Post on 27-Apr-2020
transcript
PROYECTO FIN DE CARRERA
ANÁLISIS Y GESTIÓN DE RIESGOS DEL
SERVICIO IMAT DEL SISTEMA DE
INFORMACIÓN DE I.C.A.I.
AUTOR: Eduardo Ferrero Recaséns
MADRID, Junio de 2006
UNIVERSIDAD PONTIFICIA COMILLAS ESCUELA TÉCNICA SUPERIOR DE INGENIERÍA (ICAI)
INGENIERO EN INFORMÁTICA
Autorizada la entrega del proyecto del alumno:
Eduardo Ferrero Recaséns
EL DIRECTOR DEL PROYECTO
Ramón Arias Ruiz de Somavia
Fdo.:……………………………… Fecha: ……/……/……
VºBº del Coordinador de Proyectos
Mario Castro Ponce
Fdo.:……………………………… Fecha: ……/……/……
Índice
3
ÍNDICE
Resumen .................................................................................................... 10
Definición del problema........................................................................... 17
Gestión de la Seguridad............................................................................................21
Objetivos, estrategias y políticas de seguridad....................................................... 24
Análisis y Gestión de Riegos.................................................................................. 24
Implantación del Plan de Seguridad ....................................................................... 30
Acreditación............................................................................................................ 30
Seguimiento ............................................................................................................ 30
Concienciación de la seguridad .............................................................................. 31
Alcance del proyecto ................................................................................................33
Introducción a iMat ................................................................................................ 34
MAGERIT ................................................................................................ 36
Introducción a MAGERIT........................................................................................37
Objetivos de Magerit .............................................................................................. 38
El análisis y gestión de riesgos en su contexto....................................................... 39
Realización del análisis y gestión de riesgos............................................................41
Análisis de Riesgos................................................................................................. 42
Gestión de Riesgos ................................................................................................. 54
Fases de un análisis y gestión de riesgos..................................................................58
Planificación ........................................................................................................... 58
Análisis de riesgos .................................................................................................. 61
Gestión de riesgos................................................................................................... 63
EAR............................................................................................................ 67
Introducción..............................................................................................................68
PILAR..................................................................................................................... 68
Índice
4
Especificaciones .......................................................................................................68
Análisis cualitativo ................................................................................................. 70
Análisis cuantitativo ............................................................................................... 70
Presentación del AGR en EAR.................................................................................71
iMat............................................................................................................ 75
Desarrollo y funcionamiento ....................................................................................76
Arquitectura en tres capas....................................................................................... 77
Funcionamiento ...................................................................................................... 81
Servidores .................................................................................................................82
Datos / Información ..................................................................................................86
Seguridad de la información.....................................................................................88
Aplicaciones asociadas a iMat..................................................................................90
Interfaz de iMat con el usuario .................................................................................90
Posibles riesgos ........................................................................................................96
Análisis y Gestión de Riesgos en iMat.................................................... 98
P1: Planificación.......................................................................................................99
A1.1: Estudio de oportunidad................................................................................. 99
A1.2: Determinación del alcance del proyecto..................................................... 103
A1.3: Planificación del proyecto .......................................................................... 117
A1.3: Lanzamiento del proyecto .......................................................................... 120
P2: Análisis de Riesgos ..........................................................................................124
A2.1: Caracterización de activos .......................................................................... 125
A2.2: Caracterización de las amenazas ................................................................ 138
A2.3: Caracterización de las Salvaguardas........................................................... 141
A2.4: Estimación del estado de riesgo.................................................................. 150
P3: Gestión de Riesgos ...........................................................................................163
Índice
5
Actividad A3.1: Toma de decisiones.................................................................... 164
Actividad A3.2: Plan de seguridad ....................................................................... 171
Actividad A3.3: Ejecución del plan...................................................................... 175
Calificación según la ISO/IEC 17799:2005 ...........................................................182
Clasificación según la CSNC .................................................................................184
Clasificación según la RD994 ................................................................................186
Conclusión............................................................................................... 187
Anexos...................................................................................................... 190
Amenazas................................................................................................................191
Definiciones y Acrónimos ......................................................................................194
Modelo de Valor.....................................................................................................200
Mapa de Riesgos.....................................................................................................226
Evaluación de Salvaguardas ...................................................................................265
Estado de Riesgo ....................................................................................................288
Informe de Insuficiencias (50%) ............................................................................326
Calificación [17799_2005] ISO/IEC 17799:2005..................................................335
Calificación [csnc] Criterios de seguridad, normalización y conservación............341
Calificación [rd994] Reglamento de medidas de seguridad...................................353
Bibliografía.............................................................................................. 356
Índice
6
INDICE DE FIGURAS
Figura 1. Gestión de la Seguridad de TI......................................................................... 23
Figura 2. Gestión de la Seguridad de TI......................................................................... 31
Figura 3. Metodología MAGERIT ................................................................................ 33
Figura 4. Análisis y Gestión de Riesgos en su Contexto................................................ 39
Figura 5.Submodelo de Procesos visto desde el Submodelo de elementos ................... 53
Figura 6. Relación entre los Componentes del Modelo MAGERIT .............................. 57
Figura 7. Ciclo de vida de un Análisis y Gestión de riesgos .......................................... 58
Figura 8. Ciclo de vida detallado de un Análisis y Gestión de riesgos .......................... 66
Figura 9. EAR. Pantalla principal................................................................................... 72
Figura 10. EAR. Etapas de Magerit................................................................................ 73
Figura 11. EAR. Informes contemplados y calificaciones evaluadas: ........................... 74
Figura 12. Arquitectura en tres capas ............................................................................. 79
Figura 13. Arquitectura en tres capas detallada.............................................................. 80
Figura 14. Esquema en tres capas de UPCO .................................................................. 80
Figura 15. iMat, Validación............................................................................................ 91
Figura 16. iMat, Validación aceptada............................................................................. 91
Figura 17. iMat, información del plan de estudios de la carrera. ................................... 92
Figura 18.iMat, información para el alumno en relación a las restricciones.................. 92
Figura 19. iMat, Selección de asignaturas por parte del alumno................................... 93
Figura 20. iMat, Presentación por parte de iMat de las asignaturas seleccionadas. ....... 93
Figura 21. iMat, solicitud de información adicional. ..................................................... 94
Figura 22. iMat, Presentación final de la matrícula........................................................ 95
Figura 23. iMat, matrícula aceptada. .............................................................................. 95
Figura 24. Representación empleada en los diagramas de proceso.............................. 107
Figura 25. Impresión de matrícula a través de iMatBecarios ....................................... 108
Índice
7
Figura 26. Procesos de Matriculación realizado por un alumno .................................. 109
Figura 27. Modificación de la matrícula ...................................................................... 110
Figura 28. Diagrama de contexto ................................................................................. 112
Figura 29. Diagrama conceptual................................................................................... 113
Figura 30. Autenticación .............................................................................................. 114
Figura 31. Procesado de matrícula ............................................................................... 115
Figura 32Sistema de matriculación Becarios ............................................................... 115
Figura 33 Sistema de matriculación escuelas ............................................................... 116
Figura 34. Sistema SG.................................................................................................. 116
Figura 35. Dependencia entre activos [MAÑA06]....................................................... 129
Figura 36. Dependencia entre activos........................................................................... 131
Figura 37. Impacto acumulado potencial y residual en servicios, aplicaciones,
información y personal relacionados con iMat............................................................. 153
Figura 38. Impacto acumulado potencial y residual en BBDD, equipamiento y locales
relacionados con iMat................................................................................................... 153
Figura 39. Impacto acumulado potencial y residual en iMatBecarios. ........................ 154
Figura 40. Análisis y Gestión de Riesgos sin amenazas implantadas .......................... 160
Figura 41. Riesgos potenciales y residuales en iMat teniendo en cuenta las salvaguardas
actuales. ........................................................................................................................ 161
Figura 42. Riesgos potenciales y residuales en iMatBecarios teniendo en cuenta las
salvaguardas actuales.................................................................................................... 162
Figura 43. Inserción de salvaguardas con el fin de obtener un impacto y riesgo residual
asumible para la dirección ............................................................................................ 171
Figura 44. Impacto acumulado potencial y residual en cada una de las fases (Servicios,
datos, aplicaciones)....................................................................................................... 175
Figura 45. Impacto acumulado potencial y residual en cada de las fases (BBDD, parte
del equipamiento). ........................................................................................................ 176
Índice
8
Figura 46. Impacto acumulado potencial y residual en cada una de las fases (parte del
equipamiento, locales y personal) ................................................................................ 176
Figura 47. Riesgos acumulados potenciales y residuales en cada una de las fases
(Servicios, datos y aplicaciones). ................................................................................. 177
Figura 48. Riesgos acumulados potenciales y residuales en cada una de las fases
(BBDD y parte del equipamiento)................................................................................ 178
Figura 49. Riesgos acumulados potenciales y residuales en cada una de las fases (parte
del equipamiento, locales y personal)........................................................................... 179
Figura 50. Impacto repercutido en cada una de las fases. ............................................ 180
Figura 51. Riesgo repercutido en cada una de las fases. .............................................. 181
Figura 52. Calificación de la seguridad según la ISO/IEC 17799:2005....................... 182
Figura 53. Presentación de la calificación ISO/IEC 17799:2005 en EAR ................... 183
Figura 54. Calificación según la CSNC ....................................................................... 184
Figura 55. Presentación de la CSCN en EAR. ............................................................. 185
Figura 56. Clasificación según la RD994..................................................................... 186
Figura 57. Presentación de la RD994 en EAR. ............................................................ 186
ÍNDICE DE TABLAS
Tabla 1. Restricciones................................................................................................... 107
Tabla 2. Posibles activos a considerar en un AGR....................................................... 125
Tabla 3. Valoración cualitativa, escala a seguir en el AGR iMat................................. 133
Tabla 4. Valoración propia de los activos. ................................................................... 135
Tabla 5. Valoración acumulada de los activos ............................................................. 137
Tabla 6. Resumen de la eficacia de las salvaguardas agrupadas por tipos................... 143
Tabla 7. Marco de gestión. Salvaguardas. .................................................................... 144
Tabla 8. Seguridad física. Salvaguardas. ...................................................................... 145
Tabla 9.Comunicaciones. Salvaguardas. ...................................................................... 146
Índice
9
Tabla 10. Datos/Información. Salvaguardas................................................................. 146
Tabla 11. Aplicaciones informáticas (SW). Salvaguardas. .......................................... 147
Tabla 12. Equipos informáticos (HW). Salvaguardas. ................................................. 147
Tabla 13. Personal. Salvaguardas. ................................................................................ 148
Tabla 14. Elementos auxiliares. Salvaguardas. ............................................................ 148
Tabla 15. Servicios. Salvaguardas. ............................................................................... 149
Tabla 16. Impacto potencial muy alto .......................................................................... 151
Tabla 17. impacto potencial alto................................................................................... 152
Tabla 18. Impacto potencial medio y bajo ................................................................... 152
10
Resumen
Resumen
11
La importancia que los sistemas de información han tomado en las organizaciones,
llegando éstas a depender de éstos, ha provocado que la atención crezca en torno a los
sistemas TI1. Los sistemas de información se crean y diseñan a partir de las necesidades
de negocio de las empresas/instituciones, de sus estrategias de negocio. Por este motivo
la consecución de los objetivos de la organización dependen en gran medida de sus
sistemas de información. Esto hace imprescindible tener que garantizar el
funcionamiento y la seguridad de los sistemas de información en las organizaciones.
En este proyecto se pretende concienciar al lector de la importancia de asegurar
convenientemente los sistemas TI y analizar los riesgos que éstos corren. Para ello se ha
de explicar que es un análisis y gestión de riesgos, las formas que hay de realizarlo y lo
que se pretende con él. Una vez explicadas las distintas formas de hacer un AGR2 se va
a explicar uno en concreto: MAGERIT (Metodología para el Análisis y Gestión de
Riesgos de los Sistemas de Información), metodología creada por el Ministerio de
Administraciones Públicas. MAGERIT ofrece un método estructurado y sistemático
para la realización de un AGR, ayudando al analista a contemplar todos los aspectos
relevantes en un AGR.
Los objetivos que se pretenden alcanzar con Magerit son:
• Directos:
� Concienciar a los responsables de los sistemas de información de la
existencia de riesgos y de la necesidad de atajarlos a tiempo.
� Ofrecer un método sistemático para analizar tales riesgos.
� Ayudar a descubrir y planificar las medidas oportunas para mantener los
riesgos bajo control.
• Indirectos:
� Preparar a la organización para procesos de evaluación, auditoria,
certificación o acreditación, según corresponda en cada caso.
� Dar uniformidad a los informes.
1 TI, Tecnologías de la Información
2 AGR, Análisis y Gestión de Riesgos
Resumen
12
Para que la explicación de un AGR sea completa se va a analizar un sistema de
información siguiendo todos los pasos descritos por Magerit, explicando lo que se
pretende en cada uno de ellos y desarrollando el ejemplo de forma clara y explícita.
El sistema de información que se va a analizar es el sistema de matriculación de la
Universidad Pontificia de Comillas (iMat). iMat ha sido desarrollado por el STIC
(Servicio de Sistemas y tecnologías de la Información y Comunicación).Dicho sistema
de información tiene una gran importancia para la organización (la Universidad
Pontificia de Comillas) debido a que todos los alumnos de primer y segundo ciclo la
pueden emplear para realizar sus matrículas. Es interesante el dato: de los,
aproximadamente 7500 alumnos potenciales de primer y segundo ciclo, 7000 de ellos
realizan sus matrícula a través de iMat. La importancia que tiene iMat la universidad es
enorme según se puede concluir de la información mostrada, siendo uno de los pilares
en su estrategia de negocio y una fuente potencial para captar nuevos alumnos
(clientes).
La gran ventaja de utilizar MAGERIT es la existencia de herramientas informáticas
hechas para el análisis y gestión de riesgos mediante esta metodología. Una de estas
herramientas es EAR, la cual se va a emplear para analizar iMat. La gran ventaja de
EAR es que integra la consecución de todos los objetivos a alcanzar según MAGERIT.
EAR3 es una herramienta informática que soporta el análisis y gestión de riesgos de un
sistema de información siguiendo la metodología Magerit. Dicha herramienta está
estructurada de tal forma que todas las fases de Magerit tienen su relación en la misma.
Contempla la planificación del análisis, el análisis, la evaluación del impacto y el riesgo
de los activos del sistema, la gestión de los planes de seguridad que se requieran, etc.
No hay que olvidar que vivimos en la sociedad de la tecnología y el conocimiento, o lo
que es lo mismo: la sociedad de la información; donde garantizar su seguridad y la de
los sistemas que la emplean es un aspecto fundamental en las organizaciones, estando
dentro de sus presupuestos lograr este objetivo. Para que un sistema de información sea
considerado como un sistema seguro ha de cumplir las propiedades de seguridad que se
requieren en un sistema de información: confidencialidad, integridad y disponibilidad.
3 Entorno de Análisis de Riesgos
Resumen
13
A estas propiedades, también llamadas dimensiones de la seguridad, se pueden añadir la
autenticidad y la trazabilidad.
Una organización que pierda su información no vale nada, una organización que falle a
la hora de dar sus servicios pierde valor, pierde oportunidades de negocio y credibilidad:
pierde imagen.
En resumen, a lo largo del proyecto se pretende dar a conocer como analizar y gestionar
los riesgos de un sistema de información de forma efectiva mediante un método
estructurado y específico como es Magerit, ayudándose de un herramienta informática
que sigue dicha metodología (EAR); se pretende lograr que el lector tome conciencia de
la importancia de los sistemas de información en una organización y porque su
seguridad es tan importante. Además de todo lo mencionado cabe destacar la
importancia que este tema está adquiriendo en las organizaciones, siendo un tema
fundamental a la hora de elaborar el presupuesto anual.
Abstract
14
ABSTRACT
The importance that have taken information systems in organisations, even at times
becoming dependant on them, have caused an rise in the attention payed in information
technology systems. Information systems are created and designed based on the
business/enterprise’s necessities, and business strategies. Due to this, the
accomplishment of the enterprise’s goals, depend in great measure on their information
systems. This makes guaranteeing the correct operation and security in information
systems essential.
This project is meant make the reader aware of the importance of assuring conveniently
the information technology systems and also the importance of analyzing the
corresponding risks. In order to do this it is ought to explain that it is an analysis and
management of risks, the methods that we have to do it, and the purpose of it. Once we
have explained the different methods of doing one AMR (Analysis and Management of
Risk) we will proceed to explain one in concrete: MAGERIT (methodology for the
analysis and management of risks for information systems), created by the public
administration Ministry. MAGERIT offers an structured and systematic method for the
achievement of an AMR helping the analyzer to contemplate all the relevant aspects in
an AMR.
The objectives to achieve with Magerit are:
Directs:
� Make the responsible people for information systems aware of the
existence of risks and the necessity of finding them in time.
� Offer a systematic method for analysing these risks.
� Help to discover and to plan the required measures to prevent and
maintain risks under control
Indirect:
� Prepare the organisation for evaluation, auditing, certification, or
accreditation procedures, according to each case.
� Give uniformity to the reports.
Abstract
15
In order to the explanation of an AMR to be complete we are going to analyze one
information system following the steps described by Margerit. Explaining the purpose
of each one of them and develop a clear and specific example.
The information system that we will analyze is the Pontifica of Comillas University
enrolment (iMat). iMat has been developed by STIC (Systems and information
communication technologies services).This information system has a great importance
for the organisation (Pontifica of Comillas University) due to that all alumni of the first
and second cycle are able to use to enrol themselves in the university each academic
year. The data is interesting: out of the, approximately 7500 potential alumni of first and
second cycle, 7000 of them make their enrolment through iMat. The importance of
iMat for the university is being one of their basic assets in their business strategy and a
principal source of getting new alumni. (Clients)
The great advantage of using Magerit is the existence of computer tools made for the
analysis and management of risks. One of these tools is EAR4, which is going to be
used to accomplish all the objectives of Magerit.
EAR is a computer tool that stands the analysis and management of risks of an
information system according to Magerit methodology. The above-mentioned tool is
structured so that all the stages of Magerit are related with it. It contemplates the
plannification of the analysis, the analysis itself, the impact evaluation and the risk of
the system assets, the management of the security plans required, etc.
We must not forget that we live in the society of the technology and knowledge, or what
is the same the society of information; where guaranteeing its security and the one of
the systems used in it, is a fundamental aspect in organisations, this being inside their
proposed objectives. For information systems to be considered secure they must fulfil
the proprieties of an information system: confidentiality, integrity, and availability. To
these proprieties also called security dimensions we can add authenticity and
Trazability.
An organisation that loses it information it is not worth a thing, an organisation that fails
when giving it services, it loses value, business opportunities and credibility: it loses
image.
4 Entorno de Análisis de Riesgos (Risk Analisis Background).
Abstract
16
Summarising, during this project we pretend to show how to analyze and manage the
risks of an information system effectively, by means of a structured and specific method
as is Magerit helped by a computer tool that follows that methodology, EAR. It is
pretended to make the reader aware of the importance of the information systems in an
organisation and why the importance of its security. Apart from everything else
mentioned we should highlight the rise in the importance in organisations, becoming a
fundamental issue when elaborating the annual budget.
Definición del problema
Definición del problema
18
La protección de los sistemas de TI5, o de los sistemas de información y
comunicaciones, ha pasado a ser un objetivo crítico por la importancia que la
información que manejan tiene en la consecución de los objetivos de las diferentes
organizaciones.
Se puede definir, en primera instancia, que la seguridad tiene como finalidad la
protección de los bienes, o también llamados activos y recursos, de una organización.
En relación con un sistema de información estos bienes serán el hardware, el software y
los datos o información; todos ellos en base a asegurar el correcto funcionamiento dado
por los servicios del sistema de información.. Por consiguiente, la seguridad de las
redes y de la información se puede definir como la capacidad de las redes o de los
sistemas de información de resistir con un determinado nivel de confianza, los
accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad,
autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de
los servicios que dichas redes y sistemas ofrecen o hacen accesibles [ARIA05].
Los objetivos o dimensiones de la seguridad, los cuales se han de intentar salvaguardar
en todo sistema son cuatro [ARIA05]:
• Confidencialidad o que la información llegue solamente a las personas
autorizadas: propiedad por la que la información es revelada exclusivamente
a los usuarios, entidades o procesos autorizados, en la forma y tiempo
determinada. Contra la confidencialidad o secreto nos encontramos con
fugas y filtraciones de información y accesos no autorizados. La
confidencialidad es una propiedad de difícil recuperación, pudiendo minar la
confianza de los demás en la organización que no es diligente en el
mantenimiento del secreto, y pudiendo suponer el incumplimiento de normas
y regulaciones respecto del cuidado de los datos.
• Integridad o mantenimiento de las características de completitud y
corrección de servicios o datos: propiedad por la que la información
solamente puede ser creada, modificada o borrada por usuarios, entidades o
procesos autorizados. Contra la integridad podemos encontrarnos
5 TI: Tecnologías de la información.
Definición del problema
19
información manipulada, corrupta o incompleta. La integridad afecta
directamente al correcto desempeño de las funciones de la organización.
• Disponibilidad o disposición de ser usados cuando sea necesario: propiedad
por la que la información debe de estar accesible o utilizable en el momento,
lugar y forma que lo requieran los usuarios, entidades o procesos
autorizados. La carencia de disponibilidad supone la interrupción del
servicio. La disponibilidad afecta directamente a la productividad de las
organizaciones.
• Autenticidad (del origen de los datos): Que haya duda de quien se hace
responsable de una información o prestación de un servicio, tanto a fin de
confiar en él como de poder perseguir posteriormente los incumplimientos o
errores. Contra la autenticidad nos encontramos con suplantaciones y
engaños que buscan realizar un fraude. La autenticidad es la posibilidad de
luchar contra el repudio y, como tal, se convierte en una dimensión básica
para fundamentar el llamado comercio electrónico o la administración
electrónica, permitiendo confiar sin papeles ni presencia física.
Adicionalmente se puede tener en cuenta una dimensión más como es la trazabilidad.
Esta dimensión cobra especial importancia al hablar de comercio electrónico o
administración electrónica; siendo fundamental para poder prestar el servicio y
perseguir los fallos
Con objeto de conseguir la protección adecuada en un sistema de información es
necesario implantar un conjunto proporcionado de medidas de seguridad, tanto técnicas
como organizativas, que permitan la creación de un entorno seguro para los datos, la
información, las aplicaciones y los sistemas que sustentan a todos. Las cuatro
dimensiones pueden ser requeridas o no dependiendo de cada caso. Cuando se requieren
es necesario poner recursos y esfuerzo para conseguirlas. A racionalizar este esfuerzo se
dedican las metodologías de análisis y gestión de riesgos que comienzan con una
definición:
Riesgo: estimación del grado de exposición a que una amenaza se materialice
sobre uno o más activos causando daños o perjuicios a la organización. El riesgo
se puede considerar como una función de probabilidad de que una vulnerabilidad
del sistema afecta a la autenticación o a la disponibilidad, autenticidad,
Definición del problema
20
integración o confidencialidad de los datos procesados o transferidos y la
gravedad de esa incidencia, resultante de la utilización intencionada o no
intencionada de esa vulnerabilidad [ARIA05].
El riesgo indica lo que le podría pasar a los activos si no se protegieran adecuadamente.
Es importante saber qué características son de interés en cada activo, así como saber en
qué medida estas características están en peligro, es decir, analizar el sistema (análisis
de riesgos). Una vez analizado el sistema y conocer los riesgos que tiene cada activo, así
como la posibilidad que existe de que ocurra hay que tomar las decisiones adecuadas
(gestión de riesgos) para evitar que ocurra o asumir que ocurra.
La seguridad es un concepto relativo ya que no es posible conseguirla de forma plena
porque siempre existirán unos riesgos residuales por muy cuantiosas que sean las
inversiones en seguridad, pero teniendo en cuenta que a mayores riesgos, mayores
deberán ser las medidas de seguridad a adoptar, lo que se conoce como principio de
proporcionalidad. Así, el riesgos es una combinación de las amenazas (entendidas como
la capacidad potencial para producir un compromiso o pérdida de activos o
información) a los que está expuesto, sus vulnerabilidades (entendidas como la
debilidad o falta de control que pueda permitir o facilitar la actuación de una amenaza)
y el valor del activo.
Todos los servicios, medidas y mecanismos de seguridad han de estar orientados a
conseguir los objetivos de seguridad descritos. Para ello se establece lo que denomina
Gestión de la Seguridad.
Definición del problema Gestión de la Seguridad de TI
21
Gestión de la Seguridad
Como ya se ha mencionado anteriormente la seguridad de la información tiene como
finalidad la protección de los bienes, o también llamados activos y recursos, de una
organización. En relación con un sistema de información estos bienes serán el hardware,
el software y los datos o información. Para lograr esto se han de cubrir las cuatro
dimensiones (objetivos) de la seguridad de la información:
• Confidencialidad
• Integridad
• Disponibilidad
• Autenticidad
• Trazabilidad
Depende del sistema las dimensiones que hay que considerar. No siempre es necesario
tener en cuenta todas ellas. Sin embargo las tres primeras siempre suelen estar
consideradas.
Las organizaciones dependen crecientemente de la información para el desarrollo de sus
actividades. Así, la pérdida de confidencialidad, integridad, disponibilidad y/o
autenticidad de su información y/o servicios puede tener para ellas un impacto negativo.
En consecuencia, es necesario proteger la información y gestionar la seguridad de los
sistemas de TI dentro de las organizaciones. Este requisito de proteger la información es
particularmente importante, dado que numerosas organizaciones están conectadas a
redes de sistemas de TI interna y externamente.
La gestión de la seguridad de TI es el proceso para alcanzar y mantener niveles
apropiados de autenticidad, confidencialidad, integridad y disponibilidad. Las funciones
de gestión de la seguridad de TI incluyen6 [UNE01]:
• Determinación de los objetivos, estrategias y políticas organizativas de la
seguridad de TI.
