgos que
evala y mitiga los riesgos relacionados con las TI de misin requiere el apoyo y la participacin
de la alta direccin.
Jefe de Informacin (CIO). El CIO es el responsable de IT de la agencia
planificacin, presupuestacin, y el rendimiento incluidos sus componentes de seguridad de la informacin.
Las decisiones tomadas en estas reas deben estar basadas en una gestin eficaz del riesgo
programa.
Sistema de Informacin y Propietarios. Los propietarios de los sistemas y de la informacin son
responsable de asegurar que los controles adecuados estn en su lugar para hacer frente a la integridad,
confidencialidad y disponibilidad de los sistemas informticos y los datos que poseen. Tpicamente, la
propietarios de los sistemas y de la informacin son responsables de cambios en sus sistemas de TI. Por lo tanto,
por lo general tienen que aprobar y firmar en cambios en sus sistemas de TI (por ejemplo, el sistema de
mejora, los principales cambios en el software y hardware). El sistema y
Por lo tanto, los propietarios de la informacin deben entender su papel en la gestin de riesgos
procesar y totalmente apoyar este proceso.
Negocios y Gerentes Funcionales. Los responsables de negocio
operaciones y proceso de adquisicin de TI deben tener un papel activo en el riesgo
proceso de gestin. Estos gestores son las personas con la autoridad y
la responsabilidad de tomar las decisiones de trade-off esenciales para el logro de misin.
Su participacin en el proceso de gestin de riesgos permite el logro de adecuada
seguridad de los sistemas informticos, que, si se gestiona adecuadamente, proporcionar misin
eficacia con un gasto mnimo de recursos.
ISSO. IT directores de los programas de seguridad y oficiales de seguridad informtica son responsables
para programas de seguridad de sus organizaciones, incluyendo la gestin de riesgos. Por lo tanto,
que desempean un papel destacado en la introduccin de una metodologa estructurada adecuada para ayudar a
identificar, evaluar y minimizar los riesgos de los sistemas de TI que apoyan su
misiones de organizaciones. Issos tambin actan como los principales consultores en apoyo de la alta
administracin para asegurar que esta actividad se lleva a cabo de manera continua.
Los profesionales de TI de seguridad. Profesionales de seguridad de TI (por ejemplo, redes, sistemas,
aplicacin, y los administradores de bases de datos; especialistas en informtica; los analistas de seguridad;
consultores de seguridad) son responsables de la correcta aplicacin de la seguridad
requisitos de sus sistemas de TI. Cuando se producen cambios en el sistema de TI existente
medio ambiente (por ejemplo, la expansin de la conectividad de red, los cambios en el vigente
polticas de infraestructura y de organizacin, la introduccin de nuevas tecnologas), la TI
profesionales de la seguridad deben apoyar o utilizar el proceso de gestin de riesgos para identificar y
evaluar nuevos riesgos potenciales e implementar nuevos controles de seguridad segn sea necesario para
salvaguardar sus sistemas de TI.
Pgina 13
Los formadores de la conciencia de la Seguridad (Seguridad / Subject Matter Profesionales). El
el personal de la organizacin son los usuarios de los sistemas de TI. El uso de los sistemas de TI y
datos de acuerdo con las polticas de la organizacin, las directrices y normas de comportamiento es
fundamental para la mitigacin de riesgos y la proteccin de los recursos de TI de la organizacin. Para reducir al mnimo
riesgo a los sistemas de TI, es esencial que se proporcionen a los usuarios de sistemas y aplicaciones
con la formacin de la conciencia de la seguridad. Por lo tanto, los instructores en seguridad de TI o
seguridad / sujetos profesionales materia deben entender el proceso de gestin de riesgos, para
SP 800-30 Pgina 7
que puedan desarrollar materiales de formacin adecuados e incorporar la evaluacin de riesgos
en los programas de formacin para educar a los usuarios finales.
Pgina 14
3.
EVALUACIN DE RIESGOS
La evaluacin de riesgos es el primer proceso en la metodologa de gestin de riesgos. Las organizaciones utilizan el riesgo
evaluacin para determinar el grado de la amenaza potencial y el riesgo asociado con un TI
sistema largo de su SDLC. El resultado de este proceso ayuda a identificar los controles apropiados para
reducir o eliminar los riesgos durante el proceso de mitigacin de riesgos, como se discuti en la Seccin 4.
El riesgo es una funcin de la probabilidad de una determinada amenaza de cdigo de ejercer un particular potencial
la vulnerabilidad y el impacto resultante de ese acontecimiento adverso en la organizacin.
Para determinar la probabilidad de un evento adverso futuro, las amenazas a un sistema de TI deben ser analizados
junto con las posibles vulnerabilidades y los controles establecidos para el sistema de TI.
El impacto se refiere a la magnitud del dao que podra ser causado por el ejercicio de una amenaza de un
vulnerabilidad. El nivel de impacto se rige por los posibles impactos de la misin ya su vez
produce un valor relativo de los activos de TI y los recursos afectados (por ejemplo, la criticidad y
sensibilidad de los componentes del sistema de TI y datos). La metodologa de evaluacin de riesgos
abarca nueve pasos principales, que se describen en las secciones 3.1 a 3.9
Paso 1 Sistema de Caracterizacin (Seccin 3.1)
Paso 2 Amenaza de identificacin (Seccin 3.2)
SP 800-30 Pgina 8
Paso 3 Vulnerabilidad de identificacin (Seccin 3.3)
Paso 4 anlisis del control (seccin 3.4)
Paso 5 determinacin de probabilidad (seccin 3.5)
Paso 6 Anlisis de Impacto (Seccin 3.6)
Paso 7 Determinacin de Riesgos (Seccin 3.7)
Recomendaciones Paso 8 control (seccin 3.8)
Paso 9 Resultados Documentacin (Seccin 3.9).
Pasos 2, 3, 4, y 6 se puede realizar en paralelo despus de la Etapa 1 se ha completado. Figura 3-1
representa los pasos y las entradas y salidas del cada paso.
Pgina 15
Lista de corriente y
Los controles previstos
Paso 4 Anlisis de control.
Declaracin de Amenazas
Paso 2.
Amenaza de identificacin
Lista de Potencial
Vulnerabilidades
Paso 3.
Vulnerabilidad de identificacin
Los informes de riesgo antes de
evaluaciones
Cualquier observacin de auditora
Los requisitos de seguridad
Los resultados de las pruebas de seguridad
Hardware
Software
Acoplamientos del sistema
Los datos y la informacin
Personas
La misin del Sistema
Paso 1.
Caracterizacin Sistema
Riesgo Clasificacin
Paso 5.
Determinacin de la probabilidad
Motivacin Amenaza de cdigo

Capacidad de Amenazas
La naturaleza de la vulnerabilidad
Los controles actuales
Paso 6 Anlisis de Impacto.
La prdida de integridad
Prdida de disponibilidad
Prdida de confidencialidad
Impacto en el
Anlisis del impacto de la Misin

evaluacin de la criticidad del activo
criticidad de datos
Sensibilidad de datos
Entrada Evaluacin de Riesgos Actividades Salida
Lmite de sistema
Funciones del sistema
Sistema y Datos
Criticidad
Sistema y Datos
Sensibilidad
Historia del ataque del sistema
Los datos de inteligencia
agencias, NIPC, OIG,
FedCIRC, medios de comunicacin,
Paso 4 Anlisis de control.
Declaracin de Amenazas
Paso 2.
Amenaza de identificacin
Lista de Potencial
Vulnerabilidades
Paso 3.
Vulnerabilidad de identificacin
evaluaciones
evaluaciones
Hardware
Software
Acoplamientos del sistema
Personas
La misin del Sistema
Paso 1.
Caracterizacin Sistema
Riesgo Clasificacin
Paso 5.
Determinacin de la probabilidad
Motivacin Amenaza de cdigo

Capacidad de Amenazas
Paso 6 Anlisis de Impacto.
La prdida de integridad
Prdida de disponibilidad
Prdida de confidencialidad
Impacto en el
Anlisis del impacto de la Misin

evaluacin de la criticidad del activo
criticidad de datos
Sensibilidad de datos
Entrada Evaluacin de Riesgos Actividades Salida
Lmite de sistema
Funciones del sistema
Sistema y Datos
Criticidad
Sistema y Datos
Sensibilidad
Historia del ataque del sistema
Los datos de inteligencia
agencias, NIPC, OIG,
FedCIRC, medios de comunicacin,
SP 800-30 Pgina 9
Figura 3-1. Evaluacin de Riesgos Metodologa Organigrama
Paso 9.
Resultados Documentacin
Evaluacin de Riesgos
Informe
Riesgos y
Riesgo asociado
Niveles
Paso 7. Determinacin del Riesgo
Probabilidad de amenaza
explotacin
Magnitud del impacto
Adecuacin de la prevista o
controles actuales
Recomendado
Controles
Paso 8.
Recomendaciones para el control
Paso 9.
Resultados Documentacin
Evaluacin de Riesgos
Informe
Riesgos y
Riesgo asociado
Niveles
Paso 7. Determinacin del Riesgo
Probabilidad de amenaza
explotacin
Magnitud del impacto
Adecuacin de la prevista o
controles actuales
Recomendado
Controles
Paso 8.
Recomendaciones para el control
Pgina 16
3.1 PASO 1: SISTEMA DE CARACTERIZACIN
En la evaluacin de los riesgos para un sistema informtico, el primer paso es definir el alcance del esfuerzo. En este paso,
de los lmites del sistema de TI son identificados, junto con los recursos y la informacin que
constituyen el sistema. Caracterizacin de un sistema de TI establece el alcance de la evaluacin de riesgos
esfuerzo, delinea los lmites de la autorizacin operacional (o acreditacin), y proporciona
informacin (por ejemplo, hardware, software, conectividad del sistema, y la divisin responsable o el apoyo
personal) esenciales para la definicin del riesgo.
Seccin 3.1.1 se describe la informacin relacionada con el sistema utilizado para caracterizar un sistema de TI y su
entorno operativo. Seccin 3.1.2 sugiere las tcnicas de recopilacin de informacin que puede
ser utilizado para solicitar informacin relativa al medio ambiente de procesamiento del sistema de TI.
La metodologa descrita en este documento se puede aplicar a las evaluaciones de simple o mltiple,
sistemas interrelacionados. En este ltimo caso, es importante que el dominio de inters y todas las interfaces
y dependencias de estar bien definidos antes de la aplicacin de la metodologa.
3.1.1 Sistema de Informacin relacionada con
La identificacin de los riesgos de un sistema de TI requiere un profundo conocimiento de procesamiento del sistema
medio ambiente. La persona o personas que llevan a cabo la evaluacin de riesgos deben, por tanto, en primer lugar recopilar
informacin relacionada con el sistema, que por lo general se clasifica de la siguiente manera:
Hardware
Software
Las interfaces del sistema (por ejemplo, la conectividad interna y externa)
Las personas que apoyan y utilizan el sistema de TI
La misin del sistema (por ejemplo, los procesos realizados por el sistema de TI)
Sistema y criticidad de datos (por ejemplo, el valor del sistema o de la importancia de una organizacin)
Sistema y sensibilidad de los datos.
4
Informacin adicional relacionada con el medio ambiente operativo del sistema informtico y sus datos
incluye, pero no se limita a, los siguientes:
Los requisitos funcionales del sistema de TI
Los usuarios del sistema (por ejemplo, los usuarios de sistemas que prestan apoyo tcnico a la TI
sistema; usuarios de las aplicaciones que utilizan el sistema de TI para llevar a cabo las funciones de negocio)
Las polticas de seguridad Sistema que rigen el sistema de TI (polticas de la organizacin, federal
requisitos, leyes, prcticas de la industria)
La arquitectura de seguridad del sistema
SP 800-30 Pgina 10
4
El nivel de proteccin necesario para mantener el sistema y la integridad de los datos, confidencialidad y disponibilidad.
Pgina 17
SP 800-30 Pgina 11
topologa de red actual (por ejemplo, diagrama de la red)
Proteccin de almacenamiento de informacin que el sistema de salvaguardias y la disponibilidad de datos, la integridad,
y confidencialidad
Flujo de informacin relacionada con el sistema de TI (por ejemplo, las interfaces del sistema, la entrada del sistema
y diagrama de flujo de salida)
Los controles tcnicos utilizados para el sistema de TI (por ejemplo, una funcin de complemento o producto de seguridad
que apoya la identificacin y autenticacin, discrecional o de acceso obligatorio
la proteccin del control, auditora, informacin residual, mtodos de cifrado)
Los controles de gestin utilizados para el sistema de TI (por ejemplo, reglas de comportamiento, la seguridad
planificacin)
Los controles operacionales utilizados para el sistema de TI (por ejemplo, la seguridad personal, la copia de seguridad,
operaciones de contingencia y reanudacin y recuperacin; mantenimiento del sistema; fuera de las instalaciones
almacenamiento; cuenta de usuario del establecimiento y procedimientos de eliminacin; controles para la segregacin
de las funciones de los usuarios, como el acceso de usuarios privilegiados frente acceso de usuario estndar)
entorno de seguridad fsica del sistema informtico (por ejemplo, proteccin de la instalacin, centro de datos
polticas)
La seguridad ambiental implementado para el entorno de ejecucin del sistema de TI (por ejemplo,
controles de humedad, el agua, la energa, la contaminacin, la temperatura y los productos qumicos).
Para un sistema que est en el inicio o la fase de diseo, la informacin del sistema se puede derivar de la
diseo o los requisitos de documentos. Para un sistema de TI en fase de desarrollo, es necesario definir
normas de seguridad clave y atributos previstas para el futuro sistema de TI. Documentos de diseo de sistemas y
el plan de seguridad del sistema puede proporcionar informacin til sobre la seguridad de un sistema informtico que es
en desarrollo.
Para un sistema operativo, se recogen datos sobre el sistema de TI en su produccin
medio ambiente, incluyendo datos sobre la configuracin del sistema, la conectividad y documentada y
procedimientos y prcticas de indocumentados. Por lo tanto, la descripcin del sistema se puede basar en la
seguridad proporcionada por la infraestructura subyacente o en los planes de seguridad de futuro para el sistema de TI.
3.1.2 Tcnicas de recogida de informacin
Cualquier, o una combinacin, de las siguientes tcnicas pueden ser utilizadas en la recopilacin de informacin relevante
al sistema de TI dentro de sus lmites operativos:
Cuestionario. Para recopilar la informacin pertinente, el personal de evaluacin del riesgo puede
desarrollar un cuestionario relativo a la gestin y los controles operativos previstos
o utilizados con el sistema informtico. Este cuestionario debe ser distribuido a la aplicable
personal tcnico y no tcnico de gestin que estn diseando o de apoyo
el sistema de TI. El cuestionario tambin se podra utilizar durante las visitas sobre el terreno y
entrevistas.
Entrevistas en sitio. Entrevistas con el apoyo del sistema de TI y gestin de personal
puede permitir que el personal de evaluacin de riesgos para recopilar informacin til acerca de la TI
sistema (por ejemplo, cmo funciona el sistema y logr). Las visitas in situ permiten tambin el riesgo
Pgina 18
personal de evaluacin para observar y recopilar informacin sobre las caractersticas fsicas,
seguridad ambiental y operativo del sistema informtico. El apndice A contiene
preguntas de la entrevista de la muestra que se hacen durante las entrevistas con el personal del sitio para lograr un
mejor comprensin de las caractersticas operativas de una organizacin. Para
SP 800-30 Pgina 12
Amenaza: El potencial de una amenaza-
fuente de ejercicio (accidentalmente el gatillo
o intencionalmente explotar) una especfica
vulnerabilidad.
Amenaza-Fuente: O (1) intencin y el mtodo
dirigida a la explotacin intencional de un
vulnerabilidad o (2) una situacin y mtodo
que pueden desencadenar accidentalmente una vulnerabilidad.
sistemas todava en la fase de diseo, visita in situ seran recopilacin de datos cara a cara
ejercicios y podra proporcionar la oportunidad de evaluar el entorno fsico en el
que el sistema va a operar.
Revisin de documentos. Documentos de poltica (por ejemplo, documentacin legislativa, directivas),
documentacin del sistema (por ejemplo, la gua de usuario del sistema, manual de administracin del sistema,
diseo del sistema y documento de requerimientos, documento de adquisicin), y la seguridad relacionada
documentacin (por ejemplo, anterior informe de auditora, el informe de evaluacin de riesgos, resultados de las pruebas del sistema,
plan de seguridad del sistema 5, Las polticas de seguridad) pueden proporcionar una buena informacin sobre la
controles de seguridad utilizados por y planificadas para el sistema de TI. La misin de una organizacin
anlisis de impacto o criticidad de los activos de evaluacin proporciona informacin sobre el sistema
y la criticidad de datos y la sensibilidad.
El uso de la herramienta automatizada de escaneo. mtodos tcnicos proactivos pueden ser usados para
recoger informacin del sistema de manera eficiente. Por ejemplo, una herramienta de mapeo de red puede
identificar los servicios que se ejecutan en un gran grupo de hosts y proporcionar una forma rpida de
la creacin de perfiles individuales del sistema de TI de destino (s).
La recoleccin de informacin se puede realizar durante todo el proceso de evaluacin de riesgos, de la Etapa 1
(Sistema de Caracterizacin) hasta el Paso 9 (Resultados Documentacin).
De salida de la Etapa 1
Caracterizacin del sistema de TI evaluados, una buena imagen de la TI

entorno del sistema, y la delimitacin de las fronteras del sistema
3.2 PASO 2: IDENTIFICACIN DE AMENAZA
Una amenaza es la posibilidad de una amenaza de cdigo especial para ejercer con xito una determinada
vulnerabilidad. Una vulnerabilidad es una debilidad que puede
se dispare accidentalmente o intencionalmente explotados. La
amenaza de cdigo no presenta un riesgo cuando no hay
vulnerabilidad que puede ser ejercida. En la determinacin de la
probabilidad de que una amenaza (Seccin 3.5), se debe considerar
amenaza los recursos, vulnerabilidades potenciales (Seccin 3.3),
y los controles existentes (Seccin 3.4).
3.2.1 Amenaza-Identificacin de fuentes de
El objetivo de este paso es identificar el potencial
amenaza los recursos y elaborar una declaracin de amenaza
listado de potenciales amenazas recursos que son aplicables
al sistema informtico que se est evaluando.
5
Durante la fase inicial, una evaluacin de riesgos podra ser utilizado para desarrollar el plan inicial de la seguridad del sistema.
Pgina 19
Amenaza Fuentes Comunes
Amenazas naturales-inundaciones, terremotos, tornados,
deslizamientos de tierra, avalanchas, tormentas elctricas, y otros tales
eventos.
Humanos Amenazas-Eventos que estn habilitados por o
causada por los seres humanos, como los actos no intencionales
Acciones (entrada de datos involuntaria) o deliberadas (red
ataques basados, carga el software malicioso, sin autorizacin
el acceso a la informacin confidencial).
Amenazas ambientales de larga duracin de corte de energa,
la contaminacin, los productos qumicos, las fugas de lquido.
Una amenaza de cdigo se define como cualquier
circunstancia o evento con la
potencial de causar dao a una red IT
sistema. La amenaza comn
fuentes pueden ser naturales, humanos, o
ambiental.
En la evaluacin de las amenazas recursos, es
importante tener en cuenta todos los posibles
amenaza los recursos que podran causar
dao al sistema informtico y su
procesamiento de medio ambiente. Para
ejemplo, aunque la amenaza
declaracin para un sistema informtico
situada en un desierto no puede
SP 800-30 Pgina 13
incluir "natural de las inundaciones", porque
de la baja probabilidad de que ocurran una, las amenazas ambientales tales de eventos tales como una tubera reventar
puede inundar rpidamente una sala de ordenadores y causar daos a los activos de TI de una organizacin y
recursos. Los seres humanos pueden ser de amenaza los recursos a travs de actos intencionales, como los ataques deliberados de
personas malintencionadas o empleados descontentos o actos involuntarios, tales como la negligencia y los errores.
Un ataque deliberado puede ser (1) un intento malicioso para obtener acceso no autorizado a una red IT
sistema (por ejemplo, por medio de adivinacin de contraseas) para el sistema y la integridad de los datos en peligro,
disponibilidad o confidencialidad o (2) una benigna, pero no obstante decidido, intento de eludir
la seguridad del sistema. Un ejemplo de este ltimo tipo de ataque deliberado es de un programador escribir un
Programa de caballo de Troya para eludir la seguridad del sistema con el fin de "hacer el trabajo".
3.2.2 Motivacin y amenazas acciones
La motivacin y los recursos para llevar a cabo un ataque hacen los humanos potencialmente peligrosos
amenaza los recursos. La Tabla 3-1 presenta un resumen de muchas de las amenazas humanas comunes de hoy en da, su
posibles motivaciones y los mtodos o acciones de amenaza por los que podran llevar a cabo un ataque.
Esta informacin ser til para las organizaciones que estudian sus entornos de amenazas humanas y
la personalizacin de sus declaraciones de amenazas humanas. Adems, la revisin de la historia del sistema de romper-
ins; informes de violacin de la seguridad; informes de incidentes; y entrevistas con los administradores del sistema,
personal de asistencia tcnica, y la comunidad de usuarios durante la recopilacin de informacin ayudar a identificar humana
amenaza los recursos que tienen el potencial para daar un sistema informtico y sus datos y que pueden ser una preocupacin
donde existe una vulnerabilidad.
Pgina 20
Tabla 3-1. Acciones Amenaza-Source, la motivacin y de la amenaza: Amenazas humanas
Amenaza-fuente Motivacin Acciones de amenazas
Hacker, cracker
Desafo
Ego
Rebelin
Hackear
Ingeniera social
Intrusin del sistema, los robos
El acceso no autorizado al sistema

Criminal de ordenador
Destruccin de la informacin
Ilegal divulgacin de informacin
La ganancia monetaria
Alteracin no autorizada de datos
El delito informtico (por ejemplo, cyber

acecho)
Acto fraudulento (por ejemplo, repeticin,

suplantacin, interceptacin)
Informacin de soborno
Spoofing
Intrusin Sistema
Terrorista
Chantaje
Destruccin
Explotacin
Venganza
Bomba / Terrorismo
La guerra de informacin
Ataque del sistema (por ejemplo, distribuy

denegacin de servicio)
La penetracin del sistema
Manipulacin del sistema

Espionaje industrial
(empresas, extranjeras
gobiernos, otros
los intereses del gobierno)
Ventaja competitiva
Espionaje econmico
Explotacin econmica
El robo de informacin
Intrusin en la privacidad personal
Ingeniera social
La penetracin del sistema

(Acceso a clasificado, propiedad,
y / o la tecnologa relacionada
informacin)
Asalto a un empleado
Chantaje
Navegacin del propietario

SP 800-30 Pgina 14
Insiders (mal entrenados,
descontentos, malicioso,
negligente, fraudulento, o
empleados despedidos)
Curiosidad
Ego
Inteligencia
La ganancia monetaria
Venganza
Errores involuntarios y
omisiones (por ejemplo, la entrada de datos
error, error de programacin)
informacin
Abuso de computadora
Fraude y robo
Informacin de soborno
Entrada de falsificada, datos corruptos
Interceptacin
El cdigo malicioso (por ejemplo, virus, lgica

bomba, caballo de Troya)
Venta de informacin personal
Errores del sistema
Intrusin Sistema
Sabotaje Sistema