• Determinación de los requisitos organizativos de la seguridad de TI.
6 UNE 71501-1:2001IN
Definición del problema Gestión de la Seguridad de TI
22
• Identificación y análisis de amenazas de activos de la organización (análisis de
riesgos).
• Especificación de las salvaguardas apropiadas (gestión de riesgos).
• Seguimiento de la implantación y operación de las salvaguardas apropiadas.
• Desarrollo e implantación de un plan de concienciación en la seguridad.
• Detección y reacción ante incidentes.
Definición del problema Gestión de la Seguridad de TI
23
Figura 1. Gestión de la Seguridad de TI7
7 UNE 71501-3: 2001: Tecnología de la Información (TI). Guía para la gestión de la seguridad de TI.
Parte 3: Técnicas para la gestión de la seguridad de TI.
Objetivos, estrategias y políticas de seguridad
Objetivos y estrategias de seguridad de TI
Política de seguridad de TI de la organización
Opciones en la estrategia de análisis y gestión de riesgos
Enfoque demínimos
Enfoqueinformal
Análisis deriesgos
detallado
Enfoque decombinado
Enfoque combinado
Análisis de riesgos de alto nivel
Análisis de
Riesgos
Detallado
Enfoque de
mínimos
Selección de Salvaguardas
Aceptación de Riesgos
Política de Seguridad del Sistema
Plan de la Seguridad
Implantación del Plan de Seguridad
Implantación de
salvaguardas
Concienciación
de la seguridad
Formación en
seguridad
Seguimiento
Comprobación
del cumplimiento de
los requisitos
de seguridad
Supervisión
y control
Gestión de la
configuración.
Gestión de cambios
Tratamiento
de incidencias
Mantenimiento
Acreditación del Sistema
Objetivos, estrategias y políticas de seguridad
Objetivos y estrategias de seguridad de TI
Política de seguridad de TI de la organización
Objetivos, estrategias y políticas de seguridad
Objetivos y estrategias de seguridad de TI
Política de seguridad de TI de la organización
Opciones en la estrategia de análisis y gestión de riesgos
Enfoque demínimos
Enfoqueinformal
Análisis deriesgos
detallado
Enfoque decombinado
Opciones en la estrategia de análisis y gestión de riesgos
Enfoque demínimos
Enfoqueinformal
Análisis deriesgos
detallado
Enfoque decombinado
Enfoque combinado
Análisis de riesgos de alto nivel
Análisis de
Riesgos
Detallado
Enfoque de
mínimos
Selección de Salvaguardas
Aceptación de Riesgos
Política de Seguridad del Sistema
Plan de la Seguridad
Enfoque combinado
Análisis de riesgos de alto nivel
Análisis de
Riesgos
Detallado
Enfoque de
mínimos
Selección de Salvaguardas
Aceptación de Riesgos
Política de Seguridad del Sistema
Plan de la Seguridad
Implantación del Plan de Seguridad
Implantación de
salvaguardas
Concienciación
de la seguridad
Formación en
seguridad
Seguimiento
Comprobación
del cumplimiento de
los requisitos
de seguridad
Supervisión
y control
Gestión de la
configuración.
Gestión de cambios
Tratamiento
de incidencias
Mantenimiento
Seguimiento
Comprobación
del cumplimiento de
los requisitos
de seguridad
Supervisión
y control
Gestión de la
configuración.
Gestión de cambios
Tratamiento
de incidencias
Mantenimiento
Acreditación del Sistema
Definición del problema Gestión de la Seguridad de TI
24
Objetivos, estrategias y políticas de seguridad
Como base para una seguridad efectiva de TI, se deben formular objetivos, estrategias y
políticas generales de seguridad de la organización. Estos proporcionan soporte a la
actividad de la organización y aseguran la consistencia entre todas las salvaguardas. Los
objetivos identifican lo que se debe lograr, las estrategias, cómo conseguir estos
objetivos, y las políticas, lo que debe hacerse.
Los objetivos, estrategias y políticas se pueden desarrollar jerárquicamente desde el
nivel más alto hasta el nivel operativo de la organización. Así mismo dichos niveles han
de guardar una relación consistente que permita relacionarlos de forma clara.
Lo primero a realizar es la definición concreta del sistema y el alcance que este posee, la
importancia que tiene para la organización. Un vez establecido dicho alcance se han de
estudiar y plantear los objetivos y estrategias que se van a adoptar para la seguridad del
sistema de TI. Valiéndose de los objetivos y estrategias acordadas se obtienen una serie
de políticas de seguridad de TI para la organización.
La política de seguridad de la organización consta de los principios y directrices de
seguridad de la organización como un todo. La política de seguridad de TI debe reflejar
los principios y directrices de seguridad esenciales aplicables a la política de seguridad
de la organización y al uso general de los sistemas de TI dentro de la misma. La política
de seguridad de un sistema de TI concreto debe reflejar los principios y directrices
expresados en la política de seguridad de TI de la organización. Debería contener los
requisitos particulares de la seguridad y de las salvaguardas que deben implantarse y de
cómo usarlas correctamente para garantizar la seguridad adecuada. En todos los casos es
importante que el enfoque adoptado sea coherente con las necesidades debidas a la
actividad de la organización.
Análisis y Gestión de Riegos
El primer paso, descrito anteriormente, sirve para comenzar con el análisis y gestión de
riesgos. El análisis y gestión de riesgos es uno de los elementos claves de todo proceso
de gestión de la seguridad informática. Se identifican dos procesos:
1. El análisis de riesgo, que permite la identificación de las amenazas que acechan
a los distintos activos del sistema para determinar la vulnerabilidad del mismo
ante esas amenazas y para estimar el impacto que una seguridad insuficiente
Definición del problema Gestión de la Seguridad de TI
25
puede tener para la organización conociendo, por tanto, el riesgo que corre
[ARIA05].
Conlleva el análisis de los activos, amenazas y vulnerabilidades valorándose los
riesgos en términos de impacto potencial que podría ser causado por la pérdida
de confidencialidad, integridad y disponibilidad de la información y recursos del
sistema.
2. La gestión de riesgos, que, basándose en el análisis de riesgos, permite
seleccionar las medidas o salvaguardas de seguridad adecuadas para conocer,
prevenir, impedir, reducir o controlar los riesgos identificados y así reducir al
mínimo su potencialidad o sus posibles impactos [ARIAS05].
El análisis de riesgos de un sistema de información tiene por objeto identificar los
riesgos, las amenazas y vulnerabilidades existentes en un sistema de información
determinando su magnitud, mostrando la situación de la seguridad presente en una
organización respecto al procesado, transmisión y almacenamiento de la información, y
como consecuencia reuniendo los hecho básicos necesarios para seleccionar las
contramedidas y los procedimientos adecuados para minimizar las amenazas y las
vulnerabilidades al/del sistema.
Un riesgo de seguridad se puede definir como la probabilidad de que una vulnerabilidad
de un sistema o red sea explotada por una amenaza, comprometiendo de esta forma al
sistema o su información. Debido al carácter cambiante de las amenazas, un análisis de
riesgos debe ser actualizado periódicamente. Todo sistema de información tiene unos
riesgos inherentes al mismo.
El análisis de riesgos permite establecer los riesgos que existen y, a partir de ahí,
establecer los requisitos de seguridad necesarios para prevenir una determinada
situación, contener su efecto, o simplemente reconocer que existe un riesgo potencial de
pérdida de datos. Por ello el análisis de riesgos es necesario y recomendable en todo
sistema o red, ayudando a identificarlos así como en la toma de decisiones a adoptar
para eliminar el riesgo, minimizarlo o asumirlo, pero con el conocimiento de su
existencia, riegos e impacto.
Definición del problema Gestión de la Seguridad de TI
26
Estrategias para el análisis y gestión de riesgos
El análisis y gestión de riesgos se puede realizar de diversas formas, dependiendo del
enfoque que se quiera tomar [UNE01].
1. Enfoque básico
El enfoque básico en la realización del análisis y gestión de riesgos implica la selección
de un conjunto de salvaguardas que permita alcanzar un nivel básico de protección para
todos los sistemas. Para la selección de estas salvaguardas existen documentos (normas
nacionales e internacionales, recomendaciones…) o códigos de buenas prácticas como,
por ejemplo, la norma ISO/IEC TR 17799, que presentan conjuntos de salvaguardas de
carácter normalizado o básico.
Este enfoque posee una serie de ventajas como:
• No es necesario asignar recursos para un análisis y gestión de riesgos
detallado, y el tiempo y esfuerzo empleado en seleccionar las
salvaguardas se reduce.
• El mismo conjunto de salvaguardas de nivel básico o con pequeñas
modificaciones puede adaptarse a muchos sistemas sin un gran esfuerzo.
Las desventajas de esta opción son:
• Si el listón que señala el nivel básico es demasiado alto, puede darse una
seguridad demasiado restrictiva o demasiado costosa para algunos
sistemas; por otra parte, si el listón es demasiado bajo, puede darse una
seguridad insuficiente para algunos sistemas.
• Puede haber dificultades derivadas de cambios importantes que afecten a
la gestión de la seguridad. Por ejemplo, si el sistema es actualizado,
puede haber dificultades qa la hora de valorar si las salvaguardas de nivel
básico originales son suficientes.
2. Enfoque informal
El enfoque informal implica la realización de un análisis y gestión de riesgos informal y
pragmático, en todos los sentidos, de los sistemas. No se basa en métodos estructurados,
sino que aprovecha el conocimiento y experiencia de expertos, tanto internos a la
organización como externos si no se tiene una gran experiencia.
Definición del problema Gestión de la Seguridad de TI
27
Esta opción tiene como ventaja que:
• No se requiere el aprendizaje de habilidades adicionales para hacer este tipo de
análisis. Puede ser adecuado en pequeñas organizaciones.
Sin embargo posee varias desventajas:
• Sin un enfoque estructurado, aumenta la posibilidad de pasar por alto algunos
riesgos, así como áreas potencialmente problemáticas.
• Debido a su carácter informal, los resultados pueden venir influenciados por
perspectivas subjetivas y por prejuicios del analista.
• La selección de las salvaguardas no se encuentra argumentada o razonada; por lo
tanto, los gastos en las mismas pueden ser difíciles de justificar.
• Pasado un tiempo sin que hayan realizado revisiones periódicas puede ser difícil
gestionar los cambios con impacto importante en la seguridad.
3. Análisis y gestión de riesgos detallado
Esta opción implica la realización del análisis y gestión de riesgos mediante la
identificación y valoración de los activos, la evaluación de las amenazas y de las
vulnerabilidades de los activos frente a las amenazas, estimación de los posibles
impactos y la valoración de los riesgos en base a lo anterior.
Esta opción soporta la identificación, selección y adopción de salvaguardas en base a los
riesgos identificados y la reducción de los mismos a un nivel aceptable definido por la
dirección. Suele ser un proceso costoso tanto en tiempo como en recursos de personal y
debería realizarse utilizando metodologías formales y a ser posible apoyadas por
aplicaciones software.
Por consiguiente, las ventajas que nos encontramos al aplicar este enfoque son:
• Se identifica un nivel de seguridad acorde con las necesidades de seguridad de
cada sistema. Cada sistema posee un estudio propio y que se ajusta al mismo.
• La gestión de los cambios con impacto importante en la seguridad se beneficiará
de la información adicional obtenida a partir del análisis y gestión de riesgos
detallado.
La mayor desventaja de esta opción es:
Definición del problema Gestión de la Seguridad de TI
28
• Requiere una considerable cantidad de tiempo, esfuerzo y pericia para lograr
resultados visibles.
4. Enfoque combinado
Esta opción para la ejecución del análisis y gestión de riesgos consiste en identificar
primeramente aquellos sistemas que están expuestos a un alto riesgo o que son críticos
en relación a la actividad de la empresa, mediante un análisis y gestión de riesgos
realizado a alto nivel, clasificando así a los sistemas en dos grupos: los que requieren un
análisis y gestión de riesgos detallado para conseguir la protección adecuada y los que
sólo necesitan la protección a nivel básico.
Las ventajas de este enfoque son:
• Un enfoque de alto nivel para recoger la información necesaria antes de
comprometer recursos significativos facilita la aceptación del plan análisis y
gestión de riesgos.
• Debe ser posible configurar a nivel estratégico una visión del plan de seguridad
de la organización, que puede utilizarse como soporte a la planificación.
• Los recursos pueden invertirse donde vayan a ser más beneficiosos, y de forma
que los sistemas de alto riesgo puedan ser tratados antes.
La desventaja con la que nos encontramos en esta opción es:
• Si el análisis y gestión de riesgos a alto nivel produce resultados erróneos,
algunos sistema en los que se necesita un análisis y gestión de riesgos detallado
podrían no ser completados.
En la mayoría de los casos esta opción ofrece el enfoque más eficaz en términos de
costes y es la opción de análisis y gestión de riesgos más recomendable para la mayoría
de las organizaciones.
Selección de Salvaguardas
Una vez identificadas las amenazas, vulnerabilidades, riegos, etc. Se pasa a la selección
de salvaguardas. Las salvaguardas son procedimientos o dispositivos físicos o lógicos
que pueden proteger contra una amenaza, reducir la vulnerabilidad, limitar el impacto
de un incidente no deseado y facilitar la recuperación. Las salvaguardadas no son
independientes unas de otras y frecuentemente funcionan conjuntamente. La seguridad
Definición del problema Gestión de la Seguridad de TI
29
efectiva requiere con frecuencia una combinación de salvaguardas para proporcionar
niveles adecuados de seguridad. El proceso de selección debe tener en cuenta las
interdependencias entre salvaguardas; así también debe verificarse que no quedan
lagunas. Dichas lagunas hacen posible la burla de las salvaguardas existentes y permiten
que amenazas accidentales puedan materializarse y causar daños.
Cualquiera de las opciones presentadas en el apartado anterior proporcionan
recomendaciones suficientes para reducir los riesgos en la seguridad a un nivel
aceptable, aunque de los cuatro enfoques, en la mayoría de los casos, la opción del
Enfoque combinado es la más eficaz en términos de costes y suele ser la opción de
análisis y gestión de riesgos más recomendable para la mayoría de las organizaciones.
Las salvaguardas seleccionadas permiten conocer, prevenir, impedir, reducir, controlar,
corregir y recuperarse de incidentes no deseados. No suelen ser independientes unas de
otras y frecuentemente funcionan conjuntamente necesitando una gestión que asegure
de forma eficaz y sin ocasionar gastos indebidos tanto de gestión como de uso.
Su implantación puede estar ligada a un plan de concienciación en la seguridad, a una
gestión de cambios y a una gestión de la configuración.
Aceptación de Riesgos
Tras la implantación de las salvaguardas seleccionadas, siempre existe un riesgo
residual. Esto es debido a que no puede haber ningún sistema absolutamente seguro
(principio fundamental de la seguridad de la información) y a que ciertos activos pueden
haberse dejado sin protección intencionadamente porque se asume un bajo riesgo o por
los altos costes de la salvaguarda con relación al valor estimado del activo a proteger
[UNE01].
El primer paso del proceso de aceptación de riesgos es revisar las salvaguardas
seleccionadas e identificar y valorar todos los riesgos residuales pasando,
posteriormente, a clasificar los riesgos residuales en aceptables o inaceptables para la
organización [UNE01].
Es obvio, que los riesgos inaceptables no pueden tolerarse y, por tanto, deberán
considerarse salvaguardas adicionales para bajar el riesgo residual a un nivel aceptable.
Definición del problema Gestión de la Seguridad de TI
30
Implantación del Plan de Seguridad
Una vez hecho el Análisis y Gestión de Riesgos se han implantar las decisiones
acordadas. Para ello se pondrán en práctica los planes de concienciación y formación de
personal, se deberán implantar las salvaguardas según los plazos establecidos, etc. A
todo esto es a lo que se le denomina implantación del Plan de Seguridad [MAGE05].
Acreditación
Muchos análisis y gestión de riesgos tienen como finalidad lograr certificaciones de
seguridad del un producto o sistema; estar preparado para una posible auditoria de
seguridad o evaluar el sistema [MAGE05].
Seguimiento
Al igual que todo estudio, la gestión de la seguridad nunca termina. Una vez hecho el
análisis y gestión de riesgos y la implantación del plan de seguridad se ha de llevar un
continuo mantenimiento del sistema de información. Se ha comprobar que se ha
cumplido todo lo establecido, llevar una supervisión, estar preparado a posibles cambios
o a nuevos análisis a realizar. Se da por hecho que también se evalúa en este
seguimiento continuo que todas las incidencias que pueden pasar, y que han sido
identificadas en el estudio, tienen un tratamiento correcto. Para ello se suele realizar lo
que se denomina plan de continuidad o contingencias (dependiendo del alcance del
Plan: continuidad suele ir más dirigido a la continuidad de los procesos y funciones de
negocio de una organización, mientras que contingencia suele ir más encaminada a la
continuidad o solución de problemas en sistemas de información) [MAGE05].
Todas las salvaguardas requieren un mantenimiento para asegurar que están
funcionando correctamente y que lo continuarán haciendo de una manera predecible y
adecuada. La obsolescencia de las salvaguardas debe ser puesta de manifiesto por
acciones planificadas más que por un descubrimiento casual. Además, la verificación de
la conformidad con los requisitos de seguridad, la verificación del entorno operativo, la
revisión de eventos y la gestión de incidentes también son necesarias para asegurar la
continuidad en la seguridad [MAGE05].
Definición del problema Gestión de la Seguridad de TI
31
Figura 2. Gestión de la Seguridad de TI8
La gestión de la seguridad es una acción permanente, cíclica y recurrente (es decir, que
se ha de reemprender continuamente debido a cambios en el sistema y en su entorno)
que a su vez comprende otros procesos. La implantación de salvaguardas se realiza
llevando a cabo los planes de seguridad establecidos y acordados previamente.
Concienciación de la seguridad
La concienciación es un elemento esencial para la seguridad efectiva. La ausencia de
concienciación, junto con las malas costumbres en materia de seguridad por parte del
personal de la organización, puede reducir significativamente la efectividad de las
salvaguardas. Con el fin de asegurar que existe un nivel de concienciación en la
seguridad adecuado, es importante establecer y mantener un plan efectivo de
concienciación en la seguridad. El propósito de este plan de concienciación en la
seguridad es explicar a los diversos actores [MAGE05]:
- los objetivos, estrategias y políticas de seguridad, y
8 UNE 71501-1: 2001: Tecnología de la Información (TI). Guía para la gestión de la Seguridad de TI.
Parte 1: Conceptos y modelos para la seguridad de TI
Política de
Seguridad de TI
Aspectos
organizativos
Análisis y Gestión de Riesgos
Implantación de
Salvaguardas
Seguimiento
Definición del problema Gestión de la Seguridad de TI
32
- la necesidad de seguridad y sus funciones y responsabilidades asociadas.
Un plan de concienciación en la seguridad debería implantarse a todos los niveles de la
organización desde la alta dirección hasta las personas encargadas de las actividades
diarias. Un factor crítico es que la dirección sea consciente de la necesidad de la
seguridad. El objeto de un plan de concienciación es convencer de que existen riesgos
significativos para los sistemas de TI y que la pérdida, modificación no autorizada y
revelación de información, podrían tener importantes consecuencias para la
organización y su personal.
33
Alcance del proyecto
El proyecto se va centrar en el estudio del Análisis y Gestión de Riesgos, sin
profundizar más en el resto de partes de la Gestión de la Seguridad. En el Análisis y
Gestión de Riesgos se van a abarcar las cuatro actividades contenidas en el mismo. Los
pasos a seguir se pueden resumir en los siguientes puntos9:
1. Determinar los activos relevantes para la organización.
2. Determinar a que amenazas están expuestos.
3. Determinar que salvaguardas hay expuestas y cuan eficaces son frente al riesgo.
4. Estimar el impacto.
5. Estimar el riesgo.
6. Selección de salvaguardas.
Figura 3. Metodología MAGERIT
Para ello se va usar la Metodología MAGERIT versión 2 (Metodología de Análisis y
Gestión de Riesgos de los Sistemas de Información, creada) creada por el Ministerio de
9 Los conceptos que aparecen en los pasos pautados a seguir se definen en la parte de MAGERIT. En
dicha parte se pueden encontrar los conceptos y los pasos explicados de forma detallada.
34
Administraciones Públicas. Así mismo se a contar con una herramienta de software
basada en la metodología MAGERIT y que trabaja contra listas de seguridad como la
ISO 17799/2002, norma que se va aplicar en el proyecto para seleccionar las
salvaguardas de seguridad en el ejemplo concreto en apoyo del proyecto. Dicha
herramienta será PILAR (Procedimiento Informático-Lógico para el Análisis de
Riesgos) o EAR (Entorno de Análisis de Riesgos), aún por determinar. Dichas
herramientas son la misma; la diferencia se encuentra en la primera es de uso privado
para el CNI y los ministerios, mientras que la segunda se encuentra disponible para uso
comercial. EAR está basada en PILAR, la cual ha sido financiada por el Centro
Nacional de Inteligencia (CNI), establecidos sus requisitos por el Centro Criptológico
Nacional (CNN) y supervisado su desarrollo por el CCN, y la Fábrica Nacional de
Moneda y Timbre, entre otras instituciones.
Lo primero que se va a hacer es explicar MAGERIT, los pasos que sigue, la
nomenclatura adoptada, etc. Una vez explicada la metodología se va a aplicar a un
ejemplo concreto apoyándose en una herramienta informática que a su vez usa dicha
metodología como base para realizar el análisis y la gestión de riesgos. De este modo se
pretende poner a disposición del lector como realizar un análisis y gestión de riesgos de
forma eficiente, eficaz y correcta.
El ejemplo sobre el que se va a hacer el análisis y gestión de riesgos está basado en el
sistema de matriculación de la Universidad Pontificia de Comillas (iMat). Sobre este
sistema es sobre el que los alumnos proceden a realizar anualmente su matrícula,
modificarla o borrarla. Dicho sistema es un sistema montado sobre el sistema de
información de la universidad, por lo que se puede considerar un sistema de
información autónomo. Se cree que este sistema es apropiado y bastante ilustrativo para
poder comprender un análisis y gestión de riesgos.
Introducción a iMat
iMat, sistema de matriculación de la Universidad Pontificia de Comillas, es una
aplicación basada en la estructura de 3 capas, acceso a datos, lógica de negocio y
presentación claramente diferenciadas. La presentación se hace en páginas ASP, la
lógica de negocios se encuentra encapsulada en unos componentes en COM+
desarrollados con Visual Basic mientras que el acceso a datos se realiza con otros
componentes en COM+ que actúan contra una base de datos SQL Server 2000.
35
Por otro lado, los 3 servidores Web IIS 6.0 que mantienen la Web de Comillas están
balanceados por hardware de tal forma que en función de la carga de uno u otro se le
redirige al usuario al que menos lo este.
El servidor de datos y el de componentes Se sitúan detrás de un firewall, así como el
acceso a los datos se hace a través del usuario que levanta, que esta configurado en
COM+, de tal forma que únicamente un usuario de dominio específico tiene acceso a
los datos.
Por otro lado, el sistema de Matriculación funciona, básicamente, del siguiente modo:
en función del alumno validado con su clave y contraseña se estudia su expediente y las
normas que establecen al respecto cada facultad o escuela, una vez comparado su
expediente contra estas normas al alumno se le categoriza de tal forma que lleva
implícita la oferta de asignaturas de la que puede matricularse. Una vez presentada la
oferta de asignaturas, el alumno podrá seleccionar de entre ellas las que considere y se
le comprueba que está dentro de los intervalos de créditos establecidos.
36
MAGERIT
MAGERIT Introducción
37
Introducción a MAGERIT
La CSAE1 ha elaborado y promueve MAGERIT2 como respuesta a la percepción de la
Administración (y en general toda la sociedad) depende de forma creciente de las
tecnologías de la información para la consecución de sus objetivos de servicio. La razón
de ser de Magerit está directamente relacionada con la generalización del uso de los
medios electrónicos, informáticos y telemáticos, que supone unos beneficios evidentes
para los ciudadanos; pero también da lugar a ciertos riesgos que deben minimizarse con
medidas de seguridad que generen confianza en el uso de tales medios. El análisis de
riesgos se ha consolidado como paso necesario para la gestión de la seguridad. Así se
recoge claramente en las guías de la OCDE3 que, en su principio 6 dice:
6. Evaluación del riesgo. Los participantes deben llevar a cabo evaluaciones de
riesgo.
Conocer los riesgos al que están sometidos los sistemas de información con los que se
trabaja es imprescindible para poder gestionarlos y por este motivo existen multitud de
guías informales para la realización del análisis y gestión de riesgos, aproximaciones
metódicas y herramientas de soporte. Todas estás guías (informales, metódicas) buscan
poder evaluar cuanto de seguros (o inseguros) están los sistemas de información, para
evitar llevarse a engaño. Una aproximación metódica no dejar lugar a la improvisación,
como es el caso de Magerit, no depende de la arbitrariedad del analista. El asunto no es
tanto conocer la ausencia de incidentes como la confianza en que están bajo control: se
sabe qué puede pasar y se sabe que hacer cuando pasa.
1 CSAE: Consejo Superior de Administración Electrónica.
2 MAGERIT: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. La
información mostrada en este capítulo ha sido obtenida de dicha metodología, elaborada por el Ministerio
de Administraciones Públicas. Por este motivo no se van a exponer referencias a esta metodología a lo
largo del capítulo.
3 Guías de la OCDE para la seguridad de los sistemas de información y redes. Hacia una cultura de
seguridad. 2002.
MAGERIT Introducción
38
Objetivos de Magerit
Directos:
1. concienciar a los responsables de los sistemas de información de la existencia de
riesgos y de la necesidad de atajarlos a tiempo.