Una estimacin de la motivacin, los recursos y capacidades que se requieran para llevar a cabo una
ataque exitoso debe desarrollarse despus de que se han identificado las posibles amenazas recursos, en
Para determinar la probabilidad de que una amenaza de ejercer una vulnerabilidad del sistema, como se describe en
Seccin 3.5.
Pgina 21
Vulnerabilidad: Un defecto o debilidad en el sistema
procedimientos de seguridad, diseo, implementacin, o
controles internos que podran ser ejercidas
(Accidentalmente o intencionalmente provocado explotados)
y dar lugar a un fallo de seguridad o una violacin de la
poltica de seguridad del sistema.
La declaracin de amenaza, o la lista de posibles amenazas recursos, deben adaptarse a la persona
organizacin y su entorno de procesamiento (por ejemplo, hbitos de computacin de usuario final). En general,
informacin sobre las amenazas naturales (por ejemplo, inundaciones, terremotos, tormentas) debe estar fcilmente disponible.
Amenazas conocidas han sido identificados por muchas organizaciones gubernamentales y del sector privado.
Herramientas de deteccin de intrusos tambin son cada vez ms frecuentes, y el gobierno y la industria
organizaciones recogen continuamente datos sobre los eventos de seguridad, mejorando as la capacidad de
evaluar de manera realista las amenazas. Las fuentes de informacin incluyen, pero no se limitan a, lo siguiente:
Las agencias de inteligencia (por ejemplo, la Oficina Federal de Investigacin Nacional de
Centro de Proteccin de la Infraestructura)
Centro Federal Computer Respuesta a Incidentes (FedCIRC)
Los medios de comunicacin, en particular de los recursos basados en la Web, tales como SecurityFocus.com,
SecurityWatch.com, SecurityPortal.com, y SANS.org.
Una declaracin de amenaza que contiene una lista de las amenazas recursos que podran explotar
vulnerabilidades del sistema
3.3 PASO 3: IDENTIFICACIN DE VULNERABILIDAD
El anlisis de la amenaza a un sistema informtico
deben incluir un anlisis de la
vulnerabilidades asociadas con el sistema
medio ambiente. El objetivo de este paso es
elaborar una lista de las vulnerabilidades del sistema
(defectos o debilidades) que podran ser
explotado por la amenaza potencial recursos.
La Tabla 3-2 presenta ejemplos de pares de vulnerabilidad / amenaza.
Tabla 3-2. Pares de Vulnerabilidad / Amenaza
Vulnerabilidad Amenaza-fuente Accin Amenaza
Sistema de empleados despedidos '
identificadores (ID) no se eliminan
del sistema
Los empleados despedidos Marcar en la compaa de
la red y el acceso
de datos propiedad de la empresa
Firewall de la empresa permite entrante
telnet, y los huspedes ID est activado en
Servidor XYZ
Los usuarios no autorizados (por ejemplo,
hackers, terminado
empleados, equipo
criminales, los terroristas)
Uso de telnet con el servidor XYZ
y archivos del sistema de navegacin
con el invitado ID
SP 800-30 Pgina 15
El vendedor ha identificado fallas en
el diseo de la seguridad del sistema;
Sin embargo, los nuevos parches no tienen
ha aplicado al sistema de
Los usuarios no autorizados (por ejemplo,
hackers, descontentos
empleados, equipo
criminales, los terroristas)
La obtencin no autorizada
acceso al sistema sensible
archivos en funcin conocida
vulnerabilidades del sistema
Pgina 22
SP 800-30 Pgina 16
Vulnerabilidad Amenaza-fuente Accin Amenaza
Centro de datos utiliza rociadores de agua
para suprimir el fuego; lonas a
proteger el hardware y equipo
de daos por agua no estn en
lugar
Fuego, personas negligentes Rociadores de agua son
encendida en el centro de datos
Mtodos recomendados para la identificacin de las vulnerabilidades del sistema son el uso de la vulnerabilidad
fuentes, el rendimiento de las pruebas de seguridad del sistema y el desarrollo de una seguridad
requisitos de lista de verificacin.
Cabe sealar que esa existirn los tipos de vulnerabilidades, y la metodologa necesaria para
determinar si las vulnerabilidades estn presentes, por lo general variar dependiendo de la naturaleza de
el sistema informtico y la fase que se encuentra, en el SDLC:
Si el sistema an no se ha diseado, la bsqueda de vulnerabilidades debe centrarse
sobre las polticas de seguridad de la organizacin, los procedimientos de seguridad previstas, y el sistema
definiciones de requerimientos y anlisis de productos de seguridad de los proveedores o desarrolladores
(por ejemplo, libros blancos).
Si se est implementando el sistema informtico, la identificacin de vulnerabilidades debe ser
ampliado para incluir informacin ms especfica, por ejemplo, las caractersticas de seguridad previstas
se describe en la documentacin de diseo de seguridad y los resultados de la certificacin del sistema
prueba y evaluacin.
Si el sistema est operativo, el proceso de identificacin de las vulnerabilidades deben
incluir un anlisis de las caractersticas de seguridad del sistema de TI y los controles de seguridad,
tcnico y de procedimiento, que se utiliza para proteger el sistema.
3.3.1 Fuentes de Vulnerabilidad
Las vulnerabilidades tcnicas y no tcnicas asociados con el procesamiento de un sistema de TI
medio ambiente puede ser identificado a travs de las tcnicas de recoleccin de informacin que se describen en la Seccin
3.1.2. Una revisin de otras fuentes de la industria (por ejemplo, las pginas Web de los proveedores que identifican los errores del sistema y
defectos) sern tiles en la preparacin de las entrevistas y en el desarrollo de cuestionarios eficaces para
identificar las vulnerabilidades que pueden ser aplicables a los sistemas informticos especficos (por ejemplo, una versin especfica de un
sistema operativo especfico). El Internet es otra fuente de informacin sobre el sistema conocido
vulnerabilidades publicadas por los proveedores, junto con revisiones, service packs, parches y otros
las medidas correctivas que se pueden aplicar para eliminar o mitigar las vulnerabilidades. Documentado
fuentes de vulnerabilidad que deben ser considerados en un anlisis de la vulnerabilidad a fondo incluyen, pero
no se limitan a, lo siguiente:
Anterior documentacin de la evaluacin de riesgos del sistema de TI evaluado
Los informes del sistema de TI de auditora, informes de anomalas del sistema, informes de revisin de la seguridad, y
informes de las pruebas del sistema y evaluacin
Las listas de vulnerabilidad, tales como la base de datos de vulnerabilidad I-CAT NIST
(Http://icat.nist.gov)
Pgina 23
SP 800-30 Pgina 17
Recomendaciones de seguridad, tales como FedCIRC y el Departamento de Informtica de la Energa
Boletines de capacidad de asesoramiento de Incidentes
avisos de proveedores
Los equipos de respuesta a incidentes informticos Comercial / emergencia y listas de correos (por ejemplo,
Mailings foro SecurityFocus.com)
Las alertas y boletines para los sistemas militares Informacin sobre la vulnerabilidad de Aseguramiento
la seguridad del software de sistema analiza.
3.3.2 Sistema de Pruebas de Seguridad
Mtodos proactivos, empleando las pruebas del sistema, se puede utilizar para identificar las vulnerabilidades del sistema
de manera eficiente, dependiendo de la criticidad del sistema y los recursos de TI disponibles (por ejemplo, asignado
fondos, la tecnologa disponible, las personas con la experiencia necesaria para realizar la prueba). Mtodos de ensayo
incluir
Herramienta automatizada de anlisis de vulnerabilidades
Prueba de seguridad y la evaluacin (ST & E)
Las pruebas de penetracin.
6
La herramienta automatizada de anlisis de vulnerabilidades se utiliza para explorar un grupo de hosts o de una red de
servicios vulnerables conocidos (por ejemplo, el sistema permite que el Protocolo de transferencia de archivos annimo [FTP],
sendmail retransmisin). Sin embargo, debe tenerse en cuenta que algunas de las potenciales vulnerabilidades
identificado por la herramienta automatizada de exploracin pueden no representar las vulnerabilidades reales en el contexto de
el entorno del sistema. Por ejemplo, algunas de estas herramientas de escaneo de vulnerabilidades potenciales califica
sin tener en cuenta el medio ambiente y las necesidades del sitio. Algunas de las "vulnerabilidades"
marcado por el software automatizado de exploracin en realidad no puede ser vulnerable a un sitio en particular
pero puede ser configurado de esa manera porque su entorno lo requiere. Por lo tanto, este mtodo de ensayo
puede producir falsos positivos.
ST & E es otra tcnica que se puede utilizar en la identificacin de las vulnerabilidades del sistema de TI durante el
proceso de evaluacin de riesgos. Incluye el desarrollo y ejecucin de un plan de pruebas (por ejemplo, la prueba de
scripts, procedimientos de prueba y los resultados de las pruebas que se espera). El propsito de las pruebas de la seguridad del sistema es
comprobar la eficacia de los controles de seguridad de un sistema informtico, ya que se han aplicado en un
entorno operativo. El objetivo es asegurar que los controles aplicados cumplen con el aprobado
especificacin de seguridad para el software y el hardware e implementar la seguridad de la organizacin
normas de poltica o de la industria se encuentran.
Las pruebas de penetracin se puede utilizar para complementar la revisin de los controles de seguridad y asegurarse de que
diferentes facetas del sistema de TI estn asegurados. Las pruebas de penetracin, cuando se emplean en el riesgo
proceso de evaluacin, se puede utilizar para evaluar la capacidad de un sistema de TI para resistir los intentos intencionales
para burlar la seguridad del sistema. Su objetivo es poner a prueba el sistema de TI desde el punto de vista de un
amenaza de cdigo e identificar posibles fallos en los sistemas de proteccin de sistema de TI.
6
El proyecto de SP NIST 800-42, Pruebas de seguridad de la red general , se describe la metodologa para el sistema de red
prueba y el uso de herramientas automatizadas.
Pgina 24
Los resultados de este tipo de pruebas de seguridad opcional ayudarn a identificar las vulnerabilidades de un sistema.
3.3.3 Desarrollo de los Requisitos de Seguridad Checklist
Durante este paso, el personal de evaluacin de riesgos a determinar si los requisitos de seguridad
estipulado para el sistema de TI y recogidos durante la caracterizacin del sistema se estn cumpliendo por
existente o controles de seguridad previstos. Por lo general, los requisitos de seguridad del sistema pueden ser
se presenta en forma de tabla, con cada requisito acompaada de una explicacin de cmo la
diseo o implementacin del sistema tiene o no cumplen ese requisito de control de seguridad.
Una lista de verificacin de los requisitos de seguridad contiene las normas bsicas de seguridad que se pueden utilizar para
evaluar sistemticamente e identificar las vulnerabilidades de los activos (personal, hardware,
software, informacin), los procedimientos no automatizados, procesos e informacin transferencias
SP 800-30 Pgina 18
asociado a un sistema de TI que figura en las siguientes zonas de seguridad:
Gestin
Operacional
Tcnico.
La Tabla 3-3 enumera los criterios de seguridad sugeridas para su uso en la identificacin de las vulnerabilidades de un sistema informtico en
cada rea de la seguridad.
Tabla 3-3. Criterios de seguridad
rea de Seguridad Criterios de seguridad
Security Management
Asignacin de responsabilidades
La continuidad de la ayuda
Capacidad de respuesta a incidentes
Revisin peridica de controles de seguridad
Investigaciones de liquidacin de personal y de fondo
La evaluacin de riesgos
La formacin en seguridad y tcnica
Separacin de funciones
Sistema de autorizacin y reautorizacin
Plan de seguridad del sistema o de la aplicacin

Seguridad Operacional
El control de los contaminantes transportados por el aire (humo, polvo, productos qumicos)
Controles para garantizar la calidad del suministro de energa elctrica
El acceso y la eliminacin de medios de Datos
Distribucin de datos externa y el etiquetado
Proteccin de la instalacin (por ejemplo, sala de informtica, centro de datos, oficina)
Control de humedad
Control de la temperatura
Las estaciones de trabajo, porttiles y ordenadores personales independientes

Pgina 25
rea de Seguridad Criterios de seguridad
Seguridad Tcnica
Comunicaciones (por ejemplo, acceso telefnico, de interconexin de sistemas, enrutadores)
Criptografa
Control de acceso discrecional
Identificacin y autenticacin
La deteccin de intrusiones
Reutilizacin de objetos
Sistema de auditora
El resultado de este proceso es la lista de comprobacin de requisitos de seguridad. Las fuentes que se pueden utilizar en
compilar una lista de control de este tipo incluyen, pero no se limitan a, el siguiente gobierno regulador
y las directivas de seguridad y fuentes aplicables al entorno de procesamiento del sistema de TI:
CSA de 1987
Normas de Procesamiento de Informacin Federal de Publicaciones
OMB 11 2000 Circular A-130
Ley de Privacidad de 1974
El plan de seguridad del sistema del sistema de TI evaluado
Las polticas de la organizacin de seguridad, directrices y normas
Las prcticas de la industria.
El NIST SP 800-26, Gua de Autoevaluacin de Seguridad para Sistemas Informticos ,
SP 800-30 Pgina 19
ofrece un extenso cuestionario que contiene los objetivos de control especficos contra el que un
sistema o grupo de sistemas interconectados pueden ser probados y medidos. Los objetivos de control
se abstrae directamente de los requisitos de larga data que se encuentran en la ley, la poltica, y orientacin sobre
la seguridad y la privacidad.
Los resultados de la lista de verificacin (o cuestionario) se puede utilizar como entrada para una evaluacin de
el cumplimiento y el incumplimiento. Este proceso identifica sistema, proceso, y de procedimiento
debilidades que representan vulnerabilidades potenciales.
Una lista de las vulnerabilidades del sistema (observaciones) 7 que podran ser ejercidas
por la amenaza potencial que los recursos
3.4 PASO 4: ANLISIS DE CONTROL
El objetivo de este paso es analizar los controles que se han implementado o estn previstas para
aplicacin, por la organizacin para minimizar o eliminar la probabilidad (o la probabilidad) de un
La amenaza de ejercer una vulnerabilidad del sistema.
7
Debido a que el informe de evaluacin de riesgos no es un informe de auditora, algunos sitios pueden preferir hacer frente a la identificada
vulnerabilidades como las observaciones en lugar de los hallazgos en el informe de evaluacin de riesgos.
Pgina 26
Para obtener una calificacin general probabilidad de que indica la probabilidad de que una vulnerabilidad potencial
puede ser ejercida dentro de la construccin del medio ambiente amenaza asociada (paso 5 ms abajo), la
implementacin de los controles actuales o previstas deben ser considerados. Por ejemplo, una vulnerabilidad
(Por ejemplo, el sistema o la debilidad de procedimiento) no es probable que se ejerza o la probabilidad es baja si hay
es un bajo nivel de inters amenaza de cdigo o la capacidad o si hay controles de seguridad eficaces que
puede eliminar, o reducir la magnitud de causar un dao.
Secciones 3.4.1 a travs de 3.4.3, respectivamente, discutir mtodos de control, las categoras de control, y el
controlar tcnica de anlisis.
3.4.1 Mtodos de control
Los controles de seguridad abarcan el uso de mtodos tcnicos y no tcnicos. Los controles tcnicos
salvaguardias que se incorporan en el hardware, software, o de firmware (por ejemplo, acceso
mecanismos de control, los mecanismos de identificacin y autenticacin, mtodos de encriptacin,
software de deteccin de intrusin). Controles no tcnicos son la gestin y los controles operacionales,
tales como las polticas de seguridad; procedimientos operacionales; y personal, fsica y medioambiental
seguridad.
3.4.2 Control de Categoras
Las categoras de control de los mtodos de control tanto tcnicos como no tcnicos pueden estar ms
clasificado como preventivo o detective. Estos dos subcategoras se explican de la siguiente manera:
Los controles preventivos inhiben los intentos de violar la poltica de seguridad e incluyen tales
controla como la aplicacin de control de acceso, cifrado y autenticacin.
Los controles Detectives advierten de violacines o intentos de violacines de la poltica de seguridad y
incluir controles tales como pistas de auditora, los mtodos de deteccin de intrusos, y sumas de comprobacin.
Seccin 4.4 explica, adems, estos controles desde el punto de vista de la implementacin. La
aplicacin de los controles durante el proceso de mitigacin de riesgo es el resultado directo de la
identificacin de las deficiencias en los controles actuales o previstas durante el proceso de evaluacin de riesgos
(Por ejemplo, los controles no estn en su lugar o los controles no se aplican correctamente).
3.4.3 Anlisis de Control Tcnica
Como se discuti en la Seccin 3.3.3, el desarrollo de una lista de verificacin los requisitos de seguridad o el uso de un
lista de comprobacin disponible ser til en el anlisis de los controles de una manera eficiente y sistemtico.
La lista de verificacin de los requisitos de seguridad se puede utilizar para validar el incumplimiento de seguridad, as como
cumplimiento. Por lo tanto, es esencial para actualizar esas listas de control para reflejar los cambios en un
SP 800-30 Pgina 20
ambiente de control de la organizacin (por ejemplo, los cambios en las polticas de seguridad, mtodos y
requisitos) para asegurar la validez de la lista de verificacin.
La salida de la Etapa 4
Lista de los controles actuales o previstas utilizados para el sistema de TI para mitigar el
probabilidad de ser ejercida de una vulnerabilidad y reducir el impacto de un evento adverso
Pgina 27
SP 800-30 Pgina 21
3.5 PASO 5: RIESGO DETERMINACIN
Para obtener una calificacin general probabilidad de que indica la probabilidad de que una vulnerabilidad potencial
puede ser ejercida dentro de la construccin del medio ambiente amenaza asociada, la siguiente
factores que gobiernan deben ser considerados:
Motivacin Amenaza de cdigo y la capacidad
Existencia y eficacia de los controles actuales.
La probabilidad de que una vulnerabilidad potencial podra ser ejercida por una amenaza determinada fuente puede ser
descrito como alto, medio o bajo. Tabla 3-4 siguiente se describen estos tres niveles de probabilidad.
Tabla 3-4. Definiciones de probabilidad
Nivel de Riesgo Probabilidad Definicin
Alto La amenaza de cdigo est muy motivado y suficientemente capaz, y controles para
prevenir la vulnerabilidad de la que se ejerce son ineficaces.
Medio La amenaza de cdigo est motivado y capaz, pero los controles son en el lugar que puede
obstaculizar el ejercicio con xito de la vulnerabilidad.
Bajo La amenaza de cdigo carece de motivacin o capacidad, o los controles se han establecido para
prevenir o impedir al menos de manera significativa, la vulnerabilidad de ser ejercido.
Calificacin de probabilidad (alta, media, baja)

3.6 PASO 6: ANLISIS DE IMPACTO
El siguiente paso importante en el nivel de riesgo de medicin es determinar los efectos adversos resultantes de
un ejercicio de amenaza exitosa de una vulnerabilidad. Antes de iniciar el anlisis de impacto, es
necesario para obtener la siguiente informacin necesaria como se discuti en la Seccin 3.1.1:
La misin del sistema (por ejemplo, los procesos realizados por el sistema de TI)
Sistema y criticidad de datos (por ejemplo, el valor del sistema o de la importancia de una organizacin)
Sistema y sensibilidad de los datos.
Esta informacin puede obtenerse a partir de la documentacin de la organizacin existente, como la
informe de anlisis de impacto misin o activo informe de evaluacin de la criticidad. Un anlisis del impacto misin
(Tambin conocido como anlisis de impacto en el negocio [BIA] para algunas organizaciones) prioriza el impacto
niveles asociados con el compromiso de los activos de informacin de una organizacin basada en una
evaluacin cualitativa o cuantitativa de la sensibilidad y criticidad de dichos activos. Un activo
evaluacin de la criticidad identifica y da prioridad a la informacin de la organizacin sensible y crtica
los activos (por ejemplo, hardware, software, sistemas, servicios y tecnologa relacionada activos) que apoyan la
misiones crticas de la organizacin.
Pgina 28
SP 800-30 Pgina 22
Si esta documentacin no existe o tipo de evaluaciones para los activos de TI de la organizacin no tiene
sido realizado, el sistema y los datos de sensibilidad puede ser determinada basndose en el nivel de
la proteccin necesaria para mantener el sistema y la disponibilidad de los datos, la integridad y la confidencialidad.
Independientemente del mtodo utilizado para determinar el grado de sensibilidad de un sistema informtico y sus datos son, la
propietarios de los sistemas y de la informacin son los responsables de determinar el nivel de impacto de
su propio sistema y la informacin. Por consiguiente, en el anlisis de impacto, el enfoque apropiado
es entrevistar al sistema y el propietario (s) de la informacin.
Por lo tanto, el impacto negativo de un evento de seguridad se puede describir en trminos de prdida o degradacin
de algunos, o una combinacin de cualquiera de los siguientes tres objetivos de seguridad: integridad, disponibilidad y
confidencialidad. La siguiente lista proporciona una breve descripcin de cada objetivo de seguridad y la
consecuencia (o impacto) de su no se cumplan:
Prdida de la integridad. sistema y la integridad de datos se refiere a la exigencia de que
informacin ser protegida contra la modificacin incorrecta. La integridad se pierde si no autorizada
se realizan cambios en los datos o sistema de TI ya sea por actos intencionales o accidentales. Si
la prdida del sistema o integridad de los datos no se corrige, el uso continuado de la contaminacin
sistema o datos daados podran causar inexactitud, fraude o decisiones errneas.
Adems, la violacin de la integridad puede ser el primer paso de un ataque exitoso contra el sistema
disponibilidad o confidencialidad. Por todas estas razones, la prdida de la integridad reduce la
seguridad de un sistema informtico.
Prdida de la disponibilidad. Si un sistema de TI de misin crtica no est disponible para sus usuarios finales,
La misin de la organizacin puede verse afectada. La prdida de la funcionalidad del sistema y
eficacia operativa, por ejemplo, puede resultar en la prdida de tiempo productivo, por lo tanto
obstaculizar el rendimiento de los usuarios finales de sus funciones en el apoyo a la
La misin de la organizacin.
La prdida de confidencialidad. sistema y confidencialidad de los datos se refiere a la proteccin de los
informacin de su divulgacin no autorizada. El impacto de la divulgacin no autorizada de
informacin confidencial puede ir desde la puesta en peligro de la seguridad nacional a la
divulgacin de datos de la Ley de Privacidad. No autorizada, no previstos, o no intencional
divulgacin pueda resultar en la prdida de la confianza pblica, la vergenza, o la accin legal
en contra de la organizacin.
Algunos impactos tangibles se pueden medir cuantitativamente en prdidas de ingresos, el costo de la reparacin de la
sistema, o el nivel de esfuerzo necesario para corregir los problemas causados por una accin de amenaza exitosa.
Otros impactos (por ejemplo, la prdida de la confianza pblica, la prdida de credibilidad, el dao a una organizacin de
intereses) no se puede medir en unidades especficas, sino que puede ser calificado o descrito en trminos de altura,
medio y bajo impacto. Debido a la naturaleza genrica de esta discusin, esta gua designa
y describe slo el impacto cualitativo categoras: alta, media y baja (ver Cuadro 3.5).
Pgina 29
Tabla 3-5. Magnitud del Impacto Definiciones
Magnitud de
Impacto
Definicin de Impacto
Alto
Ejercicio de la vulnerabilidad (1) puede dar lugar a la muy costosa prdida de
principales activos o recursos tangibles; (2) pueda violar de manera significativa, dao, o
obstaculizar la misin de una organizacin, la reputacin o intereses; o (3) puede resultar
en la muerte humanas y heridos graves.
Medio
Ejercicio de la vulnerabilidad (1) puede resultar en la prdida de la costosa tangible
bienes o recursos; (2) pueda violar, daar o impedir la organizacin de
SP 800-30 Pgina 23
misin, reputacin o intereses; o (3) puede dar lugar a lesiones.
Bajo
El ejercicio de la vulnerabilidad (1) puede resultar en la prdida de algunos tangible
activos o recursos o (2) puede afectar notablemente a una organizacin de
misin, reputacin o intereses.
Cuantitativo frente Evaluacin cualitativa
Al realizar el anlisis de impacto, se debe considerar las ventajas y
desventajas de comparacin cuantitativa evaluaciones cualitativas. La principal ventaja de la
anlisis de impacto cualitativo es que prioriza los riesgos e identifica reas para inmediata
la mejora en el tratamiento de las vulnerabilidades. La desventaja del anlisis cualitativo es
que no proporcionan mediciones cuantificables especficos de la magnitud de los impactos,
por lo tanto, hacer un anlisis de costo-beneficio de los controles recomendados difciles.
La principal ventaja de un anlisis cuantitativo de impacto es que proporciona una medida de la
magnitud impactos ", que se puede utilizar en el anlisis coste-beneficio de los controles recomendados.
La desventaja es que, dependiendo de los rangos numricos utilizados para expresar la medicin,
el significado del anlisis de impacto cuantitativo puede ser poco clara, lo que requiere que el resultado sea
interpretado de manera cualitativa. Los factores adicionales a menudo se deben considerar para determinar la
magnitud del impacto. Estos pueden incluir, pero no se limitan a-
Una estimacin de la frecuencia de ejercicio de la amenaza-fuente de la vulnerabilidad
durante un perodo de tiempo determinado (por ejemplo, 1 ao)
Un costo aproximado de cada ocurrencia de ejercicio de la amenaza-fuente de la
vulnerabilidad
Un factor ponderado basado en un anlisis subjetivo del impacto relativo de un determinado
La amenaza de ejercer una vulnerabilidad especfica.
Magnitud del impacto (Alta, Media o Baja)

Pgina 30
3.7 PASO 7: DETERMINACIN DEL RIESGO
El propsito de este paso es evaluar el nivel de riesgo para el sistema de TI. La determinacin del riesgo
para un par amenaza / vulnerabilidad particular, se puede expresar como una funcin de
La probabilidad de intentar ejercer una vulnerabilidad dado un de amenaza determinada fuente
La magnitud del impacto en caso de una amenaza de cdigo ejercer con xito la
vulnerabilidad
La adecuacin de los controles de seguridad planificadas o existentes para reducir o eliminar
riesgo.
Para medir el riesgo, una escala de riesgo y una matriz de nivel de riesgo se deben desarrollar. Seccin 3.7.1 se presenta un
matriz estndar de nivel de riesgo; Seccin 3.7.2 se describen los niveles de riesgo resultantes.
3.7.1 Riesgo Nivel Matrix
La determinacin final del riesgo de la misin se obtiene multiplicando la calificacin otorgada por la amenaza
probabilidad (por ejemplo, probabilidad) y el impacto de amenazas. Tabla 3.6 muestra cmo el riesgo global
Las calificaciones pueden ser determinados con base en las aportaciones de los efectos probabilidad amenaza y la amenaza
categoras. La siguiente matriz es una matriz de 3 x 3 de la probabilidad de amenaza (Alta, Media y Baja)
y el impacto de amenazas (Alta, Media y Baja). Dependiendo de los requisitos del sitio y la
SP 800-30 Pgina 24
granularidad de la evaluacin de riesgo deseado, algunos sitios puede utilizar una 4 x 4 o una matriz de 5 x 5. Este ltimo
puede incluir un / Muy Alta probabilidad de peligrosidad muy baja y un impacto de peligrosidad muy baja / muy alta a
generar un nivel Muy Bajo / Muy alto riesgo. Un "Muy Alto" nivel de riesgo puede requerir posible
apagado del sistema o interrupcin de todos los esfuerzos de integracin y pruebas de sistemas de TI.
La matriz de la muestra en la Tabla 3-6 muestra cmo los niveles generales de riesgo de Alta, Media y Baja son
derivada. La determinacin de estos niveles de riesgo o calificaciones puede ser subjetiva. La justificacin de
esta justificacin se puede explicar en trminos de la probabilidad asignada para cada probabilidad amenaza
nivel y un valor asignado para cada nivel de impacto. Por ejemplo,
La probabilidad asignada para cada nivel de probabilidad de amenaza es 1.0 para alto, 0,5 para
Mediana, 0.1 para Baja
El valor asignado para cada nivel de impacto es 100 para alta, 50 de media, y 10 para
Low.
Pgina 31
Tabla 3-6. Matriz de Riesgo de nivel
Impacto
Amenaza
Probabilidad
Bajo
(10)
Medio
(50)
Alto
(100)
Alta (1,0) Bajo
10 X 1,0 = 10
Medio
50 X 1,0 = 50
Alto
100 X 1,0 = 100
Medio (0,5) Bajo
10 X 0,5 = 5
Medio
50 X 0,5 = 25
Medio
100 X 0,5 = 50
Low (0.1) Bajo
10 X 0,1 = 1
Bajo
50 X 0,1 = 5
Bajo
100 X 0,1 = 10
Escala de riesgo: High (> 50 a 100); Medio (> 10 a 50); Bajo (1 a 10)
8
3.7.2 Descripcin del Nivel de Riesgo
La Tabla 3-7 describe los niveles de riesgo que aparecen en la matriz anterior. Esta escala de riesgo, con las calificaciones de
Alta, Media y Baja, representa el grado o nivel de riesgo al que un sistema informtico, instalacin o
procedimiento podra estar expuesto si una vulnerabilidad dada fuera ejercida. La escala de riesgo tambin presenta
acciones que la alta direccin, los propietarios de la misin, deben tomar para cada nivel de riesgo.
Tabla 3-7. Escala de Riesgo y acciones necesarias
Nivel de riesgo Descripcin de riesgos y acciones necesarias
Alto
Si una observacin o hallazgo se evala como de alto riesgo, hay un
fuerte necesidad de medidas correctivas. Un sistema existente puede
continan operando, sino un plan de accin correctiva debe ser puesto en marcha
tan pronto como sea posible.
Medio
Si una observacin est clasificado como de riesgo medio, las acciones correctivas son
necesaria y un plan debe ser desarrollado para incorporar estas acciones
dentro de un perodo razonable de tiempo.
Bajo
Si una observacin es descrito como de bajo riesgo, DAA del sistema debe
determinar si an se requieren acciones correctivas o deciden
aceptar el riesgo.
SP 800-30 Pgina 25
El nivel de riesgo (alto, medio, bajo)

8
Si el nivel indicado en ciertos artculos es tan bajo como para ser considerados como "insignificante" o no significativa (el valor es <1
en la escala de riesgo de 1 a 100), se puede desear para mantener estos a un lado en un cubo separado en lugar de reenvo para
acciones de gestin. Esto se asegurar de que no se pasan por alto cuando se realiza la prxima riesgo peridica
evaluacin. Tambin establece un registro completo de todos los riesgos identificados en el anlisis. Estos riesgos pueden pasar a un
nuevo nivel de riesgo en una reevaluacin debido a un cambio en la probabilidad y / o impacto de la amenaza y es por eso que es fundamental
que su identificacin no se perder en el ejercicio.
Pgina 32
3.8 PASO 8: RECOMENDACIONES DE CONTROL
Durante este paso del proceso, los controles que podra mitigar o eliminar los riesgos identificados, como
apropiada para las operaciones de la organizacin, se proporcionan. El objetivo de la recomendada
controles es reducir el nivel de riesgo para el sistema de TI y sus datos a un nivel aceptable. La
siguientes factores deben ser considerados en la recomendacin de los controles y las alternativas de solucin a
minimizar o eliminar los riesgos identificados:
Eficacia de las opciones recomendadas (por ejemplo, la compatibilidad del sistema)
Legislacin y normativa
Poltica Organizacional
Impacto Operacional
Seguridad y fiabilidad.
Las recomendaciones de control son los resultados del proceso de evaluacin de riesgos y proporcionar aportaciones al
el proceso de mitigacin de riesgos, en el que la seguridad del procedimiento y tcnica recomendada
los controles son evaluados, priorizados, y se apliquen.
Cabe sealar que no todos los controles posibles recomendadas se pueden implementar para reducir la prdida.
Para determinar cules son necesarios y apropiados para una organizacin especfica, una relacin costo-beneficio
anlisis, como se discute en la Seccin 4.6, debe llevarse a cabo para la propuesta recomendada
controles, para demostrar que los costos de implementacin de los controles pueden ser justificadas por la
reduccin en el nivel de riesgo. Adems, el impacto operativo (por ejemplo, el efecto sobre el sistema
rendimiento) y viabilidad (por ejemplo, los requisitos tcnicos, la aceptacin por el usuario) de la introduccin de la
opcin recomendada debe ser evaluado cuidadosamente durante el proceso de mitigacin de riesgos.
Recomendacin de control (s) y soluciones alternativas para mitigar el riesgo