2. ofrecer un método sistemático para analizar tales riesgos.
3. ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos
bajo control
Indirectos:
1. preparar a la Organización para procesos de evaluación, auditoria, certificación o
acreditación
A su vez se ha buscado dar uniformidad a los informes que recogen los hallazgos y las
conclusiones de un proyecto de análisis y gestión de riesgos.
Modelo de valor
Caracterización del valor que representan los activos para la Organización así
como de las dependencias entre los diferentes activos.
Mapa de riesgos
Relación de las amenazas a las que están expuestos los activos.
Evaluación de Salvaguardas
Evaluación de la eficacia de las salvaguardas existentes en relación al riesgo que
afrontan.
Estado de riesgo
Caracterización de los activos por su riesgo residual; es decir, por lo que puede
pasar teniendo en cuenta las salvaguardas desplegadas.
Informe de insuficiencias
Ausencia o debilidad de las salvaguardas que aparecen como oportunas para
reducir los riesgos sobre un sistema.
Plan de seguridad
MAGERIT Introducción
39
Conjunto de programas de seguridad que permiten materializar las decisiones de
gestión de riesgos.
El análisis y gestión de riesgos en su contexto
Las tareas de análisis y gestión de riesgos no son un fin en sí mismas sino que encajan
en la actividad continua de gestión de la seguridad.
El análisis de riesgos permite determinar como es, cuanto vale y como de protegidos se
encuentran los activos. En coordinación con los objetivos, estrategia y política de la
Organización, las actividades de gestión de riesgos permiten elaborar un plan de
seguridad que, implantado y operado, satisfaga los objetivos propuestos con el nivel de
riesgo que es aceptable para la Dirección.
Figura 4. Análisis y Gestión de Riesgos en su Contexto
La implantación de los controles de seguridad requiere una organización gestionada y la
participación informada de todo el personal que trabaja con el sistema de información.
Este esquema de trabajo debe ser repetitivo pues los sistema de información raramente
con inmutables; más bien se encuentran sometidos a evolución continua tanto propia
(nuevos activos) como del entorno (nuevas amenazas), lo que exige una revisión
periódica en la que se aprende de la experiencia y se adapta al nuevo contexto. Por este
motivo la concienciación y formación del personal es un elemento muy importante a la
hora de llevar a cabo una política de gestión de seguridad. La colaboración activa de las
personas involucradas en el sistema de información es vital para su posterior éxito. Para
Análisis y Gestión de
riesgos
Planificación
Gestión de configuración
y cambios
Implantación de
salvaguardas
Incidencias y recuperación
Concienciación y formación
Organización
Objetivos, estrategia y
política
MAGERIT Introducción
40
ello se ha de crear lo que se llama una “cultura de seguridad” en la cual estén
implicados todos los niveles de la empresa desde la alta dirección hasta el más bajo
nivel.
El análisis de riesgos proporciona un modelo del sistema en términos de activos,
amenazas y salvaguardas, y es la piedra angular para controlar todas las actividades con
fundamento. La gestión de riesgos es la estructuración de as acciones de seguridad para
satisfacer las necesidades detectadas por el análisis.
Incidencias y recuperación
Es importante crear una cultura de responsabilidad, asociada a la cultura de seguridad,
donde los problemas potenciales, detectados por los que están cercanos a los activos
afectados, puedan ser canalizados hacia los puntos de decisión. De esta forma el sistema
de salvaguardas responderá a la realidad.
Cuando se produce una incidencia, el tiempo empieza a correr contra el sistema: sus
supervivencia depende de la presteza y corrección de las actividades de reporte y
reacción. La madurez de la organización se refleja en la pulcritud y realismo de su
modelo de valor y, consecuentemente, en la idoneidad de las salvaguardas de todo tipo,
desde medidas técnicas hasta una óptima organización.
41
Realización del análisis y gestión de riesgos1
Este capítulo expone de forma conceptual en qué consiste el análisis de riesgos y todo
aquello derivado de su gestión, lo qué se busca en cada momento y qué conclusiones se
derivan.
Hay dos grandes tareas a realizar:
Análisis de riesgos, que permite determinar qué tiene la Organización y estimar lo que
podría pasar.
Elementos:
1. activos, que no son sino los elementos del sistema de información (o
estrechamente relacionados con este) que aportan valor a la Organización
2. amenazas, que no son sino cosas que les pueden pasar a los activos causando un
perjuicio a la Organización
3. salvaguardas (o contra medidas), que no son sino elementos de defensa
desplegados para que aquellas amenazas no causen [tanto] daño.
Con estos elementos se puede estimar:
1. el impacto: lo que podría pasar
2. el riesgo2: lo que probablemente pase
El análisis de riesgos permite analizar estos elementos de forma metódica para llegar a
conclusiones con fundamento.
Gestión de riesgos, que permite organizar la defensa concienzuda y prudente,
defendiendo para que no pase nada malo y al tiempo estando preparados para atajar las
emergencias, sobrevivir a los incidentes y seguir operando en las mejores condiciones;
como nada es perfecto, se dice que el riesgo se reduce a un nivel residual que la
Dirección asume.
1 MAGERIT versión 2. Método – Parte 2.
2 El riesgo se definió de forma detallada en la introducción del proyecto.
42
Informalmente, se puede decir que la gestión de la seguridad de un sistema de
información es la gestión de sus riesgos y que el análisis permite racionalizar dicha
gestión.
Análisis de Riesgos
El análisis de riesgos es una aproximación metódica para determinar el riesgo siguiendo
unos pasos pautados3:
1. determinar los activos relevantes para la Organización, su interrelación y su
valor, en el sentido de qué perjuicio (coste) supondría su degradación.
2. determinar a qué amenazas están expuestos aquellos activos.
3. determinar qué salvaguardas hay dispuestas y cuán eficaces son frente al
riesgo.
4. estimar el impacto, definido como el daño sobre el activo derivado de la
materialización de la amenaza.
5. estimar el riesgo, definido como el impacto ponderado con la tasa de ocurrencia
(o expectación de materialización) de la amenaza.
Con el objeto de organizar la presentación, se tratan primero los pasos 1, 2, 4 y 5,
obviando el paso 3, de forma que las estimaciones de impacto y riesgo sean
“potenciales”: caso de que no hubiera salvaguarda alguna desplegada. Una vez obtenido
este escenario teórico, se incorporan las salvaguardas del paso 3, derivando
estimaciones realistas de impacto y riesgo.
Paso 1: Activos
Se denominan activos los recursos del sistema de información o relacionados con
éste, necesarios para que la Organización funcione correctamente y alcance los
objetivos propuestos por su dirección.
El activo esencial es la información que maneja el sistema; o sea los datos. Y alrededor
de estos datos se pueden identificar otros activos relevantes:
3 Se muestran cinco de los seis puntos mostrados en el alcance del proyecto. El sexto punto pertenece a la
gestión del riesgo.
43
• Los servicios que se pueden prestar gracias a aquellos datos, y los servicios que
se necesitan para poder gestionar dichos datos.
• Las aplicaciones informáticas (software) que permiten manejar los datos.
• Los equipos informáticos (hardware) y que permiten hospedar datos,
aplicaciones y servicios.
• Los soportes de información que son dispositivos de almacenamiento de datos.
• El equipamiento auxiliar que complementa el material informático.
• Las redes de comunicaciones que permiten intercambiar datos.
• Las instalaciones que acogen equipos informáticos y de comunicaciones.
• Las personas que explotan u operan todos los elementos anteriormente citados.
No todos los activos poseen la misma importancia y por ello las salvaguardas varían
dependiendo de la importancia de los mismos. Por ejemplo, hay datos regulados por ley
y otros que no; datos de carácter confidencial o de acceso reservado.
Dependencias
Los datos y los servicios suelen ser los activos más importantes; pero dichos activos
dependen a su vez de otros activos más prosaicos como pueden ser los equipos, las
comunicaciones o las frecuentemente olvidadas personas que los utilizan. Esto es el
motivo de la aparición del concepto llamado “dependencias entre activos” o la medida
en que un activo superior se vería afectado por un incidente de seguridad en un activo
inferior.
Se dice que un “activo superior” depende de otro “activo inferior” cuando las
necesidades de seguridad del superior se reflejan en las necesidades de seguridad del
inferior. O, dicho en otras palabras, cuando la materialización de una amenaza en el
activo inferior tiene como consecuencia un perjuicio sobre el activo superior.
Aunque en cada caso hay que adaptarse a la Organización objeto del análisis, con
frecuencia se puede estructurar el conjunto de activos en capas, donde las capas
superiores dependen de las inferiores:
• capa 1: el entorno
o equipamiento y suministros: energía, climatización, comunicaciones
44
o personal: de dirección, de operación, de desarrollo, etc.
o otros: edificios, mobiliario, etc.
• capa 2: el sistema de información
o equipos informáticos (hardware)
o aplicaciones (software)
o comunicaciones
o soportes de información: discos, cintas, etc.
• capa 3: la información
o datos
o meta-datos: estructuras, índices, claves de cifra, etc.
• capa 4: las funciones de la Organización, que justifican la existencia del
sistema de información y le dan finalidad
o objetivos y misión
o bienes y servicios producidos
• capa 5: otros activos
o credibilidad o buena imagen
La importancia de garantizar la seguridad de las capas superiores hace necesario
comenzar la seguridad desde las capas inferiores para evitar un riesgo sobre las capas
superiores.
Valoración de activos
Si no se puede prescindir impunemente de un activo, es que algo vale; eso es lo que hay
que intentar averiguar y proteger. El valor de un activo puede ser propio o acumulado.
Se dice que los activos inferiores en un esquema de dependencias, acumulan el valor de
los activos que se apoyan en ellos. Se dice que el valor nuclear suele estar en la
información (o datos) que el sistema maneja. Las dependencias entre activos permiten
relacionar los demás activos con datos y servicios.
En un árbol de dependencias, donde los activos superiores dependen de los inferiores, es
imprescindible valorar los activos superiores, los que son importantes por sí mismos.
45
Automáticamente este valor se acumula en los inferiores, lo que no es óbice para que
también puedan merecer, adicionalmente, su valoración propia.
La valoración es la determinación del coste que supondría salir de una incidencia que
destrozara el activo.
La valoración puede ser cuantitativa (con una cantidad numérica) o cualitativa (en
alguna escala de niveles). Los criterios más importantes a respetar son:
• la homogeneidad: es importante poder comparar valores aunque sean de
diferentes dimensiones a fin de poder combinar valores propios y valores
acumulados, así como poder determinar si es más grave el daño en una
dimensión o en otra,
• la relatividad: es importante poder relativizar el valor de un activo en
comparación con otros activos.
Todos estos criterios se satisfacen con valoraciones económicas (coste dinerario
requerido para “curar” el activo) y es frecuente la tentación de ponerle precio a todo. Si
se consigue, excelente. Incluso es fácil ponerle precio a los aspectos más tangibles
(equipamiento, horas de trabajo, etc.); pero al entrar en valoraciones más abstractas
(intangibles como la credibilidad de la Organización) la valoración económica exacta
puede ser escurridiza y motivo de agrias disputas entre expertos.
Dimensiones
De un activo puede interesar calibrar diferentes dimensiones4:
• Autenticidad: ¿qué perjuicio causaría no saber exactamente quien hace o ha
hecho cada cosa? Esta valoración es típica de servicios (autenticidad del usuario)
y de los datos (autenticidad de quien accede a los datos para escribir o,
simplemente, consultar)
• Confidencialidad: ¿qué daño causaría que lo conociera quien no debe? Esta
valoración es típica de datos.
4 Las dimensiones de la seguridad se encuentran explicadas en la Introducción.
46
• Integridad: ¿qué perjuicio causaría que estuviera dañado o corrupto? Esta
valoración es típica de los datos, que pueden estar manipulados, ser total o
parcialmente falsos o, incluso, faltar datos.
• Disponibilidad: ¿qué perjuicio causaría no tenerlo o no poder utilizarlo? Esta
valoración es típica de los servicios.
En sistemas dedicados a la administración electrónica o al comercio electrónico, el
conocimiento de los actores es fundamental para poder prestar el servicio correctamente
y poder perseguir los fallos (accidentales o deliberados) que pudieran darse. En estos
activos, además de la autenticidad, interesa calibrar la:
• la trazabilidad del uso del servicio: ¿qué daño causaría no saber a quién se le
presta tal servicio? O sea, ¿quién hace qué y cuándo?
• la trazabilidad del acceso a los datos: ¿qué daño causaría no saber quién accede
a qué datos y qué hace con ellos?
Casi todas las dimensiones mencionadas anteriormente permiten una valoración simple,
cualitativa o cuantitativa. Pero hay una excepción, la disponibilidad.
No es lo mismo interrumpir un servicio una hora o un día o un mes. Puede que una hora
de detención sea irrelevante, mientras que un día sin servicio causa un daño moderado;
pero un mes detenido suponga la terminación de la actividad. Por ello hay que saber
valorar que es lo que interesa evitar de forma que se ahorren esfuerzos (no sólo
económicos) para interrupciones de disponibilidad irrelevantes pasando directamente a
evaluar los relevantes.
Paso 2: Amenazas
El siguiente paso consiste en determinar las amenazas que pueden afectar a cada activo.
Las amenazas son “cosas que ocurren”. Y, de todo lo que puede ocurrir, interesa lo que
puede pasarle a nuestros activos y causar un daño.
Hay accidentes naturales (terremotos, inundaciones,...) y desastres industriales
(contaminación, fallos eléctricos,...) ante los cuales el sistema de información es víctima
pasiva; pero no por ser pasivos hay que permanecer indefensos. Hay amenazas causadas
por las personas, bien errores, bien ataques intencionados.
47
No todas las amenazas afectan a todos los activos, sino que hay una cierta relación entre
el tipo de activo y lo que le podría ocurrir.
Valoración de las amenazas
Cuando un activo es víctima de una amenaza, no se ve afectado en todas sus
dimensiones, ni en la misma cuantía.
Una vez determinado que una amenaza puede perjudicar a un activo, hay que estimar
cuán vulnerable es el activo, en dos sentidos:
• Degradación: cuán perjudicado resultaría el activo
• Frecuencia: cada cuánto se materializa la amenaza
La degradación mide el daño causado por un incidente en el supuesto de que ocurriera.
La degradación se suele caracterizar como una fracción del valor del activo y así
aparecen expresiones como que un activo se ha visto “totalmente degradado”, o
“degradado en una pequeña fracción”. Cuando las amenazas no son intencionales,
probablemente baste conocer la fracción físicamente perjudicada de un activo para
calcular la pérdida proporcional de valor que se pierde. Pero cuando la amenaza es
intencional, no se puede pensar en proporcionalidad alguna pues el atacante puede
causar muchísimo daño de forma selectiva.
La frecuencia pone en perspectiva aquella degradación, pues una amenaza puede ser de
terribles consecuencias pero de muy improbable materialización; mientras que otra
amenaza puede ser de muy bajas consecuencias, pero tan frecuente como para acabar
acumulando un daño considerable.
La frecuencia se modela como una tasa anual de ocurrencia, siendo valores típicos
100 Muy frecuente A diario
10 Frecuente Mensualmente
1 Normal Una vez al año
1/10 Poco frecuente Cada varios años
48
Paso 4: Determinación del impacto
Se denomina impacto a la medida del daño sobre el activo derivado de la
materialización de una amenaza. Conociendo el valor de los activos (en varias
dimensiones) y la degradación que causan las amenazas, es directo derivar el impacto
que estas tendrían sobre el sistema. La única consideración que queda hacer es relativa a
las dependencias entre activos. Es frecuente que el valor del sistema de información se
centre en los servicios que presta y los datos que maneja, al tiempo que las amenazas
suelen materializarse en los medios.
Impacto acumulado
Es el calculado sobre un activo teniendo en cuenta
• su valor acumulado (el propio mas el acumulado de los activos que dependen
de él)
• las amenazas a que está expuesto.
El impacto acumulado se calcula para cada activo, por cada amenaza y en cada
dimensión de valoración, siendo una función del valor acumulado y de la degradación
causada.
El impacto es tanto mayor cuanto mayor es el valor propio o acumulado sobre un
activo.
El impacto es tanto mayor cuanto mayor sea la degradación del activo atacado.
El impacto acumulado, al calcularse sobre los activos que soportan el peso del sistema
de información, permite determinar las salvaguardas de que hay que dotar a los medios
de trabajo: protección de los equipos, copias de respaldo, etc.
Impacto repercutido
Es el calculado sobre un activo teniendo en cuenta
• su valor propio
• las amenazas a que están expuestos los activos de los que depende.
El impacto repercutido se calcula para cada activo, por cada amenaza y en cada
dimensión de valoración, siendo una función del valor propio y de la degradación
causada.
49
El impacto es tanto mayor cuanto mayor es el valor propio de un activo.
El impacto es tanto mayor cuanto mayor sea la degradación del activo atacado.
El impacto es tanto mayor cuanto mayor sea la dependencia del activo atacado.
El impacto repercutido, al calcularse sobre los activos que tienen valor propio, permite
determinar las consecuencias de las incidencias técnicas sobre la misión del sistema de
información. Es pues una presentación gerencial que ayuda a tomar una de las
decisiones críticas de un análisis de riesgos: aceptar un cierto nivel de riesgo.
Agregación de valores de impacto
Los párrafos anteriores determinan el impacto que sobre un activo tendría una amenaza
en una cierta dimensión. Estos impactos singulares pueden agregarse bajo ciertas
condiciones:
• puede agregarse el impacto repercutido sobre diferentes activos,
• puede agregarse el impacto acumulado sobre activos que no sean dependientes
entre sí, ni dependan de ningún activo superior común,
• no debe agregarse el impacto acumulado sobre activos que no sean
independientes, pues ello supondría sobre ponderar el impacto al incluir varias
veces el valor acumulado de activos superiores,
• puede agregarse el impacto de diferentes amenazas sobre un mismo activo,
aunque conviene considerar en qué medida las diferentes amenazas son
independientes y pueden ser concurrentes,
• puede agregarse el impacto de una amenaza en diferentes dimensiones.
Paso 5: Determinación del riesgo
Se denomina riesgo5 a la medida del daño probable sobre un sistema. Conociendo el
impacto de las amenazas sobre los activos, es directo derivar el riesgo sin más que tener
en cuenta la frecuencia de ocurrencia.
El riesgo crece con el impacto y con la frecuencia.
5 El riesgo se encuentra definido de un modo más técnico en la introducción.
50
Riesgo acumulado
Es el calculado sobre un activo teniendo en cuenta
• el impacto acumulado sobre un activo debido a una amenaza y
• la frecuencia de la amenaza
El riesgo acumulado se calcula para cada activo, por cada amenaza y en cada dimensión
de valoración, siendo una función del valor acumulado, la degradación causada y la
frecuencia de la amenaza.
El riesgo acumulado, al calcularse sobre los activos que soportan el peso del sistema de
información, permite determinar las salvaguardas de que hay que dotar a los medios de
trabajo: protección de los equipos, copias de respaldo, etc.
Riesgo repercutido
Es el calculado sobre un activo teniendo en cuenta
• el impacto repercutido sobre un activo debido a una amenaza y
• la frecuencia de la amenaza
El riesgo repercutido se calcula para cada activo, por cada amenaza y en cada dimensión
de valoración, siendo una función del valor propio, la degradación causada y la
frecuencia de la amenaza.
El riesgo repercutido, al calcularse sobre los activos que tienen valor propio, permite
determinar las consecuencias de las incidencias técnicas sobre la misión del sistema de
información. Es pues una presentación gerencial que ayuda a tomar una de las
decisiones críticas de un análisis de riesgos: aceptar un cierto nivel de riesgo.
Agregación de riesgos
Los párrafos anteriores determinan el riesgo que sobre un activo tendría una amenaza en
una cierta dimensión. Estos riesgos singulares pueden agregarse bajo ciertas
condiciones:
• puede agregarse el riesgo repercutido sobre diferentes activos,
• puede agregarse el riesgo acumulado sobre activos que no sean dependientes
entre sí, ni dependan de ningún activo superior común,
51
• no debe agregarse el riesgo acumulado sobre activos que no sean
independientes, pues ello supondría sobre ponderar el riesgo al incluir varias
veces el valor acumulado de activos superiores,
• puede agregarse el riesgo de diferentes amenazas sobre un mismo activo, aunque
conviene considerar en qué medida las diferentes amenazas son independientes y
pueden ser concurrentes,
• puede agregarse el riesgo de una amenaza en diferentes dimensiones
Paso 3: Salvaguardas
En los pasos anteriores no se han tomado en consideración las salvaguardas
desplegadas. Se miden, por tanto, los impactos y riesgos a que estarían expuestos los
activos si no se protegieran en absoluto. En la práctica no es frecuente encontrar
sistemas desprotegidos: las medidas citadas indican lo que ocurriría si se retiraran las
salvaguardas presentes.
Se definen las salvaguardas o contra medidas como aquellos procedimientos o
mecanismos tecnológicos que reducen el riesgo. Hay amenazas que se conjuran
simplemente organizándose adecuadamente, otras requieren elementos técnicos
(programas o equipos), otras necesitan seguridad física y, por último, está la política de
personal.
Las salvaguardas entran en el cálculo del riesgo de dos formas:
Reduciendo la frecuencia de las amenazas.
Llamadas salvaguardas preventivas. Una salvaguarda preventiva ideal mitiga
completamente la amenaza.
Limitando el daño causado.
Hay salvaguardas que directamente limitan la posible degradación, mientras que
otras permiten detectar inmediatamente el ataque para frenar que la degradación
avance. Incluso algunas salvaguardas se limitan a permitir la pronta recuperación
del sistema cuando la amenaza lo destruye. En cualquiera de las versiones, la
amenaza se materializa; pero las consecuencias se limitan.
Las salvaguardas se caracterizan, además de por su existencia, por su eficacia frente al
riesgo que pretenden conjurar.
52
Figura 36. Metodología MAGERIT
Revisión del paso 4: Impacto residual
Si se han hecho todos los deberes a la perfección, el impacto residual debe ser
despreciable. Si hay deberes a medio hacer (normas imprecisas, procedimientos
incompletos, salvaguardas inadecuadas o insuficientes, o controles que no controlan)
entonces se dice que el sistema permanece sometido a un impacto residual.
El cálculo del impacto residual es sencillo. Como no han cambiado los activos, ni sus
dependencias, sino solamente la magnitud de la degradación, se repiten los cálculos de
impacto con este nuevo nivel de degradación.
La magnitud de la degradación tomando en cuenta la eficacia de las salvaguardas, es la
proporción que resta entre la eficacia perfecta y la eficacia real.
El impacto residual puede calcularse acumulado sobre los activos inferiores, o
repercutido sobre los activos superiores.
6 Dicha figura ya ha sido expuesta anteriormente, por ello la numeración corresponde con la primera vez
que apareció.
53
Revisión del paso 5: Riesgo residual
Si se han hecho todos los deberes a la perfección, el riesgo residual debe ser
despreciable. Si hay deberes a medio hacer (normas imprecisas, procedimientos
incompletos, salvaguardas inadecuadas o insuficientes, o controles que no controlan)
entonces se dice que el sistema permanece sometido a un riesgo residual.
El cálculo del riesgo residual es sencillo. Como no han cambiado los activos, ni sus
dependencias, sino solamente la magnitud de la degradación y la frecuencia de las
amenazas, se repiten los cálculos de riesgo usando el impacto residual y la nueva tasa de
ocurrencia.
La magnitud de la degradación se toma en consideración en el cálculo del impacto
residual. La magnitud de la frecuencia tomando en cuenta la eficacia de las
salvaguardas, es la proporción que resta entre la eficacia perfecta y la eficacia real.
El riesgo residual puede calcularse acumulado sobre los activos inferiores, o repercutido
sobre los activos superiores.
Figura 5.Submodelo de Procesos visto desde el Submodelo de elementos
Con el dibujo mostrado arriba se pretende ilustrar la relación entre los diversos pasos.
La parte puesta en rojo es aquella que se realiza al añadir las salvaguardas precisas, las
cuales se deciden en la gestión de riesgos que se explica a continuación.
54
Gestión de Riesgos
El análisis de riesgos determina impactos y riesgos. Los impactos recogen daños
absolutos, independientemente de que sea más o menos probable que se dé la
circunstancia. En cambio el riesgo pondera la probabilidad de que ocurra. El impacto
refleja el daño posible, mientras que el riesgo refleja el daño probable.
Si el impacto y el riesgo residuales son despreciables, se ha terminado. Si no, hay que
hacer algo.
La interpretación de los valores de impacto y riesgo residuales
Impacto y riesgo residual son una medida del estado presente, entre la inseguridad
potencial (sin salvaguarda alguna) y las medidas adecuadas que reducen impacto y
riesgo a valores despreciables. Son pues una métrica de carencias.
Los párrafos siguientes se refieren conjuntamente a impacto y riesgo.
Si el valor residual es igual al valor potencial, las salvaguardas existentes no valen para
nada, típicamente no porque no haya nada hecho, sino porque hay elementos
fundamentales sin hacer.
Si el valor residual es despreciable, ya está. Esto no quiere decir descuidar la guardia;
pero si afrontar el día con cierta confianza.
Mientras el valor residual sea más que despreciable, hay una cierta exposición.
Es importante entender que un valor residual es sólo un número. Para su correcta
interpretación debe venir acompañado de la relación de lo que se debería hacer y no se
ha hecho. Los responsables de la toma de decisiones deberán prestar cuidadosa atención
a esta relación de tareas pendientes, que se denomina Informe de Insuficiencias.
Selección de salvaguardas
Las amenazas hay que conjurarlas, por principio y mientras no se justifique lo contrario.
Hay que planificar el conjunto de salvaguardas pertinentes para atajar tanto el impacto
como el riesgo, reduciendo bien la degradación del activo (minimizando el daño), bien
reduciendo la frecuencia de la amenaza (minimizando sus oportunidades).