3.9 PASO 9: RESULTADOS DE DOCUMENTACIN
Una vez que la evaluacin de riesgos se ha completado (amenaza los recursos y vulnerabilidades identificadas, riesgos
evaluados, y los controles recomendados de siempre), los resultados deben ser documentados en un funcionario
informe o reunin.
Un informe de evaluacin de riesgos es un informe de gestin que ayuda a la alta direccin, la misin
propietarios, a tomar decisiones sobre la poltica, de procedimiento, el presupuesto, y el sistema operativo y de gestin
cambios. A diferencia de un informe de auditora o investigacin, que se ve por la culpa, una evaluacin de riesgos
informe no debe ser presentada en forma acusatoria, sino como una sistemtica y analtica
acercarse a la evaluacin de riesgos, de manera que la alta direccin comprenda los riesgos y asignar
recursos para reducir y corregir las posibles prdidas. Por esta razn, algunas personas prefieren direccin
los pares de amenaza / vulnerabilidad como observaciones en lugar de los hallazgos en el informe de evaluacin de riesgos.
Apndice B proporciona un esquema sugerido para el informe de evaluacin de riesgos.
Informe de evaluacin de riesgos que se describen las amenazas y vulnerabilidades,

mide el riesgo, y proporciona recomendaciones para la implementacin de control
SP 800-30 Pgina 26
Pgina 33
SP 800-30 Pgina 27
4.
REDUCCIN DEL RIESGO
La mitigacin del riesgo, el segundo proceso de la gestin del riesgo, implica priorizar, evaluar y
la aplicacin de los controles de reduccin de riesgos pertinentes recomendadas por la evaluacin de riesgos
proceso.
Debido a la eliminacin de todos los riesgos suele ser poco prctico o casi imposible, es el
la responsabilidad de la alta direccin y los gerentes funcionales y de negocio a utilizar el menor costo
acercarse y poner en prctica los controles ms adecuados para disminuir el riesgo de la misin a un nivel aceptable
nivel, con un mnimo impacto negativo sobre los recursos y la misin de la organizacin.
Esta seccin describe las opciones de mitigacin de riesgos (Seccin 4.1), la estrategia de mitigacin de riesgos (Seccin
4.2), un enfoque para la aplicacin de control (Seccin 4.3), las categoras de control (Seccin 4.4), el
anlisis de costo-beneficio utilizado para justificar la aplicacin de los controles recomendados (Seccin
4,5), y el riesgo residual (Seccin 4.6).
4.1 OPCIONES DE MITIGACIN DE RIESGO
La mitigacin del riesgo es una metodologa sistemtica utilizada por la administracin superior para reducir el riesgo de la misin.
La mitigacin del riesgo se puede lograr a travs de cualquiera de las siguientes opciones para reducirlo:
Asuncin de Riesgos. Aceptar el riesgo potencial y continuar operando el sistema de TI
o implementar controles para reducir el riesgo a un nivel aceptable
Evitar Riesgos. Para evitar el riesgo mediante la eliminacin de la causa del riesgo y / o consecuencia
(Por ejemplo, renunciar a ciertas funciones del sistema o apagar el sistema cuando los riesgos son
identificado)
Limitacin del riesgo. Para limitar el riesgo mediante la implementacin de controles que minimizan el
impacto adverso de una amenaza est ejerciendo una vulnerabilidad (por ejemplo, el uso de apoyo,
preventivos, controles de deteccin)
Planificacin de Riesgos. Para gestionar el riesgo mediante el desarrollo de un plan de mitigacin de riesgos que prioriza,
implementa y mantiene controles
Investigacin y Reconocimiento. Para reducir el riesgo de prdidas por el reconocimiento de la
vulnerabilidad o fallo y la investigacin de controles para corregir la vulnerabilidad
La transferencia de riesgos. Para transferir el riesgo mediante el uso de otras opciones para compensar la
prdida, como la compra de un seguro.
Los objetivos y la misin de una organizacin deben ser considerados en la seleccin de cualquiera de estos riesgos
las opciones de mitigacin. Puede que no sea prctico para hacer frente a todos los riesgos identificados, por lo que la prioridad debe ser
dada a los pares de amenazas y vulnerabilidad que tienen el potencial de causar la misin significativa
impacto o dao. Adems, en la proteccin de la misin de una organizacin y sus sistemas de TI, debido a
medio ambiente y los objetivos propios de cada organizacin, la opcin utilizada para mitigar el riesgo y
los mtodos utilizados para implementar controles pueden variar. El enfoque de "lo mejor del mercado" es el uso de
tecnologas apropiadas de entre los diversos productos de seguridad del proveedor, junto con la
opcin de mitigacin del riesgo adecuada y, medidas administrativas no tcnicas.
Pgina 34
4.2 RIESGO DE MITIGACIN DE ESTRATEGIA
La alta direccin, los propietarios de la misin, a sabiendas de los riesgos potenciales y los controles recomendados,
puede preguntar: "Cundo y bajo qu circunstancias debo actuar? Cuando voy a poner en prctica
estos controles para mitigar los riesgos y proteger a nuestra organizacin? "
El grfico de la mitigacin de riesgos en la Figura 4-1 se ocupa de estas cuestiones. Puntos apropiados para
SP 800-30 Pgina 28
implementacin de las acciones de control se indican en esta figura con la palabra S.
Sistema
Diseo
S
NO
Sin Riesgo
S
NO
Sin Riesgo
Vulnerabilidad
para atacar
Existe
Amenaza
Fuente
S
Aceptar Riesgo
Inaceptable
Riesgo
Riesgo
Existe
S
Aceptar Riesgo
Y
NO NO
Del atacante
Costo <Gain
Prdida
Anticipado
> Umbral
Vulnerable?
Explotable?
Figura 4-1. Puntos de Accin de Mitigacin de Riesgos
Esta estrategia se articula adems en los siguientes reglas generales, que proporcionan orientacin sobre
acciones para mitigar los riesgos de las amenazas humanas intencionales:
Cuando existe la vulnerabilidad (o defecto, debilidad) implementar tcnicas de garanta
para reducir la probabilidad de que una vulnerabilidad de que se ejerce.
Cuando una vulnerabilidad puede ser ejercido aplique protecciones en capas, de arquitectura
diseos, y los controles administrativos para reducir al mnimo el riesgo de, o prevenir esta
ocurrencia.
Cuando el costo del atacante es menor que la ganancia potencial aplicar protecciones a
disminuir la motivacin de un atacante mediante el aumento de costo del atacante (por ejemplo, el uso del sistema
controles tales como limitar lo que un usuario del sistema pueden acceder y hacer posible de manera significativa
reducir la ganancia de un atacante).
Cuando la prdida es demasiado grande aplicar los principios de diseo, diseos arquitectnicos y tcnicos
y las protecciones no tcnicas para limitar el alcance del ataque, lo que reduce el
potencial de prdida.
La estrategia describe anteriormente, con la excepcin del tercer elemento de la lista ("Cuando el costo del atacante
es menor que la ganancia potencial "), se aplica tambin a la mitigacin de los riesgos derivados de medio ambiente
Pgina 35
o las amenazas humanas intencionales (por ejemplo, del sistema o errores de usuario). (Debido a que no hay un "atacante", no
la motivacin o la ganancia es participar.)
4.3 ENFOQUE PARA LA APLICACIN DE CONTROL
Cuando es necesario tomar medidas de control, la siguiente regla se aplica:
Abordar los riesgos ms importantes y nos esforzamos para la mitigacin de riesgos suficiente al menor costo, con
impacto mnimo en otras capacidades de misin.
La siguiente metodologa de mitigacin de riesgos se describe el enfoque para controlar la puesta en prctica:
Paso 1 priorizar acciones
Sobre la base de los niveles de riesgo que se presentan en el informe de evaluacin de riesgos, la implementacin
acciones se priorizan. En la asignacin de recursos, se debe dar la mxima prioridad a los riesgos
artculos con clasificaciones inaceptablemente alto riesgo (por ejemplo, riesgo asignado un alto o muy alto
nivel de riesgo). Estos pares de vulnerabilidad / amenaza requerir una accin correctiva inmediata
para proteger los intereses y la misin de una organizacin.
Acciones de clasificacin de mayor a menor

SP 800-30 Pgina 29
Paso 2 Evaluar Opciones de control recomendadas
Los controles recomendados en el proceso de evaluacin del riesgo pueden no ser los ms
opciones apropiadas y viables para una organizacin especfica y el sistema de TI. Durante
este paso, la viabilidad (por ejemplo, la compatibilidad, la aceptacin del usuario) y la eficacia (por ejemplo,
grado de proteccin y el nivel de mitigacin de riesgos) de las opciones de control recomendadas
se analizan. El objetivo es seleccionar la opcin de control ms apropiado para
minimizando los riesgos.
Lista de controles factibles

Paso 3 Conducta Anlisis Costo-Beneficio
Para ayudar a la gerencia en la toma de decisiones y para identificar los controles rentables, un costo-
se lleva a cabo el anlisis de beneficio. Seccin 4.5 detalla los objetivos y el mtodo de
llevar a cabo el anlisis de costo-beneficio.
El anlisis de costo-beneficio que describe el costo y los beneficios de

aplicacin o no de los controles
Paso 4 Seleccione Control
Sobre la base de los resultados del anlisis de costo-beneficio, la administracin determina la
mayor control econmico (s) para reducir el riesgo a la misin de la organizacin. La
controles seleccionados deben combinar el control tcnico, operativo y de gestin
elementos para garantizar la seguridad adecuada para el sistema de TI y la organizacin.
Control seleccionado (s)

Pgina 36
Paso 5 Asignar Responsabilidad
Personas apropiadas (personal de la casa o del personal de contratacin externa) que tienen la
conocimientos tcnicos apropiados y conjuntos de habilidades para poner en prctica el control seleccionado se identifican,
y se le asigna la responsabilidad.
Lista de las personas responsables

Paso 6 Desarrollar un Plan de Implementacin de salvaguardia
Durante este paso, un plan de implementacin de salvaguardia 9 (O plan de accin) se desarrolla. La
plan debera, como mnimo, la siguiente informacin:
- Riesgos (pares de vulnerabilidad / amenaza) y los niveles de riesgo asociados (salida de riesgo
informe de evaluacin)
- Los controles recomendados (salida de informe de evaluacin de riesgos)
- Acciones prioritarias (dando prioridad a los elementos con muy alto y alto riesgo
niveles)
- Seleccin de los controles programados (determinados en funcin de la viabilidad, eficacia,
beneficios a la organizacin, y el costo)
- Los recursos necesarios para la aplicacin de los controles previstos seleccionados
- Las listas de los equipos y el personal responsable
- Fecha de inicio de la ejecucin
- Fecha prevista de finalizacin de la aplicacin
- Los requisitos de mantenimiento.
El plan de implementacin de salvaguardia prioriza las acciones de implementacin y
proyectos de las fechas de inicio y terminacin de destino. Este plan ayudar y agilizar el riesgo
proceso de mitigacin. Apndice C proporciona una tabla resumen de la muestra para la salvaguardia
plan de implementacin.
Safeguard plan de implementacin

SP 800-30 Pgina 30
Paso 7 Implementar control seleccionado (s)
Dependiendo de las situaciones individuales, los controles implementados pueden reducir el riesgo
nivel, pero no elimina el riesgo. Riesgo residual se discute en la Seccin 4.6.
Riesgo residual
La figura 4-2 muestra la metodologa recomendada para la mitigacin de riesgos.
9
NIST Interagencial Informe 4749, Declaraciones de muestra de trabajo en materia de Servicios Federales de Seguridad Informtica: Para uso In-
Casa o la subcontratacin. diciembre de 1991.
Pgina 37
Lista de posibles
controles
Paso 2.
Evaluar recomendados
Opciones de control
Paso 1.
Priorizar acciones
Los niveles de riesgo de la
la evaluacin de riesgos
informe
Entrada Mitigacin de Riesgos Actividades Salida
Acciones del rango de
De mayor a menor
Costo-beneficio
anlisis
Paso 3.
Realizar anlisis de costos y beneficios
Impacto de la implementacin de
Impacto de la no implementacin
Los costos asociados
Viabilidad
Eficacia
Evaluacin de riesgos
informe
Paso 5.
Asignar la responsabilidad
Lista de los
personas responsables
Paso 6. Desarrollar Safeguard
Plan de Implementacin
Los riesgos y los niveles de riesgo asociados