Toda amenaza debe ser conjurada profesionalmente, lo que quiere decir que hay que:
55
1. establecer una política de la Organización al respecto; o sea, unas directrices
generales de quién es responsable de cada cosa.
2. establecer una norma; o sea, unos objetivos a satisfacer para poder decir con
propiedad que la amenaza ha sido conjurada
3. establecer unos procedimientos; o sea, instrucciones paso a paso de qué hay que
hacer
4. desplegar salvaguardas técnicas que efectivamente se enfrenten a las amenazas
con capacidad para conjurarlas
5. desplegar controles que permitan saber que todo lo anterior está funcionando
según lo previsto
A este conjunto de elementos se le encasilla habitualmente bajo el nombre de Sistema
de Gestión de la Seguridad de la Información (SGSI), aunque se está gestionando tanto
como actuando.
El párrafo anterior puede llamar a engaño si el lector interpreta que hay que llevar a
cabo todos y cada uno de los puntos para cada amenaza. No. En la práctica lo dicho se
traduce en desarrollar una política, unas normas y unos procedimientos junto con el
despliegue de una serie de salvaguardas y controles y, ahora sí, verificar que todas y
cada una de las amenazas tienen una respuesta adecuada. Para ello existen las políticas
de seguridad desarrolladas por la Organización, que ayudan a establecer las
salvaguardas adecuadas.
Tipos de salvaguardas
Un sistema debe considerar prioritariamente las salvaguardas de tipo preventivo que
buscan que la amenaza no ocurra o su daño sea despreciable. Es decir, impedir
incidentes o ataques.
En la práctica, no todo es previsible, ni todo lo previsible es económicamente razonable
atajarlo en sus orígenes. Tanto para enfrentar lo desconocido como para protegerse de
aquello a lo que se permanece expuesto, es necesario disponer de elementos que
detecten el inicio de un incidente y permitan reaccionar con presteza impidiendo que se
convierta en un desastre.
Tanto las medidas preventivas como las de emergencia admiten una cierta degradación
de los activos por lo que habrá que disponer por último de medidas de recuperación que
56
devuelvan el valor perdido por los activos. Es de sentido común intentar actuar de forma
preventiva para que las cosas no puedan ocurrir o no puedan causar mucho daño; pero
no siempre es posible y hay que estar preparados para que ocurran. Lo que no debe ser
de ninguna manera es que un ataque pase inadvertido: hay que detectarlo, registrarlo y
reaccionar primero con un plan de emergencia (que pare y limite el incidente) y después
con un plan de continuidad y recuperación para regresar a donde se debe estar.
Hay que recordar que conviene llegar a un cierto equilibrio entre
• salvaguardas técnicas: en aplicaciones, equipos y comunicaciones
• salvaguardas físicas: protegiendo el entorno de trabajo de las personas y los
equipos
• medidas de organización: de prevención y gestión de las incidencias
• política de personal: que, a fin de cuentas, es el eslabón imprescindible y más
delicado: política de contratación, formación permanente, Organización de
reporte de incidencias, plan de reacción y medidas disciplinarias.
Una protección absoluta puede se imposibles por múltiples razones como son el coste,
las dificultad técnica, los límites legales, etc. Lo que no es aceptable es del
desconocimiento de una posible amenaza.
57
Figura 6. Relación entre los Componentes del Modelo MAGERIT
ACTIVO AMENAZA
VULNERABILIDAD IMPACTO
RIESGO
FUNCIÓN/SERVICIO
MECANISMOS DE
SALVAGUARDA
“curativo” “preventivo”
decisión
reduce reduce
frecuencia de
materialización
58
Fases de un análisis y gestión de riesgos
En el la Realización del análisis y gestión de riesgos se han expuesto de forma
conceptual los pasos a seguir en un análisis y gestión de riesgos. Ahora se van a explicar
los pasos formales a la hora de presentar dicho análisis1.
Un documento de análisis y gestión de riesgos ha de estar dividido en tres fases:
• Planificación.
• Análisis de riesgos.
• Gestión de riesgos.
Muchas veces la gestión de riesgos lleva consigo nuevos análisis de riesgos debidos a
las decisiones tomadas y los proyectos de seguridad surgidos.
Figura 7. Ciclo de vida de un Análisis y Gestión de riesgos2
Planificación
La planificación tiene como objetivo principal el marco general de referencia para todo
el proyecto.
Como objetivos complementarios se pueden identificar los siguientes:
• Motivar, concienciar e involucrar a la Dirección o Gerencia de la Organización.
1 Al usarse la metodología Magerit la forma de estructurar un documento de análisis y gestión de riesgos
sobre un sistema se expone en “Magerit Versión 2. Método – Parte 3 (Estructuración del proyecto)”. Lo
que se explica a continuación es un resumen de dicha parte de la documentación oficial que se puede
encontrar en el Ministerio de Administraciones Públicas.
2 MAGERIT Versión 2. Método. 3.2 Desarrollo del proyecto.
P1: Planificación P2: Análisis de riesgos
P3: Gestión de Riesgos
59
• Razonar la oportunidad de realizar un proyecto AGR.
• Afirmar y dar a conocer la voluntad de su realización por parte de la Dirección.
• Definir los objetivos y el dominio (ámbito) a abarcar en el proyecto.
• Crear las condiciones humanas y materiales para el buen desarrollo del proyecto.
Este proceso se desarrolla por medio de las siguientes actividades y tareas:
Actividad A1.1: Estudio de oportunidad
Se fundamenta la oportunidad de la realización, ahora, del proyecto AGR,
enmarcándolo en el desarrollo de las demás actividades de la Organización.
El resultado de esta actividad es el informe denominado “preliminar”.
Tareas:
� Tarea T1.1.1: Determinar la oportunidad
Actividad A1.2: Determinación del alcance del proyecto
Se definen los objetivos finales del proyecto, su dominio y sus límites. Se realiza una
primera identificación del entorno y de las restricciones generales a considerar. Y por
último se estima el coste que va a suponer.
El resultado de esta actividad es un perfil de proyecto AGR.
Tareas:
� Tarea T1.2.1: Objetivos y restricciones generales
� Tarea T1.2.2: Determinación del dominio y límites
� Tarea T1.2.3: Identificación del entorno
� Tarea T1.2.4: Estimación de dimensiones y coste
Actividad A1.3: Planificación del proyecto
Se determina la carga de trabajo que supone la realización del proyecto. Se planifican
las entrevistas que se van a realizar para la recogida de información: quiénes van a ser
entrevistados.
Se elabora el plan de trabajo para la realización del proyecto.
60
En esta actividad se determinan los participantes y se estructuran los diferentes grupos y
comités para llevar a cabo el proyecto.
El resultado de esta actividad está constituido por:
• un plan de trabajo para el proyecto AGR
• procedimientos de gestión de la información generada
Tareas:
� Tarea T1.3.1: Evaluar cargas y planificar entrevistas
� Tarea T1.3.2: Organizar a los participantes
Actividad A1.4: Lanzamiento del proyecto
Se adaptan los cuestionarios para la recogida de información adaptándolos al proyecto
presente. Se eligen las técnicas principales de evaluación de riesgo a utilizar y se
asignan los recursos necesarios para el comienzo del proyecto. También se realiza una
campaña informativa de sensibilización a los afectados sobre las finalidades y
requerimientos de su participación.
El resultado de esta actividad está constituido por:
• los cuestionarios para las entrevistas
• el plan de entrevistas
• el catálogo de tipos de activos
• la relación de dimensiones de seguridad y
• los criterios de valoración
Tareas:
� Tarea T1.4.1: Adaptar los cuestionarios
� Tarea T1.4.2: Criterios de evaluación
� Tarea T1.4.3: Recursos necesarios
� Tarea T1.4.4: Sensibilización
61
Análisis de riesgos
Este proceso es el núcleo central de Magerit y su correcta aplicación condiciona la
validez y utilidad de todo el proyecto. La identificación y estimación de los activos y de
las posibles amenazas que les acechan representa una tarea compleja.
Este proceso tiene los siguientes objetivos:
• Levantar un modelo del valor del sistema, identificando y valorando los activos
relevantes.
• Levantar un mapa de riesgos del sistema, identificando y valorando las
amenazas sobre aquellos activos.
• Levantar un conocimiento de la situación actual de salvaguardas.
• Evaluar el impacto posible sobre el sistema en estudio, tanto el impacto
potencial (sin salvaguardas), como el impacto residual (incluyendo el efecto de
las salvaguardas implementadas si se trata de un sistema actual, no de un sistema
previsto).
• Evaluar el riesgo del sistema en estudio, tanto el riesgo potencial (sin
salvaguardas), como el riesgo residual (incluyendo el efecto de las salvaguardas
implementadas si se trata de un sistema actual, no de un sistema previsto).
• Mostrar al comité director las áreas del sistema con mayor impacto y/o riesgo.
El punto de partida de este proceso es la documentación del anterior referente a los
objetivos del proyecto, los planes de entrevistas, la evaluación de cargas, la
composición y reglas de actuación del equipo de participantes, el plan de trabajo y el
informe de presentación del proyecto.
Este proceso se desarrolla mediante una serie de actividades y tareas.
Actividad 2.1: Caracterización de los activos
Esta actividad busca identificar los activos relevantes dentro del sistema a analizar,
caracterizándolos por el tipo de activo, identificando las relaciones entre los diferentes
activos, determinando en qué dimensiones de seguridad son importantes y valorando
esta importancia.
El resultado de esta actividad es el informe denominado “modelo de valor”.
62
Tareas:
� Tarea T2.1.1: Identificación de los activos
� Tarea T2.2.2: Dependencias entre activos
� Tarea T2.3.3: Valoración de los activos
El objetivo de estas tareas es reconocer los activos que componen los procesos, y definir
las dependencias entre ellos. Así y a partir de la información recopilada en la actividad
anterior, esta actividad profundiza el estudio de los activos con vistas a obtener la
información necesaria para realizar las estimaciones de riesgo.
Actividad 2.2: Caracterización de las amenazas
Esta actividad busca identificar las amenazas relevantes sobre el sistema a analizar,
caracterizándolas por la frecuencia estimada de ocurrencia y la estimación de daño
(degradación) que causarían sobre los activos.
El resultado de esta actividad es el informe denominado “mapa de riesgos”.
Tareas:
� Tarea T2.2.1: Identificación de las amenazas
� Tarea T2.2.2: Valoración de las amenazas
Actividad 2.3: Caracterización de las salvaguardas
Esta actividad busca identificar las salvaguardas desplegadas en el sistema a analizar,
calificándolas por su eficacia frente a las amenazas que pretenden mitigar.
El resultado de esta actividad es el informe denominado “evaluación de salvaguardas”.
Tareas:
� Tarea T2.3.1: Identificación de las salvaguardas existentes
� Tarea T2.3.2: Valoración de las salvaguardas existentes
Actividad 2.4: Estimación del estado de riesgo
Esta actividad procesa todos los datos recopilados en las actividades anteriores para
• realizar un informe del estado de riesgo: estimación de impacto y riesgo
63
• realizar un informe de insuficiencias: deficiencias o debilidades en el sistema de
salvaguardas
Tareas:
� Tarea T2.4.1: Estimación del impacto
� Tarea T2.4.2: Estimación del riesgo
� Tarea T2.4.3: Interpretación de los resultados
Documentación final
De esta fase se obtienen una serie de documentos que sirven para valorar el análisis
realizado. Dichos documentos son:
� Modelo de valor. Informe que detalla los activos, sus dependencias, las
dimensiones en las que son valiosos y la estimación de su valor en cada dimensión.
� Mapa de riesgos. Informe que detalla las amenazas significativas sobre cada activo,
caracterizándolas por su frecuencia de ocurrencia y por la degradación que causaría
su materialización sobre el activo.
� Evaluación de salvaguardas. Informe que detalla las salvaguardas existentes
calificándolas en su eficacia para reducir el riesgo que afrontan.
� Estado de riesgo. Informe que detalla para cada activo el impacto y el riesgo
residuales frente a cada amenaza.
� Informe de insuficiencias. Informe que detalla las salvaguardas necesarias pero
ausentes o insuficientemente eficaces.
Gestión de riesgos
Se procesan los impactos y riesgos identificados en el proceso anterior, bien
asumiéndolos, bien afrontándolos. Para afrontar los riesgos que se consideren
inaceptables se llevará a cabo un plan de seguridad que corrija la situación actual. Un
plan de seguridad se materializa en una colección de programas de seguridad. Algunos
programas serán sencillos, mientras que otros alcanzarán suficiente nivel de
complejidad y coste como para que su ejecución se convierta en un proyecto
propiamente dicho. La serie de programas (y, en su caso, proyectos) se planifica en el
tiempo por medio del denominado Plan de Seguridad que ordena y organiza las
64
actuaciones encaminadas a llevar el estado de riesgo a un punto aceptable y aceptado
por la Dirección.
En la gestión de riesgos se toman una serie de decisiones entre las que destacan:
• Elegir una estrategia para mitigar el impacto y el riesgo.
• Determinar las salvaguardas oportunas para la decisión anterior.
• Determinar la calidad necesaria para dichas salvaguardas.
• Diseñar un plan de seguridad para llevar el impacto y el riesgo a niveles
aceptables.
• Llevar a cabo el plan de seguridad.
Este proceso se desarrolla por medio de las siguientes actividades y tareas:
Actividad A3.1: Toma de decisiones
En esta actividad se traducen las conclusiones técnicas del proceso P2 en decisiones de
actuación.
Tareas:
� Tarea T3.1.1: Calificación de los riesgos
Actividad A3.2: Plan de seguridad
En esta actividad se traducen las decisiones de actuación en acciones concretas:
proyectos de mejora de la seguridad planificados en el tiempo.
Tareas:
� Tarea T3.2.1: Programas de seguridad
� Tarea T3.2.2: Plan de ejecución
Actividad A3.3: Ejecución del plan
Esta actividad recoge la serie de proyectos que materializan el plan de seguridad y que
se van realizando según dicho plan.
Tareas:
� Tarea T3.3.*: Ejecución de cada programa de seguridad
65
Documentación final
La documentación final será el Plan de Seguridad proyectado en base al análisis de
riesgos realizado así como los informes descritos en Magerit.
En relación a la Gestión de Seguridad la Dirección de la Organización tiene mucho que
decir y ha de aprobar todos los proyectos de seguridad planteados en el plan de
seguridad.
66
Figura 8. Ciclo de vida detallado de un Análisis y Gestión de riesgos
Proceso P1: Planificación
Actividad A1.1: Estudio de oportunidad
Tarea T1.1.1: Determinar la oportunidad
Actividad A1.2: Determinación del alcance del proyecto
Tarea T1.2.1: Objetivos y restricciones generales
Tarea T1.2.2: Determinación del dominio y límites
Tarea T1.2.3: Identificación del entorno
Tarea T1.2.4: Estimación de dimensiones y coste
Proceso P2: Análisis de riesgos
Actividad A2.1: Caracterización de los activos
Tarea T2.1.1: Identificación de los activos
Tarea T2.1.2: Dependencias entre activos
Tarea T2.1.3: Valoración de los activos
Actividad A2.2: Caracterización de las amenazas
Tarea T2.2.1: Identificación de las amenazas
Tarea T2.2.2: Valoración de las amenazas
Actividad A2.3: Caracterización de las salvaguardas
Tarea T2.3.1: Identificación de las salvaguardas existentes
Tarea T2.3.2: Valoración de las salvaguardas existentes
Actividad A2.4: Estimación del estado de riesgo
Tarea T2.4.1: Estimación del impacto
Tarea T2.4.2: Estimación del riesgo
Tarea T2.4.3: Interpretación de los resultados
Proceso P3: Gestión de riesgos
Actividad A3.1: Toma de decisiones
Tarea A3.1.1: Calificación de los riesgos
Actividad A3.2: Plan de seguridad
Tarea T3.2.1: Programas de seguridad
Tarea T3.2.2: Plan de ejecución
Actividad A3.3: Ejecución del plan
Tarea T3.3.*: Ejecución de cada programa de seguridad
Actividad A1.3: Planificación del proyecto
Tarea T1.3.1: Evaluar cargas y planificar entrevistas
Tarea T1.3.2: Organizar a los participantes
Tarea T1.3.3: Planificar el trabajo
Actividad A1.4: Lanzamiento del proyecto
Tarea T1.4.1: Adaptar los cuestionarios
Tarea T1.4.2: Criterios de evaluación
Tarea T1.4.3: Recursos necesarios
Tarea T1.4.4: Sensibilización
67
EAR
68
Introducción
EAR1 es una herramienta informática que soporta el análisis y gestión de riesgos de un
sistema de información siguiendo la metodología Magerit. Esta herramienta está basada
en otra herramienta denominada PILAR2 [MAGE05].
La diferencia entre EAR y PILAR es el público al que va destinado. Mientras que
PILAR es de uso exclusivo del Estado y las Instituciones pertenecientes al mismo; EAR
está destinada a empresas privadas y a todo aquel que desee adquirir la licencia de la
misma.
PILAR
PILAR es una herramienta desarrollada bajo la especificación del CNI3 para soportar el
análisis de riesgos de los sistemas de información siguiendo la metodología Magerit. En
el desarrollo de la herramienta se ha contado con la colaboración del CCN4,
estableciendo requisitos, y la Fábrica Nacional de Moneda y Timbre.
Especificaciones
Tanto PILAR como EAR están desarrolladas en Java, pudiéndose emplear sobre
cualquier plataforma que soporte este entorno de programación, sin depender de
licencias de productos de terceras partes. El resultado es una aplicación gráfica
monopuesto5 [MAGE05].
La herramienta soporta todas las fases del método Magerit:
• Caracterización de los activos: identificación, clasificación, dependencias y
valoración
1 Entorno de Análisis de Riesgos
2 Procedimiento Informático-Lógico para el Análisis de Riesgos
3 Centro Nacional de Inteligencia
4 Centro Criptológico Nacional
5 La aplicación se ha de instalar en un equipo de trabajo, siendo éste el único equipo desde el que se
puede acceder y trabajar con ella.
69
• Caracterización de las amenazas
• Evaluación de las salvaguardas
La herramienta incorpora los catálogos del "Catálogo de Elementos" de Magerit,
permitiendo una homogeneidad en los resultados del análisis:
• tipos de activos
• dimensiones de valoración
• criterios de valoración
• catálogo de amenazas
Para incorporar este catálogo, EAR (así como PILAR) diferencia entre el motor de
cálculo de riesgos y la biblioteca de elementos, que puede ser reemplazada para seguir
el paso de la evolución en el tiempo de los catálogos de elementos.
La herramienta evalúa el impacto y el riesgo, acumulado y repercutido, potencial y
residual, presentándolo de forma que permita el análisis de por qué se da cierto impacto
o cierto riesgo.
Las salvaguardas se califican por fases, permitiendo la incorporación a un mismo
modelo de diferentes situaciones temporales. Típicamente se puede incorporar el
resultado de los diferentes programas de seguridad a lo largo de la ejecución del plan de
seguridad, monitorizando la mejora del sistema.
Los resultados se presentan en varios formatos: informes RTF, gráficas y tablas para
incorporar a hojas de cálculo. De esta forma es posible elaborar diferentes tipos de
informes y presentaciones de los resultados.
Por último, la herramienta calcula calificaciones de seguridad siguiendo los epígrafes de
normas de iure o de facto de uso habitual. Cabe citarse:
• Criterios de Seguridad, normalización y conservación
• UNE-ISO/IEC 17799:2005: sistemas de gestión de la seguridad
• RD 994/1999: datos de carácter personal
Por último hay que destacar que EAR y PILAR incorporan tanto los modelos
cualitativos como cuantitativos, pudiendo alternarse entre uno y otro para extraer el
70
máximo beneficio de las posibilidades teóricas de cada uno de ellos. La versión de EAR
que se va a usar para realizar el AGR es EAR 3.0 BETA.
Análisis cualitativo
La herramienta permite un análisis cualitativo, de trazo grueso, utilizando escalas
simples para valorar activos, amenazas y salvaguardas [MAÑA06].
Un análisis cualitativo se recomienda como primer paso, antes de entrar en un análisis
detallado. Dicho análisis permite:
• Identificar los activos relevantes.
• Identificar las amenazas relevantes.
• Identificar las salvaguardas inexistentes.
• Determinar los activos críticos (sujetos a máximo riesgo).
En el caso práctico analizado se emplea este análisis.
Análisis cuantitativo
La herramienta permite un análisis cuantitativo, el cual permite [MAÑA06]:
• Detallar el valor económico de los daños causados por las amenazas sobre los
activos.
• Precisar la tasa esperada de ocurrencia (frecuencia).
• Precisar el grado de eficacia de las salvaguardas, sus coste de implantación y de
mantenimiento anual.
• Precisar la justificación de un gasto en seguridad como diferencia entre lo que
cuesta protegerse (más) y lo que se arriesga perder.
71
Figura 3. Metodología MAGERIT
Presentación del AGR en EAR
Todas las funciones de EAR están explicadas mediante la ayuda contenida en la
herramienta, la cual se presenta en formato HTML. Así mismo las funciones
contempladas en EAR abarcan toda la metodología Magerit, siguiendo el proceso
descrito en la metodología.
La presentación que EAR muestra al usuario se basa en la forma en que Magerit divide
cada una de las etapas. Las partes principales de la herramienta son:
• D: Proyecto
• A: Análisis de Riesgos
• G: Gestión de Riesgos
• I: Informes
• E: Calificaciones d Seguridad
72
Figura 9. EAR. Pantalla principal.
La relación entre EAR y Magerit es completa. Una de las razones por las que se ha
empleado Magerit como metodología AGR ha sido la existencia de EAR como
herramienta informática que facilita el proceso AGR y la consecución de todos los hitos
marcados. Gracias a EAR el AGR es mucho más sencillo, dinámico y flexible;
pudiendo en todo momento volver a revisar un paso anterior sin tener que dar marcha
atrás, hacer el AGR de forma vertical y no horizontal (analizar una parte de los activos
con sus amenazas de forma independiente del resto de activos y posteriormente volver
atrás para analizar el resto de activos), ver los resultados de forma gráfica o mediante
indicadores6, etc.
6 En la ayuda contenida en la aplicación se pueden ver los distintos indicadores y su significado. La ayuda
permite ver esto y actúa de forma dinámica mediante páginas HTML que se cargan dependiendo de
donde se pida la ayuda y lo que se quiera ver.
73
Figura 10. EAR. Etapas de Magerit.
La parte referente a proyecto puede ser todo lo relacionado con el proceso de
planificación, mientras que los dos siguientes procesos están definidos en la herramienta
con el mismo nombre que en Magerit (A, G).
En los datos del proyecto se puede poner todo aquello referente a la gestión del proyecto
que se creo conveniente. Así por ejemplo se puede poner el nombre del proyecto, la
propietaria del mismo y/o del sistema de información analizado, la persona que lo lleva
a cabo, la versión en la que se encuentra, la fecha… o cualquier otro tipo de
información. El subconjunto de dimensiones a analizar se define (selecciona) en el
apartado D (Proyecto). Hay que recordar que Magerit define siete dimensiones
diferentes, las cuales se pueden tener en cuenta en el análisis o no.
74
Figura 11. EAR. Informes contemplados y calificaciones evaluadas:
Uno de los objetivos de Magerit es dar uniformidad a los informes presentados en un
AGR. EAR contempla esto, soportando la creación de todos los informes descritos en
Magerit. Los informes se obtienen desde el apartado llamado con el mismo nombre (I).
EAR soporta realizar el AGR frente a tres normas de calidad:
• ISO/IEC 17799:2005
• Criterios de seguridad, normalización y conservación
• Reglamento de medidas de seguridad
En el apartado criterios de valoración se puede ver en que medida se cumplen cada una
de las normas y donde hay que mejorar el sistema.
75
iMat
iMat Desarrollo y funcionamiento
76
La matriculación en una universidad es uno de los procesos más importantes por ser la
forma en que las universidades obtienen a sus clientes (alumnos). Por ello el sistema de
matriculación ha de ser rápido, dinámico y efectivo, sin obligar al alumno a hacer
grandes esfuerzos a la hora de matricularse.
En la Universidad Pontificia de Comillas los alumnos de primer y segundo ciclo
realizan su matriculación a través de la Web. Este sistema además de ser efectivo es una
muestra de la modernidad y dinamismo que la universidad pretende mostrar,
características que se encuentran dentro de la misión de la organización y, por lo tanto,
es importante lograr su conservación de forma efectiva.
Actualmente la Universidad Pontificia de Comillas posee 11000 alumnos, de los cuales
7500 son alumnos de primer y segundo ciclo, de los cuales, aproximadamente, 7000
realizan la matriculación por Internet. Por ello este sistema de información ha de
funcionar correctamente y asegurar su disponibilidad, confidencialidad e integridad en
todo momento.
Desarrollo y funcionamiento
iMat, Sistema de Matriculación de la Universidad Pontificia de Comillas, es un sistema
basado en una estructura de 3 capas: acceso a datos, lógica de negocio y presentación
claramente diferenciadas. La interfaz con el usuario se realiza mediante páginas Web
desarrolladas en ASP, la lógica de negocios se encuentra encapsulada en unos
componentes en COM+1 desarrollados con Visual Basic (VB) mientras que el acceso a
datos se realiza con otros componentes en COM+ que actúan contra una base de datos
SQL Server 2000. Por consiguiente, los componentes que acceden a los datos y que
tienen la lógica de negocio están en desarrollados VB 6.0, funcionando en COM+ de tal
forma que únicamente un usuario de dominio específico tiene acceso a los datos. Los 3
1 COM+ es un servidor de componentes de transacciones distribuidas, a grandes rasgos te permite
controlar que las transacciones funcionen (no se quede a medias una matrícula), optimiza los hilos de
ejecución y permite configurar en el mismo servidor cual es el usuario que, por ejemplo, levanta los
componentes. Algo que se suele utilizar para declarar en ese sitio cual es el usuario de NT que levanta el
componente y que es el que utilizará posteriormente los componentes de acceso a datos para hacer las
conexiones a la BD.
iMat Desarrollo y funcionamiento
77
servidores Web IIS 6.0 que mantienen la Web de Comillas están balanceados por
hardware de tal forma que en función de la carga de uno u otro se le redirige al usuario
al que menos lo este.