Acciones prioritarias
Los controles recomendados
Los controles previstos seleccionados
Personas Responsables
Fecha de inicio
Fecha de Terminacin de
Requisitos de mantenimiento
Salvaguardar
plan de implementacin
Paso 7 .
Implementar seleccionado
Controles
Riesgos residuales
Paso 4.
Seleccione Controles
Controles seleccionados
SP 800-30 Pgina 31
Figura 4-2. Mitigacin de Riesgos Metodologa Organigrama
Pgina 38
SP 800-30 Pgina 32
4.4 CATEGORAS DE CONTROL
En la aplicacin de los controles recomendados para mitigar el riesgo, una organizacin debera considerar
tcnica, de gestin, y los controles de seguridad operativa, o una combinacin de tales controles, a
maximizar la eficacia de los controles de sus sistemas de TI y de la organizacin. Los controles de seguridad,
cuando se usa apropiadamente, puede prevenir, limitar o impedir el dao de amenazas de origen a una organizacin de
misin.
El proceso de recomendacin de control consistir en elegir entre una combinacin de tcnica,
la gestin y los controles operacionales para mejorar la postura de seguridad de la organizacin. La
compensaciones que una organizacin tendr que considerar se ilustran mediante la visualizacin de las decisiones
involucrados en la aplicacin de uso de contraseas de usuario complejas para minimizar la adivinacin de contraseas y
agrietamiento. En este caso, un control tcnico que requiere add-on software de seguridad puede ser ms
complejo y caro que un procedimiento de control, pero el control tcnico es probable que sea ms
efectiva debido a que la aplicacin est automatizado por el sistema. Por otro lado, un procedimiento
el control se puede implementar simplemente por medio de un memorando a todas las personas interesadas
y una modificacin de las directrices de seguridad de la organizacin, sino garantizar que los usuarios
seguir constantemente la escritura de constitucin y directriz ser difcil y requerir de seguridad
la sensibilizacin y la aceptacin del usuario.
Esta seccin proporciona una visin general de alto nivel de algunas de las categoras de control. Ms detallada
orientacin sobre la implantacin y la planificacin de los controles de TI se puede encontrar en el NIST SP 800-18,
Gua para el desarrollo de Planes de Seguridad para Sistemas Informticos, y NIST SP 800-12,
Una introduccin a la seguridad informtica: El Manual NIST.
Secciones 4.4.1 a travs de 4.4.3 proporcionan una visin general de la tcnica, de gestin y operativa
controles, respectivamente.
4.4.1 Controles de seguridad tcnica
Controles de seguridad tcnicas para la mitigacin de riesgos se pueden configurar para proteger contra determinados tipos de
amenazas. Estos controles pueden ser simples o complejas medidas y por lo general el sistema implicar
arquitecturas; disciplinas de la ingeniera; y paquetes de seguridad con una combinacin de hardware, software,
y el firmware. Todas estas medidas deben trabajar juntos para asegurar los datos crticos y sensibles,
funciones de informacin y sistemas de TI. Los controles tcnicos se pueden agrupar en los siguientes
grandes categoras, de acuerdo con el propsito primario:
Apoyo (Seccin 4.4.1.1). Controles de apoyo son de carcter genrico y la mayora lo sustentan
capacidades de seguridad. Estos controles deben estar en su lugar con el fin de poner en prctica otra
controles.
Prevenir (Seccin 4.4.1.2). Los controles preventivos se centran en la prevencin de las violaciones de seguridad
que se produzcan en el primer lugar.
Detectar y recuperar (Seccin 4.4.1.3). Estos controles se centran en la deteccin y
recuperarse de un fallo de seguridad.
La Figura 4-3 muestra los controles tcnicos primarios y las relaciones entre ellos.
Pgina 39
Transaccin
Intimidad
Detectar, recuperar
Evitar
No-
SP 800-30 Pgina 33
Protecciones del sistema
(Mnimo privilegio, reutilizacin de objetos, la separacin de procesos, etc)
Administracin de la Seguridad
Gestin de claves de cifrado
Comunicaciones Protegidas
(Salvo de divulgacin, sustitucin, modificacin, y repeticin)
Recurso
Usuario
o
Proceso
Autenticacin
Autorizacin
Control de Acceso
Aplicacin
Prueba de
Integridad
Deteccin de Intrusos
y la contencin
Identificacin
Auditora
Restaurar estado
Apoyo
repudio
Figura 4-3. Controles de seguridad tcnica
4.4.1.1 Controles TCNICAS DE APOYO
Controles de apoyo son, por su propia naturaleza, omnipresente e interrelacionado con muchos otros
controles. Los controles de soporte son de la siguiente manera:
Identificacin. Este control proporciona la capacidad para identificar de forma nica los usuarios, los procesos,
y recursos de informacin. Para llevar a cabo otros controles de seguridad (por ejemplo, discrecional
control de acceso [DAC], control de acceso obligatorio [MAC], la rendicin de cuentas), es
esencial que ambos sujetos y objetos sean identificables.
Gestin de claves de cifrado. Las claves criptogrficas deben ser gestionados de forma segura
cuando las funciones criptogrficas se implementan en diversos otros controles.
La gestin de claves de cifrado incluye la generacin de claves, la distribucin, el almacenamiento y la
mantenimiento.
Administracin del Seguro. Las caractersticas de seguridad de un sistema de TI deben estar configurados
(Por ejemplo, activado o desactivado) para satisfacer las necesidades de una instalacin especfica y para la cuenta
los cambios en el entorno operativo. La seguridad del sistema se puede construir en
la seguridad del sistema operativo o la aplicacin. Off-the-shelf Comercial add-on
productos de seguridad disponibles.
Pgina 40
Proteccin del sistema. Subyacente capacidades funcionales diferentes de seguridad de un sistema
es una base de confianza en la ejecucin tcnica. Esto representa la calidad de
la aplicacin desde la perspectiva tanto de los procesos de diseo utilizados y de la
forma en que se llev a cabo la aplicacin. Algunos ejemplos de sistema de
protecciones son proteccin de la informacin residual (tambin conocida como la reutilizacin de objetos), menos
privilegio (o "necesidad de saber"), la separacin de procesos, la modularidad, capas, y
la reduccin al mnimo de lo que debe ser de confianza.
4.4.1.2 Controles tcnicos de prevencin
Estos controles, que pueden inhibir intentos de violar la poltica de seguridad, se incluyen los siguientes:
Autenticacin. El control de autenticacin proporciona los medios para verificar el
la identidad de un sujeto para asegurar que una identidad reivindicada es vlida. Autenticacin
mecanismos incluyen contraseas, nmeros de identificacin personal, o PIN, y
tecnologa de autenticacin emergente que proporciona autenticacin fuerte (por ejemplo, modo,
tarjetas inteligentes, certificados digitales, Kerberos).
SP 800-30 Pgina 34
Autorizacin. El control de autorizacin permite la especificacin y la subsiguiente
la gestin de las acciones permitidas para un sistema dado (por ejemplo, el propietario de la informacin o
el administrador de la base de datos determina quin puede actualizar un archivo compartido se accede por una
grupo de usuarios).
Aplicacin de control de acceso. integridad y confidencialidad de los datos son aplicadas por
controles de acceso. Cuando el sujeto que solicita el acceso ha sido autorizado para el acceso
procesos particulares, es necesario aplicar la poltica de seguridad definida (por ejemplo, MAC
o DAC). Estos controles basados en polticas se aplican a travs de los mecanismos de control de acceso
distribuidos por todo el sistema (por ejemplo, las etiquetas de sensibilidad MAC; permisos de archivos CAD
conjuntos, listas de control de acceso, funciones, perfiles de usuario). La eficacia y la fuerza de
control de acceso depende de la exactitud de las decisiones de control de acceso (por ejemplo, cmo el
reglas de seguridad se configuran) y la fuerza de la aplicacin de control de acceso (por ejemplo, la
diseo de software o hardware de seguridad).
No repudio. rendicin de cuentas del sistema depende de la capacidad de garantizar que los remitentes
no se puede negar el envo de informacin y que los receptores no se puede negar que lo recibe.
No rechazo se extiende tanto a la prevencin y deteccin. Se ha colocado en el
categora de prevencin en esta gua debido a que los mecanismos implementados impiden la
repudio con xito de una accin (por ejemplo, el certificado digital que contiene la
la clave privada del propietario es conocida slo por el propietario). Como resultado, este control es tpicamente
aplicado en el punto de transmisin o recepcin.
Comunicaciones protegido. En un sistema distribuido, la capacidad para llevar a cabo
objetivos de seguridad es altamente dependiente de las comunicaciones de confianza. La
control de las comunicaciones protegidas garantiza la integridad, disponibilidad y
confidencialidad de la informacin sensible y crtica mientras est en trnsito. Protegido
comunicaciones utilizan mtodos de cifrado de datos (por ejemplo, la red privada virtual, Internet
Protocolo de seguridad [IPSEC] Protocolo), y el despliegue de tecnologas criptogrficas
(Por ejemplo, Data Encryption Standard [DES], Triple DES, RAS, MD4, MD5, hash seguro
estndar, y en depsito algoritmos de cifrado como Clipper) para minimizar la red
amenazas como la repeticin, la intercepcin, la deteccin de paquetes, las escuchas telefnicas o escuchas.
Pgina 41
Transaccin de privacidad. Ambos sistemas gubernamentales y del sector privado son cada vez ms
necesaria para mantener la privacidad de los individuos. Controles de privacidad de transaccin (por ejemplo,
Secure Sockets Layer, secure shell) a proteger contra la prdida de la privacidad con respecto al
operaciones realizadas por un individuo.
4.4.1.3 Deteccin y Recuperacin Tcnicas Controles
Los controles de deteccin advierten de violacines o intentos de violacines de la poltica de seguridad e incluyen tales
controla como pistas de auditora, los mtodos de deteccin de intrusos, y sumas de comprobacin. Controles de recuperacin pueden ser
se utiliza para restaurar los recursos informticos perdidos. Son necesarios como complemento a la apoyar
y medidas tcnicas de prevencin, ya que ninguna de las medidas en estas otras reas es perfecto.
Los controles de deteccin y recuperacin incluyen-
Auditora. La auditora de sucesos relevantes para la seguridad y el control y seguimiento de los
anomalas del sistema son elementos clave en la deteccin despus de los hechos, y de la recuperacin
de, las brechas de seguridad.
Deteccin de intrusiones y Contencin. Es esencial para detectar fallos de seguridad
(por ejemplo, la red de robos, actividades sospechosas), de modo que una respuesta puede darse en forma oportuna
manera. Tambin es de poca utilidad para detectar un fallo de seguridad si no hay respuesta eficaz puede
ser iniciado. El control de deteccin de intrusos y la contencin proporciona estos dos
capacidades.
Prueba de la Totalidad. El (por ejemplo, la herramienta de la integridad del sistema) de prueba de integridad de control
anlisis de la integridad del sistema y las irregularidades e identifica las exposiciones y el potencial
amenazas. Este control no impide violacines de la poltica de seguridad, pero detecta
violacines y ayuda a determinar el tipo de accin correctiva necesaria.
Restaurar estado seguro. Este servicio permite a un sistema para volver a un estado que es
conocido por ser seguro, despus de que ocurra un fallo de seguridad.
Deteccin de virus y Erradicar. Deteccin de virus y software instalado erradicacin
SP 800-30 Pgina 35
en servidores y estaciones de trabajo de usuario detecta, identifica y elimina los virus de software para
garantizar la integridad del sistema y los datos.
4.4.2 Controles de seguridad Gestin
Los controles de seguridad de gestin, junto con los controles tcnicos y operativos, son
implementado para gestionar y reducir el riesgo de prdida y de proteger a la misin de una organizacin.
Controles de gestin se centran en la estipulacin de la poltica de proteccin de informacin, pautas y
estndares, los cuales se llevan a cabo a travs de procedimientos operativos para cumplir las metas de la organizacin
y las misiones.
Seguridad Gestin de los controles preventivos, de deteccin y recuperacin-que se aplican a
reducir el riesgo se describen en los apartados 4.4.2.1 a travs de 4.4.2.3.
Pgina 42
4.4.2.1 Preventivas Security Controls Gestin
Estos controles incluyen el siguiente:
Asignar la responsabilidad de seguridad para asegurarse de que se proporciona la seguridad adecuada para el
los sistemas de TI de misin crtica
Desarrollar y mantener planes de seguridad del sistema para documentar los controles y direccin actuales
controles previstos para los sistemas de TI de apoyo a la misin de la organizacin
Implementar controles de seguridad personal, incluyendo la separacin de funciones, privilegios mnimos,
y el registro de acceso a la computadora del usuario y terminacin
Realizar la conciencia de seguridad y capacitacin tcnica para garantizar que los usuarios finales y el sistema
los usuarios son conscientes de las reglas de comportamiento y de sus responsabilidades en la proteccin de la
La misin de la organizacin.
4.4.2.2 Controles de seguridad Deteccin de Gestin
Controles de gestin de deteccin son como sigue:
Implementar controles de seguridad del personal, incluida la retirada de personal, los antecedentes
investigaciones, la rotacin de los deberes
Llevar a cabo una revisin peridica de los controles de seguridad para garantizar que los controles son efectivos
Realizar auditoras peridicas del sistema
Llevar a cabo la gestin de riesgos en curso para evaluar y mitigar los riesgos
Autorizar los sistemas de TI para hacer frente y aceptar el riesgo residual.
4.4.2.3 Controles de seguridad Recuperacin de Gestin
Estos controles incluyen el siguiente:
Dar continuidad de apoyar y desarrollar, probar y mantener la continuidad de
plan de operaciones para proporcionar para la reanudacin de negocios y garantizar la continuidad del
operaciones durante emergencias o desastres
Establecer una capacidad de respuesta a incidentes de prepararnos, reconocer, reportar y
responder al incidente y devolver el sistema informtico para el estado de funcionamiento.
4.4.3 Controles de seguridad operacional
Estndares de seguridad de una organizacin debe establecer un conjunto de controles y directrices para asegurar
SP 800-30 Pgina 36
que los procedimientos de seguridad que rigen el uso de los activos y recursos de TI de la organizacin son
correctamente aplicado y puesto en prctica de acuerdo con los objetivos y la misin de la organizacin.
La direccin juega un papel fundamental en la supervisin de la implementacin de polticas y para garantizar la
establecimiento de controles operacionales pertinentes.
Pgina 43
SP 800-30 Pgina 37
Los controles operacionales aplicados de acuerdo con un conjunto bsico de requisitos (por ejemplo, tcnica
controles) y las buenas prcticas de la industria, se utilizan para corregir las deficiencias operacionales que podran ser
ejercida por posibles amenazas recursos. Para garantizar la coherencia y uniformidad en la seguridad
operaciones, deben ser paso a paso los procedimientos y mtodos para la aplicacin de los controles operacionales
claramente definidos, documentados y mantenidos. Estos controles operacionales incluyen los presentados
en las secciones 4.4.3.1 y 4.4.3.2 a continuacin.
4.4.3.1 Controles Operativos preventivos
Controles operacionales preventivas son las siguientes:
Acceso a los medios de comunicacin de datos de control y eliminacin (por ejemplo, control de acceso fsico, desmagnetizacin
mtodo)
Limitar la distribucin de datos externo (por ejemplo, el uso de etiquetado)
Los virus de software de control
instalaciones de salvaguardia de computacin (por ejemplo, guardias de seguridad, los procedimientos del lugar para los visitantes,
sistema de tarjetas electrnicas, control de acceso biomtrico, la gestin y la distribucin de
cerraduras y llaves, las barreras y vallas)
Asegure los armarios de cableado que los concentradores y cables de la casa
Proporcionar la capacidad de copia de seguridad (por ejemplo, los procedimientos de datos y copias de seguridad regulares del sistema,
registros de archivo que guardar todos los cambios de base de datos que se utilizarn en diversos escenarios de recuperacin)
Establecer los procedimientos y la seguridad fuera de las instalaciones de almacenamiento
Proteger los ordenadores porttiles, ordenadores personales (PC), estaciones de trabajo
Proteger los activos de TI de dao de fuego (por ejemplo, requisitos y procedimientos para el uso de
extintores, lonas, sistemas de rociadores secos, sistema de supresin de incendios de halones)
Proporcionar la fuente de energa de emergencia (por ejemplo, los requisitos para la alimentacin ininterrumpida
suministros, los generadores de energa en las instalaciones)
Control de la humedad y la temperatura del aula de informtica (por ejemplo, el funcionamiento del aire
acondicionadores, dispersin de calor).
Deteccin 4.4.3.2 Controles Operativos
Controles operacionales de deteccin incluyen lo siguiente:
Brindar seguridad fsica (por ejemplo, el uso de detectores de movimiento, circuito cerrado de televisin
de vigilancia, sensores y alarmas)
Garantizar la seguridad del medio ambiente (por ejemplo, el uso de detectores de humo y fuego, sensores y
alarmas).
4.5 ANLISIS COSTO-BENEFICIO
Para asignar los recursos e implementar controles rentables, organizaciones, despus de identificar todos
posibles controles y la evaluacin de su viabilidad y eficacia, deben llevar a cabo un anlisis coste-beneficio
Pgina 44
SP 800-30 Pgina 38
anlisis para cada control propuesto para determinar qu controles son necesarios y apropiados para
sus circunstancias.
El anlisis costo-beneficio puede ser cualitativa o cuantitativa. Su objetivo es demostrar que el
costos de implementacin de los controles pueden ser justificados por la reduccin en el nivel de riesgo. Para
ejemplo, la organizacin no puede querer gastar $ 1,000 en un control para reducir el riesgo de $ 200.
Un anlisis de costo-beneficio para los nuevos controles propuestos o controles mejorados abarca el
siguiente:
Determinar el impacto de la aplicacin de los nuevos o mejorados controles
Determinar el impacto de la no aplicacin de los nuevos o mejorados controles
La estimacin de los costos de la implementacin. Estos pueden incluir, pero no se limitan
a, lo siguiente:
- Hardware y software compras
- Reduccin de la eficacia operativa si el rendimiento o la funcionalidad del sistema es
reducido para una mayor seguridad
- El costo de la implementacin de polticas y procedimientos adicionales
- El costo de la contratacin de personal adicional para poner en prctica las polticas propuestas, procedimientos o
servicios
- Los costes de formacin
- Los costes de mantenimiento
La evaluacin de los costos y beneficios contra el sistema y criticidad datos de ejecucin a
determinar la importancia de la organizacin de la implementacin de los nuevos controles, dada
sus costos y el impacto relativo.
La organizacin tendr que evaluar los beneficios de los controles en trminos de mantener una
postura aceptable para la misin de la organizacin. As como hay un costo para la implementacin de un
control necesario, hay un costo por no aplicarla. Al relacionar el resultado de no
implementar el control de la misin, las organizaciones pueden determinar si es factible
renunciar a su aplicacin.
Anlisis Costo-Beneficio Ejemplo almacena y procesa System X de misin crtica y sensible:
privacidad de la informacin de los empleados; Sin embargo, la auditora no se ha habilitado para el sistema. Un costo-
beneficio se realiza para determinar si la funcin de auditora debe ser habilitado para que
Sistema X.
Artculos (1) y (2) frente a los efectos intangibles (por ejemplo, los factores de disuasin) para la aplicacin o no
la aplicacin del nuevo control. Artculo (3), enumera los elementos tangibles (por ejemplo, el costo real).
(1) Impacto de habilitar funcin de auditora del sistema: La funcin de auditora del sistema permite que la seguridad del sistema
administrador para supervisar las actividades del sistema de los usuarios, pero se ralentizar el rendimiento del sistema y
por lo tanto, afectar la productividad del usuario. Asimismo, la aplicacin requerir recursos adicionales, como
descripcin del punto 3.
Pgina 45
(2) Impacto de no permitir caracterstica de auditora del sistema: las actividades del sistema de usuario y violacines no pueden ser
monitoreado y rastreado si la funcin de auditora del sistema est desactivado, y la seguridad no se puede maximizar
para proteger los datos confidenciales y la misin de la organizacin.
(3) la estimacin de costos para habilitar la funcin de auditora del sistema:
Costo para habilitar la auditora del sistema de funciones sin inconvenientes, caracterstica integrada $ 0
El personal adicional para llevar a cabo el examen de auditora y archivo, por ao $ XX, XXX
Formacin (por ejemplo, la configuracin de auditora del sistema, la generacin de informes) $ X, XXX
Add-on de informes de auditora de software $ X, XXX
Mantenimiento de los datos de auditora (por ejemplo, almacenamiento, archivo), por ao$ X, XXX
Costos totales estimados $ XX, XXX
SP 800-30 Pgina 39
Los directivos de la organizacin deben determinar lo que constituye un nivel aceptable de la misin
riesgo. El impacto de un control puede entonces ser evaluada, y el control, ya sea incluido o excluido,
despus de que la organizacin determina un rango de niveles de riesgo factibles. Este rango vara entre
organizaciones; sin embargo, las siguientes reglas se aplican para determinar el uso de las nuevas medidas de control:
Si el control reducira el riesgo ms de lo necesario, y luego ver si un menos costoso
existe alternativa
Si el control costara ms que la reduccin del riesgo proporcionado, y luego encontrar algo ms
Si el control no reduce riesgo suficientemente, y luego buscar ms controles o una diferente
control
Si el control de la reduccin del riesgo proporciona lo suficiente y es rentable, a continuacin, utilizarlo.
Con frecuencia, el costo de la implementacin de un control es ms tangible que el costo de no implementar
ella. Como resultado, la alta direccin tiene un papel crtico en las decisiones relativas a la
aplicacin de medidas de control para proteger la misin de la organizacin.
4.6 RIESGO RESIDUAL
Las organizaciones pueden analizar el alcance de la reduccin del riesgo generado por el nuevo o mejorado
los controles en trminos de la probabilidad de amenaza reducido o impacto, los dos parmetros que definen la
nivel de riesgo mitigado a la misin de la organizacin.
Implementacin de controles nuevos o mejorados puede mitigar el riesgo
La eliminacin de algunas de las vulnerabilidades del sistema (fallos y debilidad), con lo que
reducir el nmero de posibles pares threat-source/vulnerability
Adicin de un control dirigido a reducir la capacidad y la motivacin de una amenaza de cdigo
Por ejemplo, un departamento determina que el costo de instalar y mantener
software adicional de seguridad para el PC independiente que almacena sus archivos confidenciales no es
justificable, pero que los controles administrativos y fsicos deben ser implementados para
Pgina 46
hacer que el acceso fsico a la PC sea ms difcil (por ejemplo, guardar la PC en una habitacin cerrada,
con la llave guardada por el director).
La reduccin de la magnitud de los efectos adversos (por ejemplo, limitar el alcance de una
vulnerabilidad o la modificacin de la naturaleza de la relacin entre el sistema informtico y
La misin de la organizacin).
La relacin entre la aplicacin de control y el riesgo residual se presenta grficamente en
Figura 4-4.
Figura 4-4. Controles implementados y Riesgo Residual
Nuevo o Mejorado
Controles
Riesgo Residual
Reducir el nmero de
Fallos o errores
Aadir un objetivo
control
Reducir Magnitud
de Impacto
SP 800-30 Pgina 40
El riesgo que permanece despus de la implementacin de controles nuevos o mejorados es el riesgo residual.
Prcticamente no existe un sistema de TI est libre de riesgo, y no todos los controles implementados puede eliminar el riesgo de que
estn destinadas a abordar o reducir el nivel de riesgo a cero.
Conforme a lo dispuesto por la OMB Circular A-130 de la alta direccin de una organizacin o de la DAA, que
son responsables de proteger los activos de TI de la organizacin y su misin, debe autorizar (o
acreditar) el sistema de TI para iniciar o continuar operando. Esta autorizacin o acreditacin debe
realizarse por lo menos cada 3 aos o cada vez que grandes cambios se realizan en el sistema informtico. La intencin de
este proceso es identificar los riesgos que no se aborden plenamente y para determinar si adicional
Se necesitan controles para mitigar los riesgos identificados en el sistema informtico. Para las agencias federales, despus de
los controles apropiados se han puesto en marcha para los riesgos identificados, la DAA firmar un
declaracin de aceptar cualquier riesgo residual y autorizar el funcionamiento del nuevo sistema informtico o de la
continuacin de la tramitacin del sistema informtico existente. Si el riesgo residual no se ha reducido a un
nivel aceptable, el ciclo de gestin del riesgo debe repetirse para identificar una forma de disminuir la
riesgo residual a un nivel aceptable.
Pgina 47
5.
EVALUACIN Y EVALUACIN
En la mayora de las organizaciones, la propia red en forma continua se ampliar y actualizar su
componentes cambian, y de sus aplicaciones de software reemplazados o actualizados con las nuevas versiones. En
Adems, los cambios de personal se producen y las polticas de seguridad es probable que cambien con el tiempo.
Estos cambios significan que los nuevos riesgos saldrn a la superficie y los riesgos mitigados anteriormente puede volver
convertido en una preocupacin. Por lo tanto, el proceso de gestin de riesgos est en curso y en evolucin.
En esta seccin se hace hincapi en las buenas prcticas y la necesidad de una evaluacin de riesgos en curso y
evaluacin y los factores que conduzcan a un programa de gestin de riesgos exitosa.
5.1 BUENAS PRCTICAS DE SEGURIDAD
Normalmente, el proceso de evaluacin de riesgos se repite por lo menos cada 3 aos para las agencias federales,
dispuesto por la Circular OMB A-130. Sin embargo, la gestin del riesgo debe llevarse a cabo y
integrado en el SDLC para los sistemas de TI, no porque es requerido por ley o reglamento, pero
ya que es una buena prctica y apoya los objetivos de negocio de la organizacin o misin.
Debe haber un horario especfico para evaluar y mitigar los riesgos de la misin, pero la
proceso que se realiza peridicamente tambin debe ser lo suficientemente flexible para permitir cambios cuando sea
se justifica, como cambios importantes en el entorno del sistema de TI y el procesamiento debido a los cambios
como resultado de las polticas y las nuevas tecnologas.
5,2 claves del xito
Un programa de gestin de riesgos deber seguir el (1) el compromiso de la alta direccin; (2)
el apoyo y la participacin del equipo de TI (ver seccin 2.3); (3) la competencia del riesgo
equipo de evaluacin, que debe tener los conocimientos necesarios para aplicar la metodologa de evaluacin de riesgos para un
sitio y sistema especfico, identificar los riesgos de la misin, y proporcionar salvaguardias rentables que cumplen
las necesidades de la organizacin; (4) la sensibilizacin y la cooperacin de los miembros del usuario
comunidad, que debe seguir los procedimientos y cumplir con los controles implementados a
salvaguardar la misin de su organizacin; y (5) una evaluacin y valoracin del curso
Relacionados con TI riesgos de la misin.
SP 800-30 Pgina 41
Pgina 48
SP 800-30 Pgina A-1
Apndice A: Ejemplos de preguntas de la entrevista
Preguntas de la entrevista deben ser adaptados basados en los que el sistema de TI evaluado se encuentra en el SDLC.
Ejemplos de preguntas que se formulan durante las entrevistas con el personal del sitio para obtener una comprensin de
las caractersticas operativas de una organizacin pueden incluir los siguientes:
Quines son los usuarios vlidos?
Cul es la misin de la organizacin de usuarios?
Cul es el propsito del sistema en relacin con la misin?
Qu tan importante es el sistema de la misin de la organizacin de usuarios?
Cul es el requisito de sistema de disponibilidad?
Qu informacin (tanto entrantes como salientes) se requiere por la organizacin?
Qu informacin se genera, consume, procesado en, almacenada en, y
recuperada por el sistema?
Qu tan importante es la informacin a la misin de la organizacin de usuarios?
Cules son los caminos del flujo de informacin?
Qu tipo de informacin son procesados y almacenados por el sistema (por ejemplo, financieros,
personal, investigacin y desarrollo, mdica, comando y control)?
Cul es la sensibilidad (o clasificacin) el nivel de la informacin?
Qu informacin manejada por o sobre el sistema no debe darse a conocer y para
quin?
En los casos en concreto se procesa la informacin y se almacena?
Cules son los tipos de almacenamiento de informacin?
Cul es el impacto potencial en la organizacin si la informacin es revelada a
personal no autorizado?
Cules son los requisitos para la disponibilidad e integridad de la informacin?
Cul es el efecto sobre la misin de la organizacin si el sistema o informacin que no es
confiable?
Cunto tiempo de inactividad del sistema puede tolerar la organizacin? Cmo funciona este tiempo de inactividad
Comparar con el tiempo de reparacin medio / recuperacin? Qu otro tipo de elaboracin o
opciones de comunicacin puede el acceso de los usuarios?
Podra un sistema de seguridad o mal funcionamiento o falta de disponibilidad resultado lesiones o la muerte?
Pgina 49
SP 800-30 Pgina B-1
APNDICE B: RIESGO DE MUESTRA DE INFORME DE EVALUACIN RESUMEN
RESUMEN EJECUTIVO
I. Introduccin
Propsito
Alcance de esta evaluacin de riesgos
Describir los componentes del sistema, los elementos, los usuarios, ubicaciones de los sitios de campo (si lo hay), y cualquier otro
detalles sobre el sistema para ser considerado en la evaluacin.
II. Mtodo de evaluacin de riesgos
Describa brevemente el mtodo utilizado para llevar a cabo la evaluacin de riesgos, tales como-
Los participantes (por ejemplo, los miembros del equipo de evaluacin de riesgos)
La tcnica utilizada para recoger informacin (por ejemplo, el uso de herramientas, cuestionarios)
El desarrollo y la descripcin de la escala de riesgo (por ejemplo, a, 4 x 4, o 5 x 5 niveles de riesgo 3 x 3
matriz).
III. Caracterizacin Sistema
Caracterizar el sistema, incluido el hardware (servidor, router, switch), software (por ejemplo, la aplicacin,
sistema operativo, protocolo), las interfaces del sistema (por ejemplo, enlace de comunicacin), datos y usuarios.
Proporcionar diagrama de conectividad o de entrada del sistema y diagrama de flujo de salida para delinear el alcance de esta
arriesgar esfuerzo de evaluacin.
IV. Declaracin de Amenazas
Compilar y enumerar las posibles amenazas recursos y acciones de amenaza asociadas aplicables a la
sistema evalu.
Resultados de la Evaluacin de Riesgos V.
Enumere las observaciones (pares de vulnerabilidad / amenaza). Cada observacin debe incluir-
Nmero de Observacin y breve descripcin de observacin (por ejemplo, Observacin 1: El usuario
las contraseas del sistema se pueden adivinar o agrietados)
Una discusin de la pareja amenaza de cdigo y la vulnerabilidad
Identificacin de los controles de seguridad de mitigacin existentes
Discusin de verosimilitud y la evaluacin (por ejemplo, Alta, Media o Baja probabilidad)
Anlisis de impacto discusin y evaluacin (por ejemplo, Alto, Medio o Bajo impacto)
La clasificacin de riesgo basado en la matriz de nivel de riesgo (por ejemplo, alto, medio, o bajo nivel de riesgo)
Los controles u opciones alternativas para reducir el riesgo recomendada.
VI. Resumen
Sume el nmero de observaciones. Resumir las observaciones, los niveles de riesgo asociados, la
Pgina 50
recomendaciones, y los comentarios en un formato de tabla para facilitar la aplicacin de
controles recomendados durante el proceso de mitigacin de riesgos.
SP 800-30 Pgina B-2
Pgina 51
APNDICE C: MODELO DE SALVAGUARDIA PLAN DE IMPLEMENTACIN TABLA RESUMEN
(1)
Riesgo
(Vulnerabilidad /
Amenaza par)
(2)
Riesgo
Nivel
(3)
Recomendado
Controles
(4)
Accin
Prioridad
(5)
Seleccionado
Planificado
Controles
(6)
Necesario
Recursos
(7)
Responsable
Equipo / Personas
(8)
Fecha de inicio /
Fecha de finalizacin
(9)
Mantenimiento
Requisito /
Comentarios
Los usuarios no autorizados pueden
telnet al servidor de XYZ
y navegar sensibles
archivos de la empresa con el
invitado ID.
Alto
No permitir entrada
telnet
No permitir el "mundo"
el acceso a la sensible
archivos de la empresa
Desactive el invitado
Identificacin o asignacin
difcil de adivinar
contrasea para la
invitado ID
Alto
Rechazar
telnet entrante
Rechazar
Acceso "mundo"
para sensibles
archivos de la empresa
Las Personas con Discapacidad

invitado ID
10 horas a
reconfigurar
y probar el
sistema
John Doe, XYZ
sistema de servidor
administrador;
Jim Smith,
firewall de la compaa
administrador
01/09/2001 a
02/09/2001
Realizar
peridico
sistema
revisin de seguridad
y pruebas para
asegurar
adecuado
la seguridad es
previsto
la XYZ
servidor
SP 800-30 Pgina C-1
(1)
Los riesgos (pares de vulnerabilidad / amenaza) son resultado del proceso de evaluacin de riesgos
(2) El nivel de riesgo asociado de cada riesgo identificado (par vulnerabilidad / riesgo) es el resultado del proceso de evaluacin de riesgos
(3) Los controles recomendados son resultado del proceso de evaluacin de riesgos
(4) se determina la prioridad de accin en base a los niveles de riesgo y los recursos disponibles (por ejemplo, los fondos, las personas, la tecnologa)
(5) Los controles previstos seleccionados de los controles recomendados para la implementacin
(6) Los recursos necesarios para la aplicacin de los controles previstos seleccionados
(7) Lista de equipo (s) y las personas que sern responsables de la aplicacin de los nuevos o mejorados controles
(8) la fecha y la fecha de finalizacin prevista para la aplicacin de los nuevos o mejorados controles de inicio
(9) requisito de mantenimiento para los nuevos o mejorados controles despus de la implementacin.
Pgina 52
APNDICE D: SIGLAS
AES Advanced Encryption Standard
CSA Ley de Seguridad Informtica
DAA Autoridad Aprobatoria Designado
DAC Control de acceso discrecional
DES Data Encryption Standard
FedCIRC Centro de Respuesta a Incidentes de Informtica Federal
FTP Protocolo de transferencia de archivos
Identificacin Identificador
IPSEC Seguridad del protocolo de Internet
ISSO Oficial de seguridad del sistema de informacin
Informtica Tecnologa de la Informacin
ITL Laboratorio de Tecnologas de la Informacin
MAC Control de Acceso Obligatorio
NIPC Infraestructura Centro Nacional de Proteccin
NIST Instituto Nacional de Estndares y Tecnologa
OIG Oficina del Inspector General
OMB Oficina de Administracin y Presupuesto
PC Ordenador personal
SDLC Ciclo de Vida de Desarrollo
SP Publicacin Especial
ST & E Prueba de Seguridad y Evaluacin
SP 800-30 Pgina D-1
Pgina 53
SP 800-30 Pgina E-1
E ANEXO: GLOSARIO
PLAZO DEFINICIN
Responsabilidad El objetivo de seguridad que genera la necesidad de acciones de una entidad a
ser rastreado de forma nica a esa entidad. Esto apoya el no repudio, la disuasin,
aislamiento de fallas, deteccin de intrusiones y prevencin, y recuperacin despus de la accin
y la accin legal.
Garanta Motivos para confiar en que los otros cuatro objetivos de seguridad (integridad,
disponibilidad, confidencialidad y responsabilidad) se han cumplido adecuadamente
por una implementacin especfica. "Adecuadamente satisfecho" incluye (1) una funcionalidad
que realiza correctamente, (2) una proteccin suficiente contra los errores involuntarios
(Por los usuarios o de software), y (3) suficiente resistencia a la penetracin intencional
o bypass.
Disponibilidad El objetivo de seguridad que genera el requisito para la proteccin contra-
Intentos intencionales o accidentales (1) realizar la destruccin no autorizadas
de datos o (2) de lo contrario provocar una denegacin de servicio o datos
El uso no autorizado de los recursos del sistema.
Confidencialidad El objetivo de seguridad que genera el requisito de proteccin contra
intentos intencionales o accidentales para realizar lecturas de datos no autorizada.
La confidencialidad abarca datos en el almacenamiento, durante el proceso, y en trnsito.
Denegacin de servicio La prevencin del acceso no autorizado a los recursos o el retraso de tiempo
operaciones crticas.
Debido Cuidado Los gestores y sus organizaciones tienen la obligacin de proporcionar la informacin
de seguridad para asegurarse de que el tipo de control, el costo de control, y el
implementacin del control son apropiados para ser administrado el sistema.
Integridad El objetivo de seguridad que genera el requisito para la proteccin contra ya sea
intentos intencionales o accidentales de violar la integridad de datos (la propiedad que
de datos tiene cuando no ha sido alterado de manera no autorizada) o sistema de
integridad (la cualidad que tiene un sistema cuando se lleva a cabo su intencin
funcionan de manera irreprochable, libre de manipulacin no autorizada).
Pgina 54
Riesgos relacionados con TI El impacto neto de la misin teniendo en cuenta (1) la probabilidad de que un determinado
amenaza de cdigo ejercer (disparar accidentalmente o intencionalmente explotar) una
la vulnerabilidad del sistema de informacin en particular y (2) el impacto resultante si
esto debera ocurrir. Riesgos relacionados con las TI se derivan de la responsabilidad legal o prdida misin
debido a-
1. Unauthorized (intencionada o accidental) la divulgacin, modificacin o
SP 800-30 Pgina E-2
destruccin de la informacin
2. Errores y omisiones no intencionales
3. Interrupciones debido a los desastres naturales o de origen humano
4. El no ejercer el debido cuidado y diligencia en la ejecucin y
funcionamiento del sistema de TI.
TI Objetivos Objetivo Seguridad Sede de seguridad
Riesgo Dentro de este documento, sinnimo de riesgo relacionados con las TI.
EVALUACIN DEL RIESGO El proceso de identificacin de los riesgos a la seguridad del sistema y determinar la
probabilidad de ocurrencia, el impacto resultante y salvaguardias adicionales
eso sera mitigar este impacto. Parte de la Gestin de Riesgos y sinnimo
con el Anlisis de Riesgos.
Gestin de Riesgos El proceso total de la identificacin, el control y la mitigacin de la informacin
riesgos relacionados con el sistema. Incluye la evaluacin de riesgos; anlisis de costo-beneficio; y
la seleccin, implementacin, prueba y evaluacin de la seguridad de las salvaguardias.
Esta revisin global de seguridad del sistema tiene en cuenta tanto la eficacia y
eficiencia, incluido el impacto sobre la misin y las limitaciones debido a la poltica,
reglamentos y leyes.
Seguridad Seguridad de los sistemas de informacin es una caracterstica del sistema y un conjunto de
mecanismos que abarcan todo el sistema tanto lgica como fsicamente.
Objetivos de seguridad Los cinco objetivos de seguridad son la integridad, disponibilidad, confidencialidad,
rendicin de cuentas, y la garanta.
Amenaza El potencial de una amenaza-source para el ejercicio (por accidente o desencadenar
intencionalmente explotar) una vulnerabilidad especfica.
Amenaza de cdigo O bien (1) la intencin y el mtodo dirigido a la explotacin intencional de un
vulnerabilidad o (2) una situacin y un mtodo que puede activar accidentalmente un
vulnerabilidad.
Anlisis de Amenazas El examen de las amenazas recursos contra las vulnerabilidades del sistema a
determinar las amenazas para un sistema en particular en un operativo especial
medio ambiente.
Vulnerabilidad Un defecto o debilidad en los procedimientos de seguridad del sistema, el diseo, la implementacin,
o los controles internos que podran ser ejercidas (accidentalmente activan o
explotado intencionalmente) y resultar en un fallo de seguridad o una violacin de la
poltica de seguridad del sistema.
Pgina 55
APNDICE F: REFERENCIAS
Computer Systems Boletn Laboratorio. Amenazas a los sistemas informticos: una visin general .
Marzo de 1994.
NIST Interagencial Reports 4749. Declaraciones muestra del trabajo de Federal Computer Security
Servicios: Para uso interno o la subcontratacin. diciembre de 1991.
NIST Special Publication 800-12. Una introduccin a la seguridad informtica: El Manual NIST .
Octubre de 1995.
NIST Special Publication 800-14. Principios y Prcticas Generalmente Aceptados para la seguridad
Sistemas de Tecnologa de la Informacin . Septiembre de 1996. Co-autor con Barbara Guttman.
NIST Special Publication 800-18. Gua para el desarrollo de Planes de Seguridad de la Informacin
Sistemas de Tecnologa . Diciembre de 1998. Co-autor con los Directores de Seguridad Informtica Federales
Grupo de trabajo del Foro.
NIST Special Publication 800-26, Gua de Autoevaluacin de Seguridad de Tecnologa de la Informacin
SP 800-30 Pgina F-1
Sistemas . Agosto de 2001.
NIST Special Publication 800-27. Principios de Ingeniera de Seguridad de TI . Junio de 2001.
OMB Circular A-130. Gestin de Recursos de Informacin Federales. Apndice III.
Noviembre de 2000.