La aplicación, iMat, solo está instalada en los servidores Web de la Universidad.
Cuando un usuario se conecta a la universidad, bien sea para realizar la matrícula,
conectarse al portal de recursos, SIFO, o navegar por la Web; el sistema de la
universidad almacena la dirección IP del usuario y su información (claves, contraseñas,
etc.), teniendo de esta forma control de lo que se hace en el sistema y quien lo hace.
Esta información es almacenada en un log.
La conexión a Internet es suministrada mediante dos fibras ópticas gestionadas por las
RedIRIS (como sucede en todas las universidades). Sin embargo, no se dispone de un
proveedor de servicios secundario. Por lo tanto existe un riesgo latente en el caso de que
la RedIRIS falle; hay una dependencia total en relación a este servicio. De todos modos,
hay que tener en cuenta que sin Internet la red interna sí que funcionaría correctamente,
siendo Internet lo que dejaría de funcionar.
Arquitectura en tres capas
La arquitectura de una aplicación es la vista conceptual de la estructura de esta. La
arquitectura en capas tiene como objetivo principal la separación de la lógica de
negocios con la lógica de diseño; un ejemplo básico de esto es separar la capa de datos
de la capa de presentación al usuario. La ventaja de separar en capas es que el
desarrollo del sistema se puede llevar a cabo en varios niveles y al realiza cambios en el
sistema sólo se ha de atacar el nivel requerido.
Al mismo tiempo, permite distribuir el trabajo de creación de una aplicación por
niveles, de este modo, cada grupo de trabajo está totalmente abstraído del resto de
niveles, simplemente es necesario conocer la relación que existe entre niveles.
En el diseño de sistemas informáticos, como es el caso de iMat, se suelen usar las
arquitecturas multinivel o programación por capas. En dichas arquitecturas a cada nivel
se le confía una misión simple, lo que permite el diseño de arquitecturas escalables (que
pueden ampliarse con facilidad en caso de que las necesidades aumenten).El diseño más
en boga actualmente es el diseño en tres niveles (o en tres capas). Este es el diseño
implantado en iMat.
iMat Desarrollo y funcionamiento
78
Las capas que existen en iMat (y en todo sistema estructurado en tres capas) son:
1. Capa de presentación
2. Capa de negocio.
3. Capa de Datos.
La capa de presentación es la capa mostrada al usuario. Presenta el sistema al usuario,
le comunica la información, obteniendo también información del mismo. Para ello se ha
realizar un mínimo de proceso (realizando un filtrado previo para comprobar que no
hay errores de formato). Esta capa se comunica únicamente con la capa de negocio. En
el caso de iMat la presentación se realiza mediante páginas Web desarrolladas en ASP
que se encuentran almacenadas en el servidor de ficheros y son mostradas a los usuarios
desde los servidores Web. Como se ha comentado anteriormente, antes de comunicarse
con la capa de negocio, iMat realiza un filtrado para comprobar que no hay errores de
formato (como por ejemplo un DNI no válido, un teléfono incorrecto, etc.).
La capa de negocio o lógica de negocio es donde residen los programas que se
ejecutan, recibiendo las peticiones del usuario y enviando las respuestas tras el proceso.
Se denomina capa de negocio debido a que es aquí donde se establecen todas las reglas
que deben cumplirse. Esta capa se comunica con la capa de presentación, para recibir
las solicitudes y presentar los resultados, y con la capa de datos, para solicitar al gestor
de base de datos el almacenamiento o recuperación de datos de él. En iMat la lógica de
negocio se encuentra encapsulada en componentes COM+ desarrollados en VB 6.02,
que se encuentran en el servidor de ficheros, siendo donde se ejecutan para enviar la
información a la capa de presentación.
La capa de datos es la capa donde residen los datos. Está formada por uno o más
gestores de bases de datos que realizan todo el almacenamiento de datos, reciben
solicitudes de almacenamiento o recuperación de información desde la capa de negocio.
En UPCO3, el gestor de bases de datos es SQL Server 2000, habiendo una única base de
datos donde reside toda la información académica de la universidad y a la que acceden
todas aquellas aplicaciones que necesiten usar dicha información, incluyendo a iMat.
2 Visual Basic 6.0
3 UPCO, Universidad Pontificia de Comillas.
iMat Desarrollo y funcionamiento
79
Todas estas capas pueden residir en un único ordenador, si bien lo más usual es que
haya una multitud de ordenadores donde reside la capa de presentación (clientes en una
arquitectura cliente/servidor). Las capas de negocio y de datos pueden residir en el
mismo ordenador, y si el crecimiento de las necesidades lo aconseja se pueden separar
en dos o mas ordenadores. Así, si el tamaño o complejidad de la base de datos aumenta,
se puede separar en varios ordenadores los cuales recibirán las peticiones del ordenador
en que resida la capa de negocio.
Figura 12. Arquitectura en tres capas
Si fuese la complejidad en la capa de negocio lo que obligase a la separación, esta capa
de negocio podría residir en uno o más ordenadores que realizarían solicitudes a una
única base de datos. En el caso de iMat la capa de presentación se encuentra en los tres
servidores Web IIS 6.0, la capa de negocio en el servidor de ficheros y la de datos en el
servidor de datos (donde reside la base de datos); existiendo un servidor de balanceo
para gestionar las conexiones con los clientes. Todo lo relativo a los servidores se
encuentra explicado más adelante.
En una arquitectura de tres niveles, los términos capas y niveles no significan lo mismo
ni son similares. El término capa hace referencia a la forma como una solución es
segmentada desde el punto de vista lógico (Presentación/ Lógica de Negocio/ Datos).
iMat Desarrollo y funcionamiento
80
En cambio, el término nivel, corresponde a la forma en que las capas lógicas se
encuentran distribuidas de forma física.
Figura 13. Arquitectura en tres capas detallada4
En el caso de iMat la estructura del sistema es de tres capas y tres niveles.
Figura 14. Esquema en tres capas de UPCO5
4 http://www.lagash.com/mbi/framework.jpg
5 UPCO, Universidad Pontificia de Comillas
iMat Desarrollo y funcionamiento
81
Funcionamiento
El sistema de Matriculación funciona, básicamente, del siguiente modo: en función del
alumno validado con su clave y contraseña se estudia su expediente y las normas que
establecen al respecto cada facultad o escuela, una vez comparado su expediente contra
estas normas al alumno se le categoriza de tal forma que lleva implícita la oferta de
asignaturas de la que puede matricularse. Una vez presentada la oferta de asignaturas, el
alumno podrá seleccionar de entre ellas las que considere y se le comprueba que está
dentro de los intervalos de créditos establecidos.
Si lo vemos desde el punto de vista del hardware, el alumno se valida y es aceptado por
el servidor de balanceo, una vez comprobada la validación comparando la información
con la base de datos. Al ser aceptado el servidor de balanceo le reenvía al servidor Web
que considera mejor en ese momento. Una vez en el servidor Web el alumno solicita la
información que desea, si esa información es de la universidad se busca en el servidor
de ficheros y se devuelve al usuario (que está en un servidor Web); si la información no
es de la universidad, se busca en Internet (protegido por el firewall) y se muestra al
alumno pasando por el servidor de balanceo y Web. En el caso de iMat las páginas ASP
se buscan en el servidor de ficheros y la información en la base de datos (servidor de
datos).
iMat tiene su grado máximo de utilización en los meses de septiembre y octubre,
cuando se realizan más matrículas. En estos meses pueden llegar a alcanzarse hasta
1000 accesos en un mismo día. Existe una demanda potencial al año de 7500 alumnos
que pueden usar dicha aplicación, siendo usada por aproximadamente 7000 de ellos.
Comillas posee 11000 alumnos de los cuales 7500 son de primer y segundo ciclos, que
son los clientes potenciales de iMat. El resto pertenecen a doctorados o postgrados.
iMat Servidores
82
Servidores
iMat se ayuda de tres servidores balanceados para desempeñar sus funciones. Los tres
servidores Web IIS 6.0 que mantienen la Web de Comillas están balanceados por
hardware (mediante un servidor de balanceo) de tal forma que en función de la carga de
uno u otro se redirige al usuario al servidor que menos cargado se encuentre. Dichos
servidores no se usan en exclusiva para iMat sino para la Web en general, y en
consecuencia para iMat entre otras muchas aplicaciones. Cada servidor Web es capaz de
soportar 20000 conexiones.
La información se encuentra en el servidor de Base de Datos de Producción, en un
único sitio y en consecuencia a esa base de datos acceden otras aplicaciones, como por
ejemplo la aplicación de gestión académica (utilizada en Secretaria General) que
accede a la misma información. Por este motivo no es necesario para la secretaria
general saber la clave de los alumnos para acceder a los datos de los mismos. Para
acceder a la información de los alumnos se ayudan de buscadores capaces de acceder a
los datos mediante el nombre, DNI, apellidos,... carreras,... etc. Una vez seleccionado al
alumno, acceden a toda su información académica, incluyendo su matrícula.
Agrupando los servidores se puede decir que hay:
- Un servidor de balanceo, para distribuir la carga de trabajo entre los
servidores de presentación.
- Tres servidores de presentación (Web), para presentar la información
solicitada por los usuarios en páginas ASP.
- Un servidor de datos, para gestionar la información manejada por el sistema.
- Un servidor de ficheros, donde se encuentran algunas aplicaciones instaladas
y que se comunica con los servidores de Web para dar información que se
presentará más tarde. En este servidor es donde se encuentra, entre otras
aplicaciones, iMat instalada y funcionando. Las páginas Web que se cargan
en los servidores de presentación se encuentran almacenadas en el servidor
de ficheros. Este servidor es el que lleva la lógica de negocio.
iMat Servidores
83
Seguridad y localización
Los servidores se encuentran en la sede de Alberto Aguilera 23, 3ª planta, en una
habitación especial con acceso autorizado exclusivamente por tarjeta. La tarjeta de
acceso solamente la posee el personal autorizado. Dicha habitación cuenta con un
sistema antiincendios; está protegida mediante alarma y se mantiene a una temperatura
especial. El tamaño de dicha habitación es de aproximadamente 12 m2.
El servidor de datos y el de componentes se sitúan detrás de un firewall, así como el
acceso a los datos se hace a través del usuario que levanta, que esta configurado en
COM+ para evitar información incoherente en caso de que el usuario se caiga del
sistema. Por este motivo únicamente un usuario de dominio específico1 tiene acceso a
los datos.
El modelo de tres capas deja ver que el servidor que gestiona la carga de trabajo y
balancea el resto de servidores es un elemento crítico en el sistema. A su vez el servidor
de datos no posee un soporte de seguridad inmediato. En relación a la información
almacenada en el servidor de datos se realiza una copia de seguridad cada 5 minutos a
otro servidor localizado en Alberto Aguilera 25 (AA25). A su vez cada hora se realiza
un Back-up de seguridad.
En caso de error en el servidor de datos, el servidor de datos “secundario” situado en
AA25 no se suele utilizar por tener que iniciarse el cambio de servidor de forma
manual. Se considera menos costoso perder unas horas en arreglar el principal y volver
a ponerlo en funcionamiento que cambiar de servidor. Si se diese el caso lo máximo que
se puede perder son 5 minutos de información, ya que es el periodo transcurrido entre
cada volcado al servidor secundario.
Como ya se ha comentado, cada servidor Web pueden tener hasta 20000 conexiones a la
vez. En total se pueden servir a 60000 conexiones en el mismo instante. Esa es la
frontera que posee el sistema de Comillas (no iMat). Esta barrera está considerada como
inalcanzable. Sin embargo en el caso teórico que se alcanzase no hay ningún
procedimiento, mecanismo, etc. que corte las conexiones entrantes.
1 Por usuario de dominio específico se entiende que sólo puede haber un usuario con la misma clave
conectado al sistema a la vez. La clave de una alumno es lo que vulgarmente se entiende como usuario;
en el caso de la universidad esa clave es el número de alumno.
iMat Servidores
84
Especificaciones de los equipos:
Caja fuerte.
LAMPERTZ DIS-DATASAFE S, modelo S120DIS
Servidor de base de datos. Dell PowerEdge 2850.
Doble procesador Xeon.
Doble fuente alimentación.
2GB RAM.
Discos sistema RAID1.
Discos de datos RAID 1+0.
Conexiones Gbit.
Servidores Web. Dell Optiblex GX280.
Pentium 4 HT.
2GB RAM.
Conexiones Gbit.
Firewall. Dell Poweredge 1750.
Pentium4 HT,
1GB RAM.
Conexiones Gbit.
Servidor paginas Web. (Servidor de ficheros). Dell Powervault 770F.
Doble procesador Xeon.
Doble fuente alimentación.
2GB RAM.
Discos sistema RAID1
Discos de datos RAID5
Conexiones Gbit.
iMat Servidores
85
Balanceador de carga. Alteon AD3.
8 puerto 10/100 + 1 puerto 1000 SX (Fibra)
Servidor replicación base de datos. Inves Pentium 4 HT.
2 GB RAM.
Disco sistema.
Disco datos
iMat Datos/Información
86
Datos / Información
Como se ha explicado anteriormente, la información académica que se maneja es la
misma para todas las aplicaciones de la universidad, obteniendo la información del
mismo servidor de datos. El servicio responsable de la gestión y mantenimiento de los
datos es el servicio de Gestión Académica (Secretaria General). Dicho servicio tiene
acceso a toda la información. Por lo tanto el sistema de matriculación (iMat) no es el
responsable de mantener la información, simplemente se encarga de obtener la necesaria
para cada usuario y gestiona las partes implicadas en la matriculación.
A la hora de hacer la matrícula, cada alumno ha de realizar la suya propia, pudiendo
llegar a modificarla, sin intervención del servicio de Gestión Académica, en tres
ocasiones. Si necesita o quiere modificarlo más veces debe solicitarlo en Gestión
Académica que le concederá o negará el permiso. Para poder conceder o denegar el
permiso es necesario logarse con un usuario de SG que tenga acceso a dicho privilegio
(no todos los usuarios de SG tienen este permiso). Lógicamente los usuarios con
permiso para modificar la información de los alumnos pueden modificar y acceder a la
información de las matrículas (o a cualquier otra información) las veces que quieran.
Es importante saber distinguir entre el servicio de Gestión Académica y el Servicio de
Matriculación. Ambos están estrechamente relacionados, pero cada uno tiene un campo
de acción definido con respecto a los datos (información). El sistema de matriculación,
iMat, lo único (aunque muy importante) que hace es cargar información sobre as
matrículas de los alumnos y gestionar éstas, pero otra cosa es la gestión o visualización
que se haga de los datos desde otros sistemas (con otros usuarios). En el momento en
que el usuario que accede a la matrícula (de forma legal y admitida por el sistema) no es
el alumno al que pertenece, es porque el acceso se hace con un usuario, del servicio de
Gestión Académica normalmente, siendo este sistema el que está usando los datos (no
iMat). iMat se encarga del proceso de matriculación del alumno, pero en ningún
momento de los datos del mismo. Los únicos datos modificados por iMat son los
relativos a la matrícula del alumno que ha accedido al sistema de matriculación.
Ya se ha especificado anteriormente que la autenticación se realiza mediante usuario
(número de alumno) y contraseña. A su vez, mediante componentes COM+, se verifica
que cada usuario sólo pueda tener levantada una sesión al mismo tiempo. Estos
componentes COM+ se encuentran situados en la capa de negocio.
iMat Datos/Información
87
Para acortar el alcance del sistema a analizar se va a tener en cuenta el acceso hecho por
los alumnos y los becarios. En relación a SG, sólo se va a tener en cuenta lo relacionado
con la matriculación (permisos de modificación).
iMat Seguridad de la Información
88
Seguridad de la información
Con relación a la seguridad de la información se realiza un backup diario del servidor
de Base de Datos, donde se encuentra dicha información. Este Backup se hace en
cintas. Para el último mes (es más reciente) se guardan las cintas de todos los días. El
resto de los meses poseen un Backup mensual. Para mayor seguridad también se realiza
un Backup trimestral y anual. En resumen:
• Realización de un Backup diario en cintas.
• Almacenamiento diario de los backups del último mes.
• Almacenamiento de la información del resto de los meses (en tres cintas).
• Almacenamiento de la información trimestral (en cuatro cintas).
• Almacenamiento de la información anual (en tres cintas).
Estos backups, realizados en cintas, se guardan en una caja de seguridad especial,
antimagnética y antiincendios. La llave de seguridad de dicha caja sólo a posee el
personal autorizado.
El servidor de datos cuenta con un servidor de back-up situado en Alberto Aguilera
25. Cada cinco minutos se realiza una copia entera del servidor al servidor de back-up
para, en caso de error en el servidor de datos, no perder la información. Como mucho se
pueden perder cinco minutos.
iMat está programado en VB 6.0 y se almacenan copias de seguridad de versiones
anteriores mediante Microsoft Visual Sourcesafe. Este programa permite volver e
versiones anteriores de programa o código en caso de fallo en la versión actual. Se han
hecho algunas pruebas para comprobar que esta regresión es posible aunque en
momentos excepcionales, sin llegar a establecer un método formal para pruebas de
regresión.
En lo referente al acceso a iMat, la conexión se realiza mediante HTTPS, iniciándose
con un proceso de validación en el que se pide el usuario y su contraseña. La
información se envía a los servidores de forma cifrada y mediante componentes COM+
para garantizar su integridad.
Si la conexión se realiza dentro desde un ordenador de la universidad, no se sale de la
Intranet de la organización (conexión más rápida y segura). Si por el contrario se realiza
iMat Seguridad de la Información
89
desde otra localización, la conexión usa Internet para enviar los datos. Para garantizar la
disponibilidad de la información y que se pueda siempre realizar esta conexión, la
universidad dispone de una conexión de fibra óptica suministrada por la RedIRIS. Esta
conexión posee una conexión de back-up que actúa de modo redundante por si falla la
otra conexión. En caso de que la universidad se quedase sin conexión a Internet, los
alumnos que lo sufrirían serían únicamente los que se quisiesen matricular desde casa.
Si se quiere matricular desde la universidad sería posible por estar usando sólo la
Intranet. Por ello es importante saber que el número de alumnos que realizan su
matrícula en lugares diferentes a la universidad está aumentando año a año por la
comodidad que supone, por lo que garantizar Internet es algo fundamental hoy en día.
iMat Aplicaciones asociadas a iMat
90
Aplicaciones asociadas a iMat
Además de lo que se ha definido como iMat, existen aplicaciones que también influyen
en el servicio de matriculación de la universidad y ayudan a un mejor funcionamiento
del mismo.
iMatBecarios es una aplicación usada por el personal de apoyo durante el periodo de
matrículas (alumnos que son contratados con éste propósito). Dicha aplicación permite
imprimir las matrículas de los alumnos y agilizar el proceso de presentación en
Secretaría General (SG).
Durante el periodo de matriculación existe otra aplicación usada únicamente por
personal autorizado (directores de departamento, decanos,...) que les da la posibilidad de
consultar en tiempo real el grado de ocupación de los grupos de las asignaturas de libre
elección, para saber si tienen que abrir más grupos o no van a cubrir los esperados.
Por último aunque existe una aplicación que permite a los jefes de estudio simular la
matricula de alumnos ficticios con casuísticas diferentes para saber si están todos los
casos de estudios estudiados. Por ejemplo: alumnos que no superan los créditos exigidos
para pasar de curso, alumnos que cogen más créditos de los permitidos, etc.
El alcance del análisis y gestión de riesgos abarcará iMat, iMat becarios y los datos
manejados por el resto de aplicaciones asociadas. En ningún caso abarcará los centros
de trabajo del personal de la universidad (despachos de directores, salas de ordenadores
de la universidad, etc.). Los únicos ordenadores a tener en cuenta serán los usados por
los becarios.
Interfaz de iMat con el usuario
Para la realización de las matrículas los alumnos interactúan con iMat a través de
páginas ASP (capa de presentación). Para que la conexión sea segura y no se quede
información incompleta, dichas páginas están encapsuladas en componentes COM+ que
evitan información corrupta o incompleta. Los pasos seguidos por el alumno a la hora
de realizar la matrícula comienzan mediante una validación (clave-contraseña) que se
envía al servidor encapsulada y cifrada para evitar su pérdida o posibles escuchas.
iMat Interfaz con el usuario
91
Figura 15. iMat, Validación.
Una vez se ha comprobado la autenticidad y validez del usuario (alumno) se comprueba
la carrera que está haciendo para mostrar en pantalla una respuesta positiva a la
validación.
Figura 16. iMat, Validación aceptada.
iMat Interfaz con el usuario
92
Se comprueban los datos que se han de cargar para la matriculación del alumno
(asignaturas de próximo curso, asignaturas pendientes, itinerarios, etc.), así como las
reglas y restricciones existentes (máximo número de créditos permitidos, selección de
un solo itinerario, restricción de asignaturas por no haber cursado algunas previas, etc.).
Todas estas restricciones se le muestran al alumno para facilitarle la matriculación.
Figura 17. iMat, información del plan de estudios de la carrera.
Figura 18.iMat, información para el alumno en relación a las restricciones.
iMat Interfaz con el usuario
93
El siguiente paso es el núcleo central para el alumno: la selección de las asignaturas.
Una vez el alumno ha decidido las asignaturas y pulsado el botón para pasar a la
siguiente fase, iMat ha de comprobar que todas las reglas se cumplen.
Figura 19. iMat, Selección de asignaturas por parte del alumno.
Figura 20. iMat, Presentación por parte de iMat de las asignaturas seleccionadas.
iMat Interfaz con el usuario
94
A continuación se le piden al alumno unos datos para completar la matrícula. Hay que
recordar que hasta la última pantalla, donde se dice claramente que la matrícula ha sido
aceptada, no termina el proceso de matriculación y, por consiguiente, la matrícula no es
válida hasta ese momento.
Figura 21. iMat, solicitud de información adicional.
iMat Interfaz con el usuario
95
Figura 22. iMat, Presentación final de la matrícula.
Figura 23. iMat, matrícula aceptada.
iMat Posibles daños en el sistema
96
Posibles riesgos
iMat es considerado un subsistema seguro dentro del sistema de información de la
universidad. Los riesgos descritos a continuación son los considerados por el personal
de STIC, encargado de gestionar y administrar iMat, antes de realizar el AGR sobre el
sistema.
Aunque lograr que iMat no funcionase correctamente sería tremendamente difícil,
podría darse el caso que no todos los posibles escenarios estuviesen cubiertos o tenidos
en consideración. Ese es el objetivo del análisis y gestión de riesgos, lograr que el
sistema sea todo lo seguro que la organización esté dispuesta a asumir (en relación a los
costes que esto supondría). A ser un ejemplo teórico se va a considerar que se busca la
lograr que el sistema sea lo más seguro posible, en términos teóricos.
Un posible mal funcionamiento del sistema provocaría que los alumnos no pudiesen
matricularse, con el descontento que esto provocaría. Ese descontento se traduciría en
pérdida de clientes y beneficios para la universidad y, lo que es más importante a largo
plazo, una pérdida de imagen enorme.
Algunos errores tipo de errores podrían darse a la hora de calcular el precio de la
matrícula o al presentar la oferta de asignaturas, si esto no fuese correcto podrían darse
casos de matrículas incorrectas e inválidas que el sistema aceptaría, el alumno realizaría
pero la universidad rechazaría.
Los fallos que se consideran en STIC que pueden llegar a darse son los que tienen que
ver con la presentación de las páginas presentadas. Puede que algún campo no esté
controlado, que no se hayan “capado” los valores que provocarían errores (ej. DNI
demasiado largo). Es importante recordar que iMat también controla el nivel de
ocupación de los grupos de asignaturas optativas y de libre elección para decidir si se
presentan o no. Si se presentasen asignaturas que estuvieran llenas o que no fuesen
válidas podrían darse casos de matrículas inválidas.
Otro tipo de errores podrían darse en los equipos, provocados por un estudio
insuficiente de la dimensión del sistema y los equipos necesarios para su correcto
funcionamiento, por un accidente en las instalaciones o por un error en los equipos.
La conexión a Internet es suministrada mediante dos fibras ópticas gestionadas por las
RedIRIS (como a todas las universidades). No se dispone de un proveedor secundario.
iMat Posibles daños en el sistema
97
Por lo tanto hay un riesgo latente en el caso de que la RedIRIS falle, hay una
dependencia total en relación a este servicio. Hay que tener en cuenta que sin Internet la
red interna (Intranet) sí que funcionaría correctamente.
Todos los posibles riesgos han de ser estudiados en un Análisis y Gestión de Riesgos,
siendo el propósito del siguiente capítulo.
98
Análisis y Gestión de Riesgos en iMat
Análisis y Gestión de Riesgos en iMat Planificación
Estudio de oportunidad
99
El objetivo de este análisis y gestión de riesgos es plasmar mediante un ejemplo la
forma en la que se ha de realizar un AGR. El sistema de información a analizar es iMat,
explicado en el capítulo anterior. En cada una de las actividades y tareas a realizar se va
a explicar en qué consiste, qué se ha de alcanzar y cómo hacerlo. EAR es la herramienta
informática que se va a usar para llevar a cabo el AGR siguiendo la metodología
Magerit.
P1: Planificación
A1.1: Estudio de oportunidad
El objetivo de esta actividad es lograr sensibilizar a la Dirección de la Organización de
la necesidad de elaborar un proyecto AGR.
T1.1.1: Determinar la oportunidad
Objetivo
� Identificar o suscitar el interés de la Dirección de la Organización en la
realización de un proyecto AGR.