NIST 800-30 - Esp

Uploaded by

Document Information

Original Description:

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

NIST 800-30 - Esp

Uploaded by

Copyright:

Available Formats

10/6/2014 Gua de Gestin de Riesgos prr Sistemas Informticos

Riesgos identificados se utilizan para

Los riesgos identificados durante este

El proceso de gestin de riesgos

Actividades de gestin de riesgos son

Actividades de gestin de riesgos

Motivacin Amenaza de cdigo

Anlisis del impacto de la Misin

Motivacin Amenaza de cdigo

Anlisis del impacto de la Misin

Caracterizacin del sistema de TI evaluados, una buena imagen de la TI

Intrusin del sistema, los robos

El acceso no autorizado al sistema

El delito informtico (por ejemplo, cyber

Acto fraudulento (por ejemplo, repeticin,

Ataque del sistema (por ejemplo, distribuy

La penetracin del sistema

Manipulacin del sistema

Intrusin en la privacidad personal

La penetracin del sistema

El acceso no autorizado al sistema

Navegacin del propietario

Entrada de falsificada, datos corruptos

El cdigo malicioso (por ejemplo, virus, lgica

Venta de informacin personal

Errores del sistema

El acceso no autorizado al sistema

Capacidad de respuesta a incidentes

Revisin peridica de controles de seguridad

Investigaciones de liquidacin de personal y de fondo

La formacin en seguridad y tcnica

Sistema de autorizacin y reautorizacin

Plan de seguridad del sistema o de la aplicacin

Controles para garantizar la calidad del suministro de energa elctrica

El acceso y la eliminacin de medios de Datos

Distribucin de datos externa y el etiquetado

Proteccin de la instalacin (por ejemplo, sala de informtica, centro de datos, oficina)

Las estaciones de trabajo, porttiles y ordenadores personales independientes

Comunicaciones (por ejemplo, acceso telefnico, de interconexin de sistemas, enrutadores)

Control de acceso discrecional

Calificacin de probabilidad (alta, media, baja)

Magnitud del impacto (Alta, Media o Baja)

El nivel de riesgo (alto, medio, bajo)

Recomendacin de control (s) y soluciones alternativas para mitigar el riesgo

Informe de evaluacin de riesgos que se describen las amenazas y vulnerabilidades,

Acciones de clasificacin de mayor a menor

Lista de controles factibles

El anlisis de costo-beneficio que describe el costo y los beneficios de

Control seleccionado (s)

Lista de las personas responsables

Safeguard plan de implementacin

Los riesgos y los niveles de riesgo asociados

Las Personas con Discapacidad

You might also like