Esta tarea suele realizarse mediante entrevistas y reuniones con la directiva de la
Organización para, de este modo, hacer ver la necesidad de la seguridad y los
problemas que pueden derivar por no tener un sistema de seguridad correcto. La
dirección suele comprender las ventajas que reportan los sistemas de información
(tanto para la imagen de la Organización como para la comodidad en el desempeño de
las actividades) [MAGE05].
La iniciativa ha de partir de un promotor, interno o externo a la Organización,
consciente de los problemas relacionados con la seguridad de los sistemas de
información. Dicho promotor ha de elaborar un informa preliminar para lograr el visto
bueno de la dirección [MAGE05].
Promotor del proyecto: Eduardo Ferrero Recaséns
Informe preliminar
Análisis y Gestión de Riesgos en iMat Planificación
Estudio de oportunidad
100
El sistema de matriculación, iMat, de la Universidad Pontificia de Comillas
(Organización) es el medio por el cual se realizan las matrículas en la universidad. El
método alternativo es realizar la matricula en Secretaria General de forma manual;
método lento, con mayor posibilidad a fallos y que supone un coste de tiempo y
personal grande para la universidad en periodos de matriculación.
El servicio facilita la realización y modificación de la matrícula a través de la intranet
de la universidad o desde cualquier otro lugar. Sólo se necesita tener un ordenador
con acceso a Internet e introducir el usuario y la contraseña necesaria para acceder a
la información académica del alumno y hacer la matrícula. Dependiendo del alumno
las posibilidades que se le ofrecen varían, incluyendo el número de créditos que de
los que puede matricularse, las asignaturas que puede cursar, etc.
Si en algún momento iMat o los datos necesarios fallan, la matriculación de todos los
alumnos puede llegar a ser caótica, principalmente si esto pasa en verano (de junio a
septiembre), octubre o febrero, donde el número de matrículas a realizar puede llegar
a ascender hasta un número máximo potencial de 7500. La única alternativa posible
sería encargar al personal de Secretaria (Gestión Académica) la realización de las
matrículas manualmente ayudándose de personal temporal que habría que contratar
para este servicio. Los gastos derivados en tiempo perdido por el personal que
desviaría su actividad principal a este propósito, así las pérdidas económicas por
pérdidas de futuros alumnos y lo que puede llegar a ser más importante: el daño de
imagen que causaría a la universidad (no hay que olvidar que una universidad se
alimenta del prestigio que posee de cara a la sociedad). Hasta la fecha los únicos
momentos críticos que se recuerdan son fallos puntuales de los servidores Web, pero
nunca se pueden descartar los riesgos potenciales.
Cabe destacar que durante los meses de septiembre y octubre, meses críticos para
iMat, pueden llegar a producirse 1000 accesos diarios a iMat (creación, modificación
y/o visualización de matrículas). Anualmente se realizan aproximadamente 7000
matrículas usando iMat sobre las 7500 potenciales. Comillas posee 11000 alumnos
aproximadamente, de los cuales 7500 son de primer o segundo ciclo y el resto
pertenecen a postgrado o doctorado. Estos últimos no usan iMat.
Del mismo modo existen aplicaciones como iMatBecarios o aplicaciones especiales
Análisis y Gestión de Riesgos en iMat Planificación
Estudio de oportunidad
101
para personal autorizado (directores, decanos, etc.) que se apoyan en los servicios de
iMat para crear funciones especiales. Por ejemplo iMatBecarios es la aplicación
usada por los becarios, en los periodos de matriculación, que les permite visualizar
las matrículas de los alumnos para imprimirla y agilizar el proceso de presentación en
Secretaria General (SG). Los directores de departamentos pueden usar una aplicación
que les permite ver las asignaturas de libre elección en tiempo real para ver su grado
de ocupación y poder gestionar dichas asignaturas de forma mejor.
Por todo ello se considera la necesidad de llevar a cabo un análisis y gestión de
riesgos sobre iMat y los datos que maneja para reducir los posibles riesgos al mínimo
así como ayudar a saber que hacer en caso de fallo, solventando dicho fallo en el
menor tiempo posible.
Comité de seguimiento1
Director del proyecto (Isdefe2 - Departamento de Seguridad):
� Ramón Arias Ruiz de Somavia (rarias@isdefe.es)
Promotor y analista:
� Eduardo Ferrero Recaséns (eduardo.ferrero.recasens@gmail.com)
Subdirector de STIC3; y Coordinador del grupo de trabajo de la Web de
Comillas:
� José María Ortiz Lozano (jmortiz@stic.upcomillas.es)
1 En este caso el comité está formado por las personas que han colaborado de forma activa en el proyecto.
Es un comité informal que para el ejemplo se considera válido, aunque en la práctica habría que
establecer formalmente a los participantes en el proyecto y sus responsabilidades.
2 Isdefe (Ingeniería de Sistemas para la Defensa de España, S.A.). Empresa pública española creada en el
año 1985 con objeto de proporcionar apoyo técnico de ingeniería y servicios de consultoría en tecnologías
avanzadas, tanto en el sector de defensa como en el ámbito civil. (http://www.isdefe.es)
3 STIC: Servicio de Sistemas y Tecnologías de la Información y Comunicación de la Universidad
Pontificia de Comillas.
Análisis y Gestión de Riesgos en iMat Planificación
Estudio de oportunidad
102
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
103
A1.2: Determinación del alcance del proyecto
A la hora de hacer un proyecto de análisis y gestión de riesgos se han de definir de
forma concreta los límites del dominio que se va a estudiar. Tener los conceptos de
dominio correctamente definidos es primordial para lograr alcanzar unos resultados
finales correctos y que se ajusten a la realidad [MAGE05].
Querer abarcar un sistema de información demasiado amplio puede dar lugar a olvidos
en el análisis, así como a no llegar a profundizar todo lo que se debe. Por ello se
recomienda analizar sistemas acotados y bien definidos. Es conveniente realizar
análisis de sistemas de información concretos y, posteriormente, unirlos para tener un
análisis completo del sistema que intentar abarcar todo de una sola vez [MAGE05].
En el ejemplo a tratar el sistema de información, iMat, pertenece a su vez a un sistema
mucho mayor como es el de la Universidad Pontificia de Comillas. Sin embargo el
análisis sólo se centra en el dominio que se refiere a iMat por la razón expuesta
anteriormente.
iMat se encuentra definida y explicada en la parte del proyecto llamado con el mismo
nombre. El alcance que se le va a dar al proyecto se centra en iMat y la aplicación usada
por los becarios para la impresión de matrículas en periodo de matriculación
(iMatBecarios).
También se van a tener en cuenta los servidores (Web, de balanceo, de datos, etc.), el
entorno que les rodea y la información que manejan. No hay que olvidar que lo que se
pretende es lograr un sistema seguro en el que los riegos estén identificados y
controlados. En última instancia se pretende proteger la imagen de la Universidad de
cara al público. Un fallo en iMat podría suponer una pérdida de imagen y prestigio muy
dura, que llevaría consigo unas pérdidas económicas elevadas, pérdidas de futuros
alumnos, tiempo del personal, etc.
No se van a tener en cuenta los ordenadores personales instalados en las aulas de
informática por considerarse que no están pensados para este propósito. La
matriculación se puede realizar desde casa a través de Internet. Sí se van a tener en
cuenta los ordenadores de SG ya que son una parte fundamental del trabajo
desempeñado este personal. Además, estos ordenadores son los que se usan para
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
104
acceder al sistema de Gestión Académica e imprimir las matrículas, así como para
otorgar más permisos de modificación de matrícula.
Durante los periodos de matriculación se suelen facilitar unos ordenadores en el pasillo
del edificio de ICADE (Alberto Aguilera 25) que son usados en exclusiva para realizar
las matrículas. Al lado de estos ordenadores se instala el puesto de trabajo de los
becarios que ayudan en el proceso de matriculación (dicho puesto consta de ordenadores
e impresora). Este montaje temporal se tendrá en cuenta, pero siempre sabiendo que no
es un elemento imprescindible para la realización de matrículas.
T1.2.1: Objetivos y restricciones generales
Los participantes en esta tarea son los miembros del comité de seguimiento definido en
la tarea T1.1.1.
Objetivos
� Determinar los objetivos del proyecto, diferenciados según horizontes
temporales a corto y medio plazo.
� Determinar las restricciones generales que se imponen sobre el proyecto
Se han definir los objetivos del proyecto y diferenciar los horizontes temporales a corto
y medio plazo. En este caso, al tratarse de un proyecto final de carrera, los objetivos son
analizar el sistema y dar a conocer los resultados al personal encargado. Para ello se
cuenta con el apoyo del STIC, que proporciona a través de José María Ortíz Lozano la
información necesaria para realizar el análisis y gestión de riesgos. En un proyecto
normal los objetivos a corto plazo serían los de asegurar el sistema de información ante
los riesgos más graves y/o comunes; y a medio plazo dotar al sistema de una fiabilidad
casi completa (nunca se puede asegurar la seguridad al 100%).
El proyecto va a analizar el sistema basándose en la UNE/ISO 177991 y en las
especificaciones de seguridad de la UNE 715012.
1 UNE-ISO/IEC 17799: tecnología de la Información. código de buenas prácticas para la Gestión de la
Seguridad de la Información. Noviembre de 2005. Se aplicará esta norma por ser la usada en EAR 3.0
BETA, herramienta usada en el análisis.
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
105
Restricciones
Políticas o gerenciales Al tratarse de un ejemplo no se considera este factor.
Estratégicas
El sistema influye en gran medida en el prestigio de la
Universidad por el la forma en que alumnos (nuevos
o no) realizan su matrícula. Es la imagen inicial de la
universidad de cara al público.
Geográficas La información y el centro de procesos del sistema se
encuentra en Alberto Aguilera 23, tercera planta
Temporales
El proyecto ha de acabarse antes del periodo de
matriculación para dar a conocer los datos del mismo
al STIC (al ser un ejemplo no se va a poner en
práctica).
Los periodos críticos de matriculación: Desde Junio
hasta Octubre (incluidos) y Febrero.
La información que maneja iMat ha de estar
actualizada en tiempo real para evitar inconsistencias.
2 UNE 71501: Tecnología de la información (TI). Guía para la Gestión de la Seguridad de TI. Noviembre
de 2001. Norma creada por AENOR. Esta norma se divide en tres partes:
Parte 1: Conceptos y modelos para la Seguridad de TI.
Parte 2. Gestión y planificación de la seguridad de TI.
Parte 3: Técnicas para la gestión de la seguridad de TI.
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
106
Estructurales
iMat es la forma de realizar la matrícula para alumnos
de licenciaturas y diplomaturas. No existe otro
método válido a menos que iMat falle.
Los datos manejados por iMat son los que se usan
para todos los sistemas de la universidad que
necesiten información del mismo tipo (acerca de los
alumnos).
Funcionales
iMat es la forma de captar alumnos y crecer.
El funcionamiento correcto de iMat permite liberar
carga de trabajo al personal de SG y escuelas.
Legales
La información manejada se rige por la LOPD3, por
lo que ha de cumplir unos controles concretos y ser
manejada correctamente.
Relacionadas con el personal
El Servicio de Gestión Académica usa el sistema para
apoyarse en la gestión de los datos de los alumnos.
Becarios, profesores, directores,… han de poder
desempeñar sus funciones relacionadas con la
matriculación.
Metodológicas
Los datos manejados por iMat son los que se usan
para todos los sistemas de la universidad que
necesiten información del mismo tipo (acerca de los
alumnos, asignaturas, etc.).
Culturales Política de innovación adoptada por la universidad de
cara al público.
3 LOPD: Ley Orgánica de Protección de Datos
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
107
Presupuestarias Al tratarse de un ejemplo no se considera este factor.
Tabla 1. Restricciones.
T1.2.2: Determinación del dominio y límites
Esta tarea presume un principio básico: el análisis y gestión de riesgos debe centrarse
en un dominio limitado, que puede incluir varias unidades o mantenerse dentro de una
sola unidad, ya que un proyecto de ámbito demasiado amplio o indeterminado podría
ser inabarcable, por excesivamente generalista o por demasiado extendido en el
tiempo, con perjuicio en las estimaciones de los elementos del análisis.
En esta tarea se identifican las unidades objeto del proyecto así como las
características generales de dichas unidades [MAGE05].
Objetivo
� Determinar el dominio, alcance o perímetro del proyecto AGR.
Diagramas de proceso más importantes4 [BARR01] [MAGE05]
Figura 24. Representación empleada en los diagramas de proceso
4 El tipo de diagrama de procesos usado es SADT (Structured Analysis and Design Technique).
Actividad Entrada
Control
Mecanismos
Salida
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
108
Impresión de matrícula a través de iMatBecarios
Figura 25. Impresión de matrícula a través de iMatBecarios
Autenticar becario para
otorgar permisos
Imprimir matrícula
3
Clave y
contraseña
Clave alumno
Adquisición de permisos
Matrícula del alumno
Matrícula
imprimida
Becarios de la universidad
Servidor de datos y Servidores Web
1
Acceder a la matrícula del alumno
2
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
109
Procesos de Matriculación realizado por un alumno.
Figura 26. Procesos de Matriculación realizado por un alumno
Autenticación
del alumno*
Selección de
asignaturas
Confirmación
matrícula
Gestión de
asignaturas
Grado de ocupación de las asignaturas
Listado de asignaturas posibles a seleccionar
1
Alumno de la universidad o aceptado y situación
Asignaturas seleccionadas
2
Precio estimado sin descuentos
Reserva de asignaturas para el alumno
Datos alumno (bancarios, familiares, personales)
Normas para descuentos
Matrícula confirmada o
rechazada
* Se estudia el expediente del alumno y las normas que se establecen al respecto cada facultad o
escuela. Una vez comparado su expediente contra estas normas al alumno se le categoriza de tal
forma que lleva implícita la oferta de asignaturas de la que puede matricularse.
** Confirmación o liberación de la reserva de las asignaturas
3
4
Servidor de datos y Servidores Web
Clave y
contraseña
alumno
**
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
110
Modificación de la matrícula
Figura 27. Modificación de la matrícula
No siempre es posible modificar la matrícula por parte de un alumno. Un alumno puede
modificar su matrícula tres veces. Si desea hacerlo más veces ha de solicitarlo en SG,
otorgándole más modificaciones (una cada vez que lo solicita).
Las unidades involucradas en el sistema de matriculación son:
� STIC, encargado de gestionar iMat y mantener su correcto funcionamiento.
� SG, encargada del proceso y gestión de matriculación de los alumnos. A su vez
es la que otorga nuevos permisos para la modificación de la matrícula a los
alumnos.
Autenticación
del alumno
Modificar
matrícula
Confirmación
matrícula
Gestión de
asignaturas
Matrícula
1
Matrícula existente
2
Precio estimado sin descuentos
Reserva de asignaturas para el alumno
Datos alumno (bancarios, familiares, personales)
Normas para descuentos
Aceptación / Rechazo
Matrícula confirmada o
rechazada
* Confirmación o liberación de la reserva de las asignaturas
3
4
*
Servidor de datos y Servidores Web
Matrícula
existente Aceptación o rechazo para modificar la matrícula (depende de SG)
Nuevas asignaturas seleccionadas
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
111
� Departamentos que usan la información (directores de departamento, jefes de
estudio, becarios, etc.).
El dominio del sistema engloba principalmente el uso de los servidores y las
aplicaciones que facilitan todas las funcionalidades existentes en el proceso de
matriculación. Entre estas funcionalidades ya se han comentado algunas como
iMatBecarios, aplicaciones para la gestión por parte de directores de departamento o
jefes de estudio, así como la propia aplicación de matriculación (iMat propiamente
dicho). A su vez se considera que el personal no es objeto de estudio por su movilidad e
implicación parcial en este sistema, teniendo otras funciones principales.
Como ya se ha comentado anteriormente, se considera que las aulas de informática no
son objeto del dominio por poder usar todos los ordenadores de la escuela o los de
cualquier lugar (casa, oficina, cibercafé…). Sin embargo, sí se van a tener en cuenta los
ordenadores facilitados exclusivamente para la matriculación. Dichos ordenadores, así
como el puesto de becarios, se encuentra situado en el pasillo de la planta baja de
Alberto Aguilera 23.
En los diagramas de procesos realizados se ha podido comprobar que lo único
imprescindible para la existencia de iMat son los servidores y las aplicaciones
específicas. Esto se explicará en la parte de análisis del sistema. Los datos, aunque
esencial, no son propios de iMat, a pesar de que sí se van a tener en cuenta a la hora de
realizar el análisis.
T1.2.3: Identificación del entorno
Se realiza un estudio global de las unidades de información y el uso que hacen de los
sistemas de información. Esta tarea se realiza con objeto de identificar sus funciones y
finalidades principales y relaciones con el entorno, así como sus tendencias de
evolución [MAGE05].
Objetivos
� Definir el perímetro de dominio.
� Definir las relaciones entre el interior del dominio y el entorno.
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
112
Para realizar la identificación del entorno se van a usar diagramas de flujo de datos y
proceso. Con los diagramas de flujo de datos se podrán identificar los movimientos de
información que se realizan en el sistema. Así mismo, los diagramas de proceso, hechos
en la tarea T1.2.2, nos sirven para identificar las distintas actividades. Todos los
diagramas están acotados al problema que nos interesa, obviando el resto de
información, procesos o funcionalidades que puedan existir.
Diagramas de flujo de datos[BARR01] [MAGE05]
1
Sistemade
Matriculación
a
Alumnos
c
Escuelasy
departamentos
b
Secretaria
general (SG)
d
Becarios
Autenticación
MatrículaDatos Bancarios
Confirmación
Datos alumno
OK/REJ_iMat
Autenticación
Modif. asig.
Info. Asig.
OK
Datos alumno
Matrícula
OK
PermisoModificación
Clave alumno
Autenticación
OK
Clave alumno
Autenticación
Figura 28. Diagrama de contexto
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
113
1.1
Autenticación
1.2
Procesadode Matrícula
1.3
Sistema
Matrículación Becarios
1.4
Sistema
Matriculación Escuelas
1.5
SistemaSG
Datos alumno
OK/REJ_iMat
Matrícula
Datos Bancarios
Confirmación
Modif. asig.
OK
PermisoModificación
Clave alumno
Autenticación
Datos alumno
Matrícula
OK
OK
Info. Asig.
Datos alumno
OK
Figura 29. Diagrama conceptual
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
114
1.1.1
Validación
1.1.2
Creaciónopciones matrícula
1.1.3
Obtenciónde permisos
D1 Alumnos D2 Personal D3
Reglas
y Escuelas
Datos alumno
Reglas a
aplicar
Permisos
Permisos
OK
Clave &
Contraseña
Autenticación
Datos alumno
Datos alumno
Clave &
Contraseña
Figura 30. Autenticación
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
115
1.2.1
Realización
matrícula
1.2.2
Comprobación
de
matrícula
1.2.4
Confirmación
1.2.3
Datos
Bancarios
D1 Alumnos D3Reglasy
Escuelas
Datos alumno
Matrícula
OK/REJ_iMat
Datos alumno
Matrícula
Reglas a
aplicar
Confirmación Datos Bancarios
Datos Bancarios
Datos Bancarios
Matrícula
Matrícula &
Datos
Figura 31. Procesado de matrícula
1.3.1
Obtenciónmatrícula
1.3.2
Imprimirmatrícula
D1 Alumnos
Clave alumno
Imprimir
Matrícula
OK
Figura 32Sistema de matriculación Becarios
Análisis y Gestión de Riesgos en iMat Planificación
Determinación del alcance del proyecto
116
1.4.1
Obtenciónasignaturas
1.4.2
Modificacióndatos asignatura
D3Reglasy Escuelas
OK
Info. Asig.
Modif. asig.
Asignatura
Asignaturas
Figura 33 Sistema de matriculación escuelas
1.5.1
Info.alumno
1.5.2
Obtenciónpermisos
D1 Alumnos
OK
Datos alumno
PermisoModificación
Datos alumno
Figura 34. Sistema SG
T1.2.4: Estimación de dimensiones y coste
Objetivos
� Determinar el dominio, alcance o perímetro del proyecto.
Esta tarea del proyecto busca identificar las unidades de objeto, los costes que
produciría incluirla en el proyecto y el beneficio que generaría. Para ello se lleva a
cabo un análisis coste-beneficio [MAGE05].
Para este proyecto esta tarea no se lleva a cabo.
Análisis y Gestión de Riesgos en iMat Planificación
Planificación del proyecto
117
A1.3: Planificación del proyecto
En esta actividad se determinan los participantes en el proyecto, determinando sus
cargas de trabajo, su estructuración en grupos y su modo de actuación. En este proyecto
esta actividad se va a realizar de forma general, sin detallar demasiado. Esto será así ya
que en este caso el grupo de trabajo es limitado (listado en la tarea T1.1.1) y el análisis
que se va a realizar es didáctico y no práctico.
T1.3.1: Evaluar cargas y planificar entrevistas
Si se va a realizar alguna entrevista se ha de informar a qué persona se va a
entrevistar, cuándo y con que objetivo. Es especialmente importante cuando los sujetos
a entrevistar se hayan en diferentes localizaciones geográficas [MAGE05].
Es conveniente ordenar las entrevistas de forma que primero se recaben las opiniones
más técnicas y posteriormente las gerenciales.
Objetivos
� Definir los grupos de interlocutores: usuarios afectados en cada unidad.
� Planificar las entrevistas de recogida de información.
Los grupos afectados han sido descritos en la actividad T1.2.2. Así mismo, la persona
que proporciona la información acerca del sistema es Don José María Ortiz Lozano,
subdirector de STIC y Coordinador del grupo de trabajo de la Web de Comillas.
La recogida de información se llevará a cabo mediante preguntas concretas que se
realizarán en el momento en que se requiera dicha información. Además se tendrá una
reunión con Don José María Ortiz Lozano para entender mejor el funcionamiento del
sistema y poder ver físicamente el emplazamiento de los servidores y demás hardware.
Dicha entrevista tendrá lugar el 5 de Abril a las 12 del mediodía en Alberto Aguilera 23,
lugar donde se encuentra iMat.
Así mismo se establecerán contactos periódicos con el director del proyecto, Don
Ramón Arias Ruiz de Somavia con el fin de enfocar mejor la realización del análisis.
Análisis y Gestión de Riesgos en iMat Planificación
Planificación del proyecto
118
T1.3.2: Organizar a los participantes
Objetivos
� Determinar los órganos participantes en la gestión, realización, seguimiento y
mantenimiento del proyecto. Realizado anteriormente.
� Definir las funciones y responsabilidades de los órganos participantes. Realizado
anteriormente.
� Establecer las reglas y los modos operativos.
� Establecer la clasificación de la información generada.
En las tareas T1.1.1 y T1.2.2 se definió y concretó el primer objetivo citado en esta
actividad. Como ya se ha comentado, SG y escuelas no participan en el proyecto. STIC
es la única parte de la universidad que toma parte en el proyecto. La tarea T1.1.1
también abarca el segundo objetivo de esta actividad.
La información y documentación que se va a generar durante el proyecto tomará la
clasificación de difusión limitada o sin clasificar.
T1.3.3: Planificar el trabajo
Objetivos
� Elaborar el calendario concreto de realización de las distintas etapas, actividades
y tareas del proyecto.
� Establecer un calendario de seguimiento que defina las fechas tentativas de
reuniones del comité de dirección, el plan de entregas de los productos, las
posibles modificaciones en los objetivos marcados, etc.
Al realizarse el proyecto desde la distancia, las reuniones en este caso no son
importantes. La única planificada en persona es el 5 de Abril, el resto se harán vía
correo electrónico.
Calendario de actividades
Este calendario es considerado flexible, pudiendo sufrir alteraciones.
• Febrero:
Análisis y Gestión de Riesgos en iMat Planificación
Planificación del proyecto
119
� Explicación de la gestión de la seguridad de TI.
• Marzo:
� Explicación de iMat y planificación del proyecto. Hasta el 20 de Febrero:
Explicación de MAGERIT y definición detallada del ejemplo teórico que
se va a analizar.
• Abril:
� Caracterización de los activos.
� Caracterización de las amenazas.
� Caracterización de las salvaguardas.
� Estimación del estado de riesgo.
• Mayo:
� Gestión de riesgos: Selección de las salvaguardas ISO, plan de seguridad
(planificación).
� Conclusión y revisión del proyecto.
Análisis y Gestión de Riesgos en iMat Planificación
Lanzamiento del proyecto
120
A1.3: Lanzamiento del proyecto
En esta etapa se termina de preparar el lanzamiento del proyecto. Se seleccionan y
adaptan cuestionarios para la recogida de datos; se especifican las técnicas y reglas
que se van a emplear, se asignan los recursos para la realización del proyecto y se
realiza una campaña informativa de sensibilización a los implicados.
En el caso de estudio los cuestionarios son las preguntas realizadas mediante correos
electrónicos y llamadas telefónicas. Así mismo ya se han explicado el resto de detalles
sobre la recogida de información en la actividad T1.3.1.
Las técnicas a emplear son las que se especifican y recomiendan en MAGERIT.
T1.4.1: Adaptar los cuestionarios
Los cuestionarios se adaptan con el objetivo de identificar correctamente los elementos
de trabajo: activos, amenazas, vulnerabilidades, impactos, salvaguardas existentes,
restricciones generales, etc. en previsión de las necesidades de as actividades A2.1
(caracterización de los activos), A2.2 (caracterización de las amenazas) y A2.3
(caracterización de las salvaguardas).
Objetivos
� Identificar la información relevante a obtener, agruparla de acuerdo a la
estructura de unidades y roles de los participantes.
La información relevante acerca del caso de estudio se puede consultar en la parte
específica del sistema (iMat). Dicha información ha sido elaborada y estructura de
acuerdo con la información facilitada por el STIC por medio de José María Ortíz
Lozano. La información ha sido estructurada por Eduardo Ferrero Recaséns, autor de
este proyecto, y revisada por Ramón Arias Ruiz de Somavia, director del mismo.
T1.4.2: Criterios de evaluación
Objetivos
� Determinar el catálogo de tipos de activos.
� Determinar las dimensiones de valoración de activos.
Análisis y Gestión de Riesgos en iMat Planificación
Lanzamiento del proyecto
121
� Determinar los niveles de valoración de activos. Incluyendo una guía unificada
de criterios para asignar un cierto nivel a un cierto activo.
� Determinar los niveles de valoración de las amenazas: Frecuencia y
degradación.
Un activo puede ser valioso desde diferentes puntos de vista. A estos distintos puntos de
vista es a lo que se llama dimensiones.
Un aspecto, diferenciado de otros posibles aspectos, respecto del que
podemos medir el valor de un activo en el sentido del perjuicio que nos
causaría su pérdida de valor. (Definición de dimensión según Magerit)
[MAGE05].
Las dimensiones definidas por Magerit son [MAGE05]:
• Disponibilidad. Aseguramiento de que los usuarios autorizados tienen acceso
cuando lo requieran a la información y sus activos asociados.
• Integridad. Garantía de la exactitud y completitud de la información y los
métodos de su procesamiento.
• Confidencialidad. Aseguramiento de que la información es accesible sólo para
aquellos autorizados a tener acceso.
• Autenticidad. Aseguramiento de la identidad u origen.
• Trazabilidad (accountability). Aseguramiento de que en todo momento se
podrá determinar quién hizo qué y en qué momento. Esta última se ha añadido
debido a la importancia de saber que se hace con los datos y quien lo hace en
cada momento.
Las dos últimas cada vez están siendo más importantes en contextos como el comercio
electrónico o la administración electrónica.
EAR, de acuerdo con las especificaciones realizadas en Magerit, divide estas cuatro
dimensiones en siete.
• [D] Disponibilidad. Aseguramiento de que los usuarios autorizados tienen
acceso cuando lo requieran a la información y sus activos asociados.
Análisis y Gestión de Riesgos en iMat Planificación
Lanzamiento del proyecto
122
• [I] Integridad. Garantía de la exactitud y completitud de la información y los
métodos de su procesamiento.
• [C] Confidencialidad. Aseguramiento de que la información es accesible sólo
para aquellos autorizados a tener acceso.
• [A_S] Autenticidad de los usuarios del servicio. Aseguramiento de la
identidad u origen.
• [A_D] Autenticidad del origen de los datos. Aseguramiento de la identidad u
origen.
• [T_S] Trazabilidad del servicio. Aseguramiento de que en todo momento
podremos determinar quién hizo qué y en qué momento.
• [T_D] Trazabilidad de los datos. Aseguramiento de que en todo momento
podremos determinar quién hizo qué y en qué momento.
En el AGR1 que se va a realizar se van a tener en cuenta las dimensiones D, I, C. Estas
son las dimensiones que se tienen en cuenta normalmente en las organizaciones así
como en la OTAN o ISDEFE.
Las amenazas que se van a contemplar son las especificadas en Magerit y recomendadas
por la UNE-ISO/IEC 177992. De estas amenazas se van a suprimir las que se consideran
no factibles o irrelevantes para el estudio del sistema. En el aparatado A2.2 se
especificarán y estudiarán con mayor detalle las amenazas a considerar.
T1.4.3: Recursos necesarios
Objetivos
� Asignar los recursos necesarios (humanos, de organización, técnicos, etc.) para
la realización del proyecto AGR.
Para este proyecto esta tarea no se lleva a cabo.
1 AGR: Análisis y Gestión de Riesgos.
2 UNE-ISO/IEC 17799 Tecnología de la información. Código de buenas prácticas para la Gestión de la
Seguridad de la Información.
Análisis y Gestión de Riesgos en iMat Planificación
Lanzamiento del proyecto
123
T1.4.4: Sensibilización
En esta tarea se han de entregar los informes pertinentes a la dirección, informar de las
intenciones y objetivos perseguidos con la realización del proyecto, etc.
Objetivos
� Informar a las unidades afectadas.
� Crear un ambiente de conocimiento general de los objetivos, responsables y
plazos.
En el caso del proyecto que nos ocupa esta tarea no se puede realizar por no existir
dirección alguna. Para compensar esto se ha acordado aprobar los objetivos del proyecto
por parte de todos los implicados.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
124
P2: Análisis de Riesgos
Este proceso es el núcleo central de Magerit y su correcta aplicación condiciona la
validez y utilidad de todo el proyecto. La identificación y estimación de los activos y de
las posibles amenazas que les acechan representa una tarea compleja.
Este proceso tiene los siguientes objetivos [MAGE05]:
• Levantar un modelo del valor del sistema, identificando y valorando los activos
relevantes.
• Levantar un mapa de riesgos del sistema, identificando y valorando las
amenazas sobre aquellos activos.
• Levantar un conocimiento de la situación actual de salvaguardas.
• Evaluar el impacto posible sobre el sistema en estudio, tanto el impacto
potencial (sin salvaguardas), como el impacto residual (incluyendo el efecto de
las salvaguardas implementadas si se trata de un sistema actual, no de un sistema
previsto).
• Evaluar el riesgo del sistema en estudio, tanto el riesgo potencial (sin
salvaguardas), como el riesgo residual (incluyendo el efecto de las salvaguardas
implementadas si se trata de un sistema actual, no de un sistema previsto).
• Mostrar al comité director las áreas del sistema con mayor impacto y/o riesgo.
El punto de partida de este proceso es la documentación obtenida en el proceso de
planificación.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
125
A2.1: Caracterización de activos
El objetivo de las tareas englobadas en esta actividad es reconocer los activos que
componen los procesos, y definir las dependencias entre ellos. Así, y a partir de la
información recopilada en las actividades anteriores, esta actividad profundiza el
estudio de los activos con vistas a obtener la información necesaria para realizar las
estimaciones de riesgo [MAGE05].
A la hora de identificar activos hay que saber que se puede considerar activo. Esta
actividad puede llegar a ser una de las más complicadas en todo el AGR.
Siempre son activos Pueden ser activos (depende de la
opinión del analista)
• Información
o (datos funcionales)
• Aplicaciones (SW)
• Equipos (HW)
• Comunicaciones
• Locales
• Intangibles
• Servicios
o a usuario final (ext)
o Intermedios (int)
• Personas
o Usuarios
o Operadores
o Administradores
o desarrolladores
Tabla 2. Posibles activos a considerar en un AGR
Es frecuente que las tareas relacionadas con los activos se realicen concurrentemente
con las tareas relacionadas con las amenazas sobre dichos activos (A2.2) e
identificación de las salvaguardas actuales (A2.3), simplemente porque suelen coincidir
las personas y es difícil que el interlocutor no tienda de forma natural a tratar cada
activo “verticalmente”, viendo todo lo que le afecta antes de pasar al siguiente.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
126
T2.1.1: Identificación de los activos
Objetivos
� Identificar los activos que componen el dominio, determinando sus
características, atributos y clasificación en los tipos determinados
Al hacer el proyecto con EAR, esta herramienta ayuda a organizar los activos según la
metodología, estructurándola y clasificándola de forma sencilla y fácil de identificar en
el análisis posteriormente.
Basándose en la tabla 1, los tipos de activos pueden clasificarse de la siguiente forma:
• Servicios
• Datos/Información
• Aplicaciones (software)
• Equipos informáticos (hardware)
• Redes de comunicaciones
• Soportes de información (media)
• Equipamiento auxiliar
• Instalaciones
• Personal
Los datos/información es lo que se pretende proteger en última instancia. Por este
motivo la información merece una clasificación más detallada:
Datos / Información
• [per]datos de carácter personal
• [com] de interés comercial
• [adm] administración pública
• [int] administración interna
• [conf] configuración
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
127
• [src] código fuente
• [test] datos de prueba
• [log] registros
Los datos pueden ser de varios tipos según la clasificación de confidencialidad que se
les otorgue:
• [S] Secretos
• [R] Reservados
• [C] Confidenciales
• [DL] De difusión limitada
• [SC] Sin clasificar
Los activos en iMat son:
[S] Servicios
[MAT] Matriculación
[IMPR_BEC] Impresión Becarios
[I] Información
[I_A] Información Alumnos
[I_B] Información Becarios
[I_ASIG] Información Asignaturas
[I_DEP] Información departamentos
[I_STIC] Información STIC
[I_CONF] Información de configuración
[I_LOG] Información de Log
[I_COD] Código Fuente
[A] Aplicaciones
[IMAT] iMat
[IMATBEC] iMatbecarios
[SW_BASE] Software base
[BBDD] SQL Server 2000
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
128
[SO] Sistema Operativo
[VB] Visual Basic 6.0
[E] Equipamiento
[SERV] Servidores
[SERV_DAT] Servidor de Datos
[SERV_BAL] Servidor de balanceo
[SERV_FICH] Servidor de Ficheros
[SERV_WEB] Servidores Web
[SERV_BACK] Servidor de back-up
[IMP_BEC] Impresora becarios
[PC_BEC] PC Becarios
[PC_MAT] PC Matriculación
[SWITCH] Switch
[CAJ_SEG] Caja de Seguridad
[LAN] Red de área local
[INT] Internet
[FIRE] Firewall
[POWER] Sistema de alimentación
[POWER_AA23] Sistema de Alimentación de la sala de servidores
[POWER_AA25] Sistema alimentación sala auxiliar
[TEMP] Sistema de climatización
[TEMP_AA23] Sistema de climatización de la sala de servidores
[TEMP_AA25] sistema climatización sala auxiliar
[L] Locales
[SERV_AA23] Servidores
[SERV_AA25] Servidor auxiliar
[BEC_AA21] Emplazamiento becarios
[P] Personal
[ADM] Administradores
[SG] Secretaría General
[BEC] Becarios
[ALUM] Alumnos
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
129
Para ver con más detalle los activos mirar el modelo de valor, situado en el anexo
informes.
T2.1.2: Dependencia entre activos
Una vez los activos han sido identificados hay que valorar el grado que dependencia
que tienen unos con otros. La dependencia de una activo con otro puede provocar que
los riesgos que posee un activo sean muchos más que son que se creían a priori
[MAGE05].
Objetivos
� Identificar y valorar las dependencias entre activos, es decir, la medida en que
un activo de orden superior se puede ver perjudicado por una amenaza
materializada sobre un activo de orden inferior.
Figura 35. Dependencia entre activos [MAÑA06]
Para realizar esto se tienen en cuenta la tarea anterior (T2.1.1) así como los diagramas
de flujo y de procesos realizados en la planificación. La figura 35 muestra la
Personal
Servicios
Información (datos)
Software de base Aplicaciones
Equipamiento (HW)
Locales
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
130
dependencia entre activos de forma general. Se puede comprobar como los servicios
dados por el sistema de información dependen de forma directa de la información
manejada y las aplicaciones usadas; y de forma indirecta de todos los activos del
sistema. Por este motivo la valoración posterior deberá hacerse en los activos de nivel
superior (servicios e información), dejando que las dependencias den la valoración al
resto de activos.
Si se han hecho entrevistas o se ha tenido la posibilidad de realiza una valoración
Delphi1 también es conveniente tenerlas en cuenta. En el caso de iMat se han realizado
entrevistas.
La dependencia entre activos en iMat es la siguiente:
1 Valoración Delphi. Técnica cualitativa que permite abordar y comprender con una alta precisión
problemas complejos. Para ello se cuenta con un comité de expertos que identifican los problemas y las
posibles soluciones a realizar. Cada experto valora el problema de forma individual mediante
cuestionarios u otras técnicas y posteriormente se da a todos a conocer el resultado para obtener un
consenso.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
131
Figura 36. Dependencia entre activos
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
132
T2.1.3: Valoración de los activos
Objetivos
� Identificar en que dimensión es valioso el activo.
� Valorar el coste que para la Organización supondría la destrucción del activo.
De esta tarea se obtiene el modelo de valor, informe que permite conocer la
importancia de los activos. El modelo de valor detalla los activos, sus dependencias, las
dimensiones en las que son valiosos y la estimación de su valor en cada dimensión. Este
modelo puede estar hecho mediante diversos criterios de valoración. En el AGR de iMat
se va a seguir un criterio de valoración cualitativo.
La valoración cualitativa busca relativizar el modelo de tal forma que la valoración
entre todos los activos del análisis sea homogénea y comparable. Para ello se ayuda de
una escala.
Cada activo, en cada dimensión, recibe un valor en la escala. Esto es así porque cada
dimensión recibe un análisis independiente. Las dimensiones que se van a valorar para
iMat son [D] disponibilidad, [I] integridad de datos y [C] confidencialidad.
La disponibilidad es el aseguramiento de que los activos que los usuarios
autorizados tienen acceso cuando lo requieran a la información y sus activos
asociados.
La integridad de datos es la garantía de la exactitud y completitud de la
información y los métodos de su procesamiento.
La confidencialidad de los datos es el aseguramiento de que la información es
accesible sólo para aquellos autorizados a tener acceso.
A la hora de hacer un proyecto de análisis y gestión de riesgos, la valoración se hace
únicamente sobre los activos de mayor nivel (servicios y datos) y aquellos que no
tengan relaciones de dependencias con ellos. El resto de activos obtendrán su valoración
por las dependencias existentes.
La escala de valoración que se va a emplear es la siguiente:
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
133
Valor Criterio
10 Muy alto Daño muy grave a la organización
7-9 Alto Daño grave a la organización
4-6 Medio Daño importante a la organización
1-3 Bajo Daño menor a la organización
0 Despreciable Irrelevante a efectos prácticos
Tabla 3. Valoración cualitativa, escala a seguir en el AGR iMat
El modelo de valor de iMat se puede encontrar como anexo, donde se detalla todo lo
referente a los activos de iMat. Hay que tener en cuenta que tanto la caracterización de
activos como sus relaciones de dependencia y valoración, son tareas subjetivas que, a
pesar de tener información para hacerlas, dependen del analista y su forma de entender
el sistema. No hay dos modelos de valor iguales.
La valoración de los activos estudiados y clasificados en iMat es la que se muestra a
continuación:
ACTIVO [D] [I] [C]
[S] Servicios
[MAT] Matriculación [7]
[IMPR_BEC] Impresión Becarios [3]
[I] Información
[I_A] Información Alumnos [6]
[I_B] Información Becarios
[I_ASIG] Información Asignaturas [3]
[I_DEP] Información departamentos [3]
[I_STIC] Información STIC [2]
[I_CONF] Información de configuración [1]
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
134
[I_LOG] Información de Log [1] [1] [1]
[I_COD] Código Fuente
[A] Aplicaciones
[IMAT] iMat [7]
[IMATBEC] iMatbecarios
[SW_BASE] Software base
[BBDD] SQL Server 2000
[SO] Sistema Operativo
[VB] Visual Basic 6.0
[E] Equipamiento
[SERV] Servidores
[SERV_BAL] Servidor de balanceo
[SERV_WEB] Servidores Web
[SERV_FICH] Servidor de Ficheros
[SERV_DAT] Servidor de Datos
[SERV_BACK] Servidor de back-up [1] [2]
[IMP_BEC] Impresora becarios [1]
[PC_BEC] PC Becarios
[PC_MAT] PC Matriculación [1]
[SWITCH] Switch
[CAJ_SEG] Caja de Seguridad [4] [4]
[LAN] Red de área local
[INT] Internet
[FIRE] Firewall
[POWER] Sistema de alimentación
[POWER_AA23] Sistema de Alimentación sala servidores
[POWER_AA25] Sistema alimentación sala auxiliar
[TEMP] Sistema de climatización
[TEMP_AA23] Sistema de climatización sala servidores
[TEMP_AA25] sistema climatización sala auxiliar
[L] Locales
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
135
[SERV_AA23] Servidores
[SERV_AA25] Servidor auxiliar
[BEC_AA21] Emplazamiento becarios
[P] Personal
[ADM] Administradores
[SG] Secretaría General
[BEC] Becarios
[ALUM] Alumnos
Tabla 4. Valoración propia de los activos.
Para ver el por qué de esta valoración ver el anexo informes, modelo de valor.
Valoración acumulada:
ACTIVO [D] [I] [C]
[S] Servicios
[MAT] Matriculación [7]
[IMPR_BEC] Impresión Becarios [3]
[I] Información
[I_A] Información Alumnos [7] [1] [6]
[I_B] Información Becarios [3] [1] [1]
[I_ASIG] Información Asignaturas [7] [1] [3]
[I_DEP] Información departamentos [7] [1] [3]
[I_STIC] Información STIC [2]
[I_CONF] Información de configuración [7] [1]
[I_LOG] Información de Log [1] [1] [1]
[I_COD] Código Fuente
[A] Aplicaciones
[IMAT] iMat [7] [7] [6]
[IMATBEC] iMatbecarios [7] [1] [2]
[SW_BASE] Software base
[BBDD] SQL Server 2000 [7] [7] [6]
[SO] Sistema Operativo
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
136
[VB] Visual Basic 6.0
[E] Equipamiento
[SERV] Servidores
[SERV_BAL] Servidor de balanceo [7] [7] [6]
[SERV_WEB] Servidores Web [7] [7] [6]
[SERV_FICH] Servidor de Ficheros [7] [7] [6]
[SERV_DAT] Servidor de Datos [7] [7] [6]
[SERV_BACK] Servidor de back-up [1] [2]
[IMP_BEC] Impresora becarios [1]
[PC_BEC] PC Becarios [1]
[PC_MAT] PC Matriculación [1]
[SWITCH] Switch [7] [7] [6]
[CAJ_SEG] Caja de Seguridad [4] [4]
[LAN] Red de área local [7] [7] [6]
[INT] Internet [7] [7] [6]
[FIRE] Firewall [7] [7] [6]
[POWER] Sistema de alimentación
[POWER_AA23] Sistema de Alimentación sala servidores [7] [7] [6]
[POWER_AA25] Sistema alimentación sala auxiliar [1] [2]
[TEMP] Sistema de climatización
[TEMP_AA23] Sistema de climatización sala servidores [7] [7] [6]
[TEMP_AA25] sistema climatización sala auxiliar [1] [2]
[L] Locales
[SERV_AA23] Servidores [7] [7] [6]
[SERV_AA25] Servidor auxiliar [1] [2]
[BEC_AA21] Emplazamiento becarios [1]
[P] Personal
[ADM] Administradores [7] [7] [6]
[SG] Secretaría General [7] [1] [6]
[BEC] Becarios [7] [1] [2]
[ALUM] Alumnos [7] [7] [6]
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de los activos
137
Tabla 5. Valoración acumulada de los activos
Los elementos marcados son aquellos cuyos valores provienen de sus dependencias con
otros activos.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las amenazas
138
A2.2: Caracterización de las amenazas
Una amenaza es aquel evento que puede desencadenar un incidente en la
Organización, produciendo daños materiales o pérdidas inmateriales en sus activos
[MAÑA06].
Estas amenazas se pueden focalizar en un activo en concreto y reaccionar en cadena a
través de las diversas relaciones de dependencia que este posee con el resto de activos.
Las amenazas pueden ser causadas de forma accidental o intencionada. Las causas
accidentales pueden darse por causas [MAÑA06]:
- naturales (terremotos, inundaciones, rayos...),
- industriales (electricidad, emanaciones…) o
- humanas (errores u omisiones).
Las causas intencionadas pueden ser robo, fraude, espionaje, intercepción pasiva o
activa, etc.
En EAR las amenazas estandarizadas por Magerit. Según la misma, las amenazas están
clasificadas en cuatro grupos:
- [N] Desastres Naturales
- [I] De origen industrial
- [E] Errores y fallos no intencionados
- [A] Ataque intencionados
Dentro de estos grupos se definen las amenazas existentes. Para comprobar la amenazas
existentes ver el anexo “Amenazas”.
T2.2.1: Identificación de las amenazas
Objetivos
� Identificar las amenazas relevantes sobre cada activo.
Hay varias formas de identificar las amenazas existentes en cada activo. Uno de los
métodos es mediante una clasificación por activos, relacionando cada activo con las
amenazas que se cree que pueden sufrir. Lo bueno de este método es que la relación
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las amenazas
139
amenaza-activo es directa. Sin embargo, es un criterio intuitivo. EAR permite aplicar las
amenazas estándar sobre cada activo de forma automática dejando que sea
posteriormente el analista el que considere si las relaciones son factibles o hay que
poner otras.
Otro método de identificación de amenazas es mediante una valoración Delphi o árboles
de ataque1.
En el AGR de iMat se van a emplear la clasificación por activos. Para la relación entre
las amenazas y los activos ver el anexo informes, mapa de riesgos.
T2.2.2: Valoración de las amenazas
Objetivos
� Estimar la frecuencia de ocurrencia de cada amenaza sobre cada activo.
� Estimar la degradación que causaría la amenaza en cada dimensión del activo si
llegara a materializarse.
1Los árboles de ataque son una técnica para modelar las diferentes formas de alcanzar un objetivo.
Aunque han existido durante años con diferentes nombres, se hicieron famosos a partir de los trabajos de
B. Schneier que propuso su sistematización en el área de los sistemas de información.
El objetivo del atacante se usa como raíz del árbol. A partir de este objetivo, de forma iterativa e
incremental se van detallando como ramas del árbol las diferentes formas de alcanzar aquel objetivo,
convirtiéndose las ramas en objetivos intermedios que a su vez pueden refinarse. Los posibles ataques a
un sistema se acaban modelando como un bosque de árboles de ataque.
Un árbol de ataque pasa revista a cómo se puede atacar un sistema y por tanto permite identificar qué
salvaguardas se necesita desplegar para impedirlo. También permiten estudiar la actividad del atacante y
por tanto lo que necesita saber y lo que necesita tener para realizar el ataque; de esta forma es posible
refinar las posibilidades de que el ataque se produzca si se sabe a quién pudiera interesar el sistema y/o la
información y se cruza esta información con la habilidades que se requieren.
Para más información, “Guías Técnicas”, Magerit Versión 2. Se puede encontrar en
http://www.csi.map.es/csi/pg5m20.htm
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las amenazas
140
Como ya se ha mencionado anteriormente2, hay que determinar el grado de degradación
y la frecuencia de ocurrencia de cada amenaza sobre cada activo con el fin de saber el
impacto y el riesgo potencial de dicha amenaza sobre dicho activo. Este proceso se
realiza en EAR usando como criterio de ocurrencia (frecuencia) el siguiente:
1: una vez al año 2: dos veces al año (semestral) 10: mensual 100 diario 0,5: cada dos años 0,1: cada diez años
El grado de degradación se especifica para activo, amenaza y dimensión. La
degradación se evalúa entre el 0% y el 100%. Posteriormente esta degradación se
extiende debido a la dependencia entre activos, obteniendo el impacto y el riesgo, tanto
acumulado con repercutido antes de aplicar las salvaguardas.
Si un activo A depende de otro B, el valor del impacto acumulado de A se acumula B en
la proporción en la que depende. Por otro lado, el impacto repercutido indica que el
daño en B repercute en A en la proporción en la que A depende de B. [MAÑA06]
En relación al riesgo. En relación al riesgo acumulado el valor de A se acumula en B en
la proporción en que depende. El riesgo repercutido es el impacto repercutido
multiplicado por la frecuencia de ocurrencia.
Impacto = Valor x Degradación
Riesgo = Impacto x Frecuencia
De esta tarea se obtiene el mapa de riesgos del sistema. El mapa de riesgos es un
informe en el que se relacionan las amenazas de cada activo con el daño que causarían a
la empresa y la frecuencia con la que se espera que ocurran. Visto desde otro punto de
vista, el mapa de riesgos es un resumen de las actividades A2.1 y A2.2.
2 Ver la parte referente a “Magerit, Análisis de Riesgos, Paso 2: Amenazas.”
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
141
A2.3: Caracterización de las Salvaguardas
Las salvaguardas permiten hacer frente a las amenazas [MAÑA06]. Hay diferentes
aspectos en los cuales puede actuar una salvaguarda para alcanzar sus objetivos de
limitación y/o mitigación del riesgo1:
[PR] procedimientos, que siempre son necesarios; a veces bastan procedimientos,
pero otras veces los procedimientos son un componente de una salvaguarda más
compleja. Se requieren procedimientos tanto para la operación de las salvaguardas
preventivas como para la gestión de incidencias y la recuperación tras las mismas.
Los procedimientos deben cubrir aspectos tan diversos como van el desarrollo de
sistemas, la configuración del equipamiento o la formalización del sistema
[MAGE05].
[PER] política de personal, que es necesaria cuando se consideran sistemas
atendidos por personal. La política de personal debe cubrir desde las fases de
especificación del puesto de trabajo y selección, hasta la formación continua
[MAGE05].
Soluciones técnicas, frecuentes en el entorno de las tecnologías de la información,
que puede ser [MAGE05]
[SW] aplicaciones (software)
[HW] dispositivos físicos
[COM] protección de las comunicaciones
[FIS] seguridad física, de los locales y áreas de trabajo [MAGE05].
La protección integral de un sistema de información requerirá una combinación de
salvaguardas de los diferentes aspectos comentados.
Expresado de otra forma, las salvaguardas se pueden clasificar en los siguientes grupos:
• Marco de gestión
1 Para más información sobre la limitación y/o mitigación de amenazas ver la parte correspondiente a
Magerit, Paso 3: Salvaguardas.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
142
• Relaciones con terceros
• Servicios
• Datos / Información
• Aplicaciones informáticas (SW)
• Equipos informáticos (HW)
• Comunicaciones
• Elementos auxiliares
• Seguridad física
• Personal
T2.3.1: Identificación de las salvaguardas existentes
Objetivos
� Identificar las salvaguardas, de cualquier tipo, que se han previsto y desplegado
a fecha de realización del estudio.
Las salvaguardas existentes se pueden encontrar en el anexo “evaluación de las
salvaguardas”. En el capítulo llamado iMat se puede encontrar como está concebido el
sistema de información, así como las medidas de seguridad que existen. A su vez, el
informe de insuficiencias muestra aquellas salvaguardas que hay que mejorar o
implantar por estar por debajo del umbral establecido. Este umbral es del 50% de
eficacia.
T2.3.2: Valoración de las salvaguardas existentes
Objetivos
� Determinar la eficacia de las salvaguardas desplegadas.
Hay que ordenar en el tiempo los programas de seguridad teniendo en cuenta los
siguientes factores [MAGE05] [MAÑA04]:
- La criticidad, gravedad o conveniencia de los impactos y/o riesgos que se
afrontan, teniendo máxima prioridad los programas que afronten situaciones
críticas.
- El coste del programa.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
143
- La disponibilidad del personal propio para responsabilizarse de la dirección (y,
en su caso, ejecución) de las tareas programadas.
- Otros factores como puede ser la elaboración del presupuesto anual de la
organización, las relaciones con otras organizaciones, la evolución del marco
legal, reglamentario o contractual, etc.
En el caso del AGR expuesto se va a tener en cuenta el primero de los factores.
También se va a valorar el grado de implantación que tienen. La eficiencia de las
salvaguardas desplegadas se puede ver en el anexo “evaluación de las salvaguardas”.
Salvaguarda Presente
Marco de gestión 59%
Relaciones con terceros na2
Servicios 86%
Datos / Información 98%
Aplicaciones informáticas (SW) 78%
Equipos informáticos (HW) 88%
Comunicaciones 90%
Elementos auxiliares 93%
Seguridad física 72%
Personal 78%
Tabla 6. Resumen de la eficacia de las salvaguardas agrupadas por tipos
La forma en que calculan los porcentajes de eficiencia depende de ciertos criterios que
se valoran de forma ponderada. Estos criterios son los que vamos a analizar a
continuación. Cada grupo de salvaguardas se compone de varios subgrupos que, a su
vez, se componen de más subgrupos. En la explicación mostrada a continuación se han
tenido en cuenta todos los factores; sin embargo, para facilitar la comprensión, sólo se
muestran los factores principales, estando completamente desplegados en el anexo
informes, evaluación de las salvaguardas.
2 No se estudia en el AGR
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
144
Se puede comprobar que el aspecto que peor se encuentra es el relacionado con el
marco de gestión, donde, si se analiza a fondo, se comprueba que no existe una
metodología de actuación formal en la organización en relación a los sistemas de
información y, en particular, a iMat. No existe un documento de análisis de riesgos, ni
un plan de seguridad escrito. La mayoría de los procedimientos escritos se encuentran
incompletos y no contemplan casos excepcionales o procedimientos de emergencia en
caso de que ocurran este tipo de incidencias (si suelen existir procedimientos para casos
o incidencias habituales).
La difusión de los documentos existentes es limitada e insuficiente. Las políticas
seguidas son las dadas por la directiva de STIC, aunque no siempre se cumplen, por no
estar escritas. A su vez, los errores reparados no siempre son documentados, lo que
puede llegar a dificultar una futura incidencia similar si el personal ha cambiado.
Marco de gestión 59%
Organización 55%
Normativa de seguridad 25%
Identificación y autenticación 89%
Control de acceso lógico 78%
Gestión de incidencias 42%
Revisión de la seguridad de los sistemas de información 30%
Continuidad del negocio (contingencia) 50%
Tabla 7. Marco de gestión. Salvaguardas.
La seguridad física es el segundo grupo de salvaguardas más desprotegido, aunque se
considera que el riesgo existente, debido a estas salvaguardas implantadas, es muy bajo.
Las salvaguardas implantadas son las correctas, fallando en la normativa formal de
seguridad (causa directa del marco de gestión). La seguridad falla en lo relacionado con
las normativas establecidas (prohibido fumar, cámaras de video, etc.) para el acceso en
la sala de servidores y los procedimientos de seguridad existentes. El diseño falla como
consecuencia de la normativa y de no existir una separación entre el área de seguridad y
el acceso al público. A STIC se puede acceder desde el edificio principal, subiendo por
ascensor hasta el tercer piso, sin requerirse identificación de ningún tipo. La sala de
servidores si contempla la restricción de acceso mediante tarjetas.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
145
La protección frente a desastres es muy buena a pesar de haber salvaguardas a mejorar
como el sistema antiincendios, ya que hay un solo extintor a la entrada de la sala (fuera)
y ningún mecanismo de extinción automático para periodos en los que no haya personal
para extinguir el incendio. Sí se dispone de alarma antiincendios.
Seguridad física 72%
Inventario de instalaciones 87%
Normativa 0%
Procedimientos 63%
Diseño 37%
Control de los accesos físicos 87%
Protección del perímetro 100%
Vigilancia na
Iluminación de seguridad na
Protección frente a desastres 89%
Tabla 8. Seguridad física. Salvaguardas.
Por el contrario, en lo referente a las comunicaciones, los datos, los elementos auxiliares
o de soporte, la forma en que se prestan los servicios (iMat e iMatBecarios), el diseño y
seguridad de HW y SW; el sistema goza una gran seguridad y un buen diseño en estos
aspectos. Cabe destacar la seguridad de la información y las comunicaciones. Sin
embargo, aunque las comunicación tienen una valoración del 90% de eficacia, es un
elemento crítico que lo evidencia en el diseño del servicio de comunicaciones con el
exterior (Internet): Sólo existe un proveedor de servicios de Internet, lo que hace que se
depende de forma directa de este elemento para garantizar el servicio de iMat a través
de Internet (usado por más del 50% de los usuarios que acceden a iMat) [HUIT00].
Comunicaciones 90%
Inventario de servicios de comunicación 83%
Disponibilidad 93%
Adquisición o contratación 92%
Instalación 100%
Operación 98%
Cambios (actualizaciones y mantenimiento) 63%
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
146
Terminación 100%
Tabla 9.Comunicaciones. Salvaguardas.
La información manejada, activo más importante de la organización, está protegida de
forma casi perfecta (98%). Si hubiese que fijarse en algo sería en el inventario y su
revisión periódica, pero ese aspecto es el menos importante de todos los analizados y
por lo tanto se considera que no merece la pena.
Datos / Información 98%
Inventario de activos de información 80%
Clasificación de la información 100%
Disponibilidad 99%
Integridad 98%
Criptografía 100%
Tabla 10. Datos/Información. Salvaguardas.
Aunque las salvaguardas implantadas en SW y HW son muy buenas, la documentación
en los mismos no es tan buena, consecuencia directa del marco de gestión y la
normativa escrita. Este factor hay que corregirlo no sólo en SW y HW, sino en todo el
sistema. Esta falta de documentación afecta al inventario que se posee de las
aplicaciones. El uso de Microsoft Visual Soursafe facilita la gestión de versiones y
copias de seguridad, pero no garantiza una correcta regresión. Las pruebas de regresión
no existen, habiéndose hecho alguna, pero sin ser un aspecto formal y que se repita
como procedimiento periódico. No se ha evaluado el impacto potencial al cambio.
Aplicaciones informáticas (SW) 78%
Inventario de aplicaciones 37%
Copias de seguridad 66%
Adquisición na
Desarrollo 91%
Puesta en producción 100%
Explotación 80%
Cambios (actualizaciones y mantenimiento) 73%
Terminación na
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
147
Tabla 11. Aplicaciones informáticas (SW). Salvaguardas.
Como sucede con el SW, en el HW no se ha contemplado el impacto que produciría el
cambio de equipos por diferentes modelos en caso de tener que hacerse de forma
inmediata. La identificación de los requisitos de seguridad se hace una vez implantados
los sistemas HW y no previamente, lo que puede llegar a perjudicar el desarrollo de HW
por no existir un plan de documentación en el que se especifican el por qué de los
equipos con relación a cada una de las aplicaciones y sistemas que soportan. Sin
embargo el margen para el error es amplio y difícil de alcanzar por este motivo ya que
la dimensión del sistema es mucho mayor que las necesidades reales por parte de los
sistemas de información implantados (incluyendo iMat). Sí existe un inventario del HW
y una documentación de los cambios realizados. Lo que no existe son planes de
contingencia.
Equipos informáticos (HW) 88%
Inventario de equipos 100%
Disponibilidad 100%
Adquisición de HW 83%
Desarrollo de HW 73%
Instalación 100%
Operación 91%
Cambios (actualizaciones y mantenimiento) 68%
Terminación na
Tabla 12. Equipos informáticos (HW). Salvaguardas.
El personal existente (STIC) está conveniente contemplado en lo que refiere al
mantenimiento de los sistemas, cubriendo todos los puestos necesarios para gestionar
iMat y el resto de sistemas de la información de la universidad. Sin embargo, se debe
mejorar la política de formación en relación a su evaluación y planificación. Las
necesidades de formación se identifican cuando dicho personal considera que lo
necesita, sin haber un plan de formación continuo o una revisión y evolución del mismo
y sus resultados.
Personal 78%
Relación de personal 100%
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
148
Puestos de trabajo 100%
Contratación na
Formación 55%
Política del puesto de trabajo despejado y bloqueo de pantalla na
Protección del usuario frente a coacciones na
Tabla 13. Personal. Salvaguardas.
Los elementos auxiliares que ayuda y garantizan el buen funcionamiento de iMat como
el control de temperatura o el suministro eléctrico está convenientemente implantados y
garantizados para, en caso de fallo, funcionar correctamente.
Elementos auxiliares 93%
Inventario de equipamiento auxiliar 95%
Disponibilidad 100%
Instalaciones na
Suministro eléctrico 94%
Climatización 85%
Protección del cableado 90%
Otros suministros na
Tabla 14. Elementos auxiliares. Salvaguardas.
Los servicios prestados por el sistema de información (sistema de matriculación por
Internet e impresión de matrículas por parte de los becarios) se encuentra bien definidos,
correctamente explotados, desarrollados y estudiados. el porcentaje obtenido en la
disponibilidad se debe a que no se estudiado la posibilidad de que los servidores Web
superen el número máximo de conexiones, lo que provocaría un error de disponibilidad
en las capacidades máximas y en la prestación del servicio. Se sabe que ese número
(60000 conexiones) es inalcanzable, pero puede darse un ataque aprovechando esto.
Todo sistema ha de contemplar medidas de control, aunque sean teóricamente
inalcanzables.
Servicios 86%
Inventario de servicios 88%
Disponibilidad 63%
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Caracterización de las salvaguardas
149
Desarrollo 95%
Despliegue na
Explotación 92%
Gestión de servicios externos na
Terminación 87%
Tabla 15. Servicios. Salvaguardas.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
150
A2.4: Estimación del estado de riesgo
T2.4.1: Estimación del impacto
Objetivos
� Determinar el impacto potencial al que está sometido el sistema.
� Determinar el impacto residual al que está sometido el sistema.
En esta tarea se estima el impacto al que están expuestos los activos del sistema
[MAGE05]:
• El impacto potencial, al que está expuesto el sistema teniendo en cuenta el valor
de los activos y la valoración de las amenazas; pero no las salvaguardas
actualmente desplegadas.
• El impacto residual, al que está expuesto el sistema teniendo en cuenta el valor
de los activos y la valoración de las amenazas, así como la eficacia de las
salvaguardas actualmente desplegadas.
Hay amenazas que provocan impactos mayores que otras sobre el mismo activo. En las
tablas presentadas a continuación sólo se presentan los activos clasificados según el
mayor impacto que pueden sufrir. Para ver los impactos clasificados según amenaza y
activo se recomienda consultar el informe de insuficiencias facilitado como anexo. Si
resumimos el impacto y lo clasificamos por dimensiones, tenemos los siguientes
impactos potenciales en los activos:
• Impacto muy alto: (10-7, siendo 7 una valoración del analista el clasificarlo como
alto o muy alto).
[D] Disponibilidad [I] Integridad
[MAT] Matriculación [IMAT] iMat
[I_A] Información Alumnos [BBDD] SQL Server 2000
[IMAT] iMat [SERV_BAL] Servidor de balanceo
[BBDD] SQL Server 2000 [SERV_WEB] Servidores Web
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
151
[SERV_BAL] Servidor de balanceo [SERV_FICH] Servidor de Ficheros
[SERV_WEB] Servidores Web [SERV_DAT] Servidor de Datos
[SERV_FICH] Servidor de Ficheros [FIRE] Firewall
[SERV_DAT] Servidor de Datos [ADM] Administradores
[SWITCH] Switch [ALUM] Alumnos
[LAN] Red de área local
[FIRE] Firewall
[POWER_AA23] Sistema de Alimentación sala servidores
[SERV_AA23] Servidores
Tabla 16. Impacto potencial muy alto
• Impacto alto (7-5, el 4 se ha considerado bajo, aunque en mucho casos se considera
un impacto alto)
[D] Disponibilidad [I] Integridad [C] Confidencialidad
[IMATBEC] iMatbecarios [SERV_AA23] Servidores [I_A] Información Alumnos
[INT] Internet [IMAT] iMat
[TEMP_AA23] Sistema de climatización
sala servidores [BBDD] SQL Server 2000
[I_ASIG] Información Asignaturas [SERV_BAL] Servidor de balanceo
[I_DEP] Información departamentos [SERV_WEB] Servidores Web
[I_CONF] Información de configuración [SERV_FICH] Servidor de Ficheros
[SERV_DAT] Servidor de Datos
[LAN] Red de área local
[FIRE] Firewall
[ADM] Administradores
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
152
[SG] Secretaría General
[ALUM] Alumnos
Tabla 17. impacto potencial alto
• Impacto medio o bajo (medio: 4-3, bajo:2-1)
[D] Disponibilidad [I] Integridad [C] Confidencialidad
[IMPR_BEC] Impresión Becarios [SERV_BACK] Servidor de back-up [I_ASIG] Información
Asignaturas
[SERV_AA25] Servidor auxiliar [I_DEP] Información
departamentos
[BEC_AA21] Emplazamiento
becarios [CAJ_SEG] Caja de Seguridad
[POWER_AA25] Sistema de
Alimentación sala auxiliar
[SERV_BACK] Servidor de
back-up
[TEMP_AA25] Sistema de
climatización sala auxiliar
Tabla 18. Impacto potencial medio y bajo
El impacto residual es, en todos los activos, igual o menor a 3 en todos los casos. Esto
significa que el impacto de cualquier amenaza sobre iMat es bajo. Esto se debe a que el
diseño del sistema de información es bueno. Sin embargo, se debería mejorar la forma
de gestionar los sistemas en lo relacionado con el aspecto formal y escrito.
En los anexos se podrán encontrar todas las valoraciones de impacto (activo-amenaza).
Se recomienda ver el anexo relativo al mapa de riesgos, el informe de insuficiencias y el
estado de riesgo. En estado de riesgo se podrán ver los impactos y riesgos potenciales y
residuales.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
153
Figura 37. Impacto acumulado potencial y residual en servicios, aplicaciones, información y
personal relacionados con iMat1.
Figura 38. Impacto acumulado potencial y residual en BBDD, equipamiento y locales relacionados
con iMat.
1 El impacto (rojo) representa el impacto potencial y el presente (azul) el impacto residual.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
154
Figura 39. Impacto acumulado potencial y residual en iMatBecarios2.
T2.4.2: Estimación del riesgo
Objetivos
� Determinar el riesgo potencial al que está sometido el sistema.
� Determinar el riesgo residual al que está sometido el sistema.
En esta tarea se estima el riesgo al están sometidos los activos del sistema:
El riesgo potencial es el riesgo al que está sometido el sistema teniendo en cuenta el
valor de los activos y la valoración de las amenazas; pero no las salvaguardas
desplegadas. Las amenazas en iMat y su valoración se pueden ver en el anexo informes,
mapa de riesgos.
2 Impacto acumulado potencial y residual en iMatBecarios que no tienen relación con iMat, a excepción
de la BBDD y algunos tipos de información. Hay activos que aparecen en los gráficos anteriores y
también están relacionados con iMatBecarios. El impacto (rojo) representa el impacto potencial y el
presente (azul) el impacto residual.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
155
Una vez valoradas las amenazas se puede concluir que existe un riesgo intrínseco
(potencial) en iMat, es decir, sin tomar ninguna medida de seguridad:
• Existe un riesgo muy alto de amenazas de:
- [I.6] Corte del suministro eléctrico
- [I.7] Condiciones inadecuadas de temperatura y/o humedad, debido a la gran
cantidad de máquinas y el tamaño de las habitaciones de servidores. Es
necesario acondicionar estas habitaciones para garantizar unas condiciones
óptimas para el hardware.
- [I.8] Fallo de servicios de comunicaciones. Hay que considerar la gran cantidad
de comunicaciones y la compleja infraestructura de la misma. Un fallo en las
comunicaciones puede darse por numerosos motivos, como un error en la red de
la universidad o en las comunicaciones con el exterior; un fallo en los servidores
Web, o de balanceo, un fallo en el switch, etc.
- [E.1] Errores de los usuarios, debido fundamentalmente a la falta de
información en usuarios de primer curso y en la gran cantidad de matrículas que
se realizan.
- [E.2] Errores del administrador, debido a la formación que no reciben. No hay
que olvidar que se está analizando el riesgo intrínseco.
- [E.3] Errores de monitorización (log). El firewall es un elemento crítico en el
sistema de información. Un fallo en la monitorización de la red puede suponer la
entrada de SW dañino (virus, troyanos, etc.)
- [E.8] Difusión de software dañino, debido en muchos casos a programas piratas
instalados por el personal a causa de la falta de concienciación.
- [E.9] Errores de [re-]encaminamiento en el servidor de balanceo, provocando la
pérdida de información para los usuarios que lo sufran. Este error puede suponer
un riesgo muy importante para la disponibilidad del sistema.
- [E.24] Caída del sistema por agotamiento de recursos, debido a la gran
cantidad de recursos manejados y el número de accesos producidos en iMat en
periodos de matriculación.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
156
- [A.5] Suplantación de la identidad del usuario, debido a obtenciones de clave de
otros usuarios o al uso de sesiones abiertas por otros usuarios.
Al dar de alta a un alumno en el sistema se establece como contraseña inicial el
DNI del alumno (la clave o usuario es siempre el número de alumno). Aunque
esta contraseña inicial se puede cambiar fácilmente a través de la intranet de la
universidad la mayoría de los alumnos no la cambian. Si a este hecho le
sumamos que hasta el 2004 se podía ver en los ordenadores de la universidad el
nombre del usuario que tenia la sesión abierta acompañado del DNI, la
obtención de contraseñas era relativamente sencilla. A partir de 2004 el DNI se
suprimió de la cadena de información que se mostraba, pero no se quitaron de
las cadenas de alumnos anteriores a 2004. Debido a este proyecto se están
suprimiendo los DNI de los alumnos anteriores al curso especificado.
Dejar una sesión abierta es un error de usuario (alumnos) que se comete de
forma diaria. Este despiste puede permitir a otras personas suplantar al usuario y
obtener su clave y contraseña en la terminal donde la sesión se ha dejado abierta
mediante el procedimiento de obtención de contraseñas comentado en el párrafo
anterior (si el alumno es anterior a 2004. En breve este procedimiento
desaparecerá por completo a eliminarse el DNI de las cadenas mostradas a los
usuarios).Para acceder a iMat se usan las mismas claves y contraseñas que en el
resto de servicios de la universidad, por lo que este error afecta a iMat.
- [A.11] Acceso no autorizado que, aunque, los usuarios tengan las garantías y
habilitaciones de seguridad adecuadas, esto no garantiza que accedan a la
información para la cual están autorizados acrecentándolo, además, por el
principio de la necesidad de conocer. A su vez pueden producirse accesos no
autorizados a las salas de servidores si éstas no poseen las medidas de seguridad
adecuadas.
- [A.15] Modificación de información, por la misma razón que E.16, pero en este
caso se debe propósitos intencionados por parte de los usuarios.
- [A.16] Introducción de falsa información, misma razón que A.15.
- [A.22] Manipulación de programas, aunque el personal es confiable y seguro,
pueden darse casos de personal malintencionado que intenta sabotear de alguna
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
157
forma el sistema de información; y si tiene acceso a los programas y su código
puede llegar a materializar esta amenaza.
- [A.24] Denegación de servicio, por errores de programación que no permiten a
usuarios autorizados acceder al sistema. Esta amenaza suele darse por una
reacción en cadena con otras amenazas.
- [A.29] Extorsión
• Existe un riesgo alto de amenazas de:
- [N.1] Fuego, debido a la concentración de equipos electrónicos y material
inflamable (mobiliario, paredes, etc.) en una zona localizada y concreta, es decir,
en la sala donde se encuentran los servidores. Lo mismo sucede en el
emplazamiento de becarios.
- [I.5] Avería de origen físico o lógico, debido a la concentración de equipo que
puede sufrir una avería por su uso continuo o una avería física provocada por el
mal estado de los componentes.
- [E.18] Destrucción de la información, por una fallo de hardware o un error de
software no probado en la fase de pruebas.
- [E.21] Errores de mantenimiento / actualización de programas (software), por
no seguir especificaciones del fabricante o un mantenimiento periódico que
permita detectar errores y atajarlos.
- [A.4] Manipulación de la configuración
- [A.6] Abuso de privilegios de acceso
- [A.14] Intercepción de información (escucha), debido a una inexistencia de
controles (como, por ejemplo, un firewall correctamente configurado).
- [A.19] Divulgación de información, por un error en la programación, una
carencia de medidas de seguridad o políticas de la organización.
• Existe un riesgo medio de amenazas de:
- [E.4] Errores de configuración, por carencias en la formación de los empleados.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
158
- [E.7] Deficiencias en la organización, por falta de políticas de seguridad o
errores en la forma de comunicarlas.
- [E.14] Escapes de información, por carencias en las políticas de seguridad.
- [E.16] Introducción de falsa información, debido a errores a la hora de rellenar
formularios por parte de alumnos, becarios, administradores. En la mayoría de
los casos es por falta de atención o conocimientos.
- [E.20] Vulnerabilidades de los programas (software), por errores de
programación y no saber detectarlos en la fase de pruebas, lo que evidenciaría
una mala política de desarrollo.
- [E.23] Errores de mantenimiento / actualización de equipos (hardware), al no
seguir las especificaciones del fabricante y/o llevar una política de
mantenimiento insuficiente (intervalos de tiempo entre cada mantenimiento
excesivo, nivel de detalle, etc.)
- [A.4] Manipulación de la configuración, por carencias en la seguridad de acceso
a las salas de servidores. También puede modificarse la configuración de los
programas por accesos no autorizados a al código o partes del programa o datos
que no deberían estar disponibles para ciertos usuarios.
- [A.9] [Re-] encaminamiento de mensajes, por errores en la configuración de las
comunicaciones.
- [A.28] Indisponibilidad del personal debido fundamentalmente a la falta de
procedimientos y recursos en las labores claves de mantenimiento, soporte y
monitorización del sistema.
- [I.7] Condiciones inadecuadas de temperatura y/o humedad, ya que al ser un
recinto cerrado los equipos pueden fallar a causa de estas causas.
• Existe un riesgo bajo de amenazas de:
- [A.25] Robo de equipos, estando todos concentrados en lugares concretos.
- [A.26] Ataque destructivo, de equipos principalmente. Una vez se accede a las
salas de servidores, la destrucción de equipos es sencilla. A su vez la destrucción
de los ordenadores facilitados en los el pasillo en periodo de matriculación es
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
159
relativamente sencilla. Sin embrago, la importancia de estos ordenadores para el
sistema de información es nula, importando exclusivamente el aspecto
económico, aspecto no tratado en este AGR.
El riesgo residual, al que está sometido el sistema teniendo en cuenta el valor de los
activos y la valoración de las amenazas, así como la eficacia de las salvaguardas
actualmente desplegadas., se puede ver en el anexo informes (informe de insuficiencias
y estado de riesgo) .
T2.4.3: Interpretación de los resultados
Objetivos
� Interpretar los resultados anteriores de impacto y riesgo.
� Establecer las relaciones de prioridad por activos o grupos de activos, bien por
orden de impacto o por orden de riesgo.
De esta tarea se obtienen dos de los documentos que se incluirán en la documentación
final de todo proyecto AGR:
Estado de Riesgo. Informe resumen del impacto y riesgo potencial y residual a
que está sometido cada activo del dominio.
Informe de insuficiencias. Informe que destaca las incoherencias entre las
salvaguardas que se necesitan y las que existen y las divergencias entre las
magnitud del riesgo y a eficacia actual de las salvaguardas.
Ambos documentos se encuentran en los anexos
Al final del análisis de riesgos se obtiene el impacto y el riesgo existente en el sistema.
Ese impacto y riesgo que se obtiene puede verse desde dos ángulos distintos:
- Sin salvaguarda alguna.
- Con las salvaguardas ya implantadas en el sistema (sin gestión adicional).
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
160
Figura 40. Análisis y Gestión de Riesgos sin amenazas implantadas
Por los riesgos existentes y los impactos que tienen sobre los activos se puede
considerar que los elementos críticos en el sistema son los servidores y las
comunicaciones. Del mismo modo hay que garantizar la seguridad en el SW y el HW,
mediante procesos y políticas convenientemente acordadas. Los programas han de
hacerse según unas políticas de desarrollo establecidas, con fases de desarrollo y
pruebas diferenciadas. La existencia de una metodología en la organización, para
comunicar el estado de la seguridad y los procesos de instalación, mantenimiento y
actualizaciones de SW y HW, ha de considerarse algo imprescindible; siendo un
proceso organizado y formal.
La formación del personal de STIC (administradores) es importante para garantizar el
correcto funcionamiento. Esa formación ha de incluir procesos para inculcar la
importancia de la seguridad y documentarla.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
161
Figura 41. Riesgos potenciales y residuales en iMat teniendo en cuenta las salvaguardas actuales.
Se puede comprobar en el gráfico que los servidores y el firewall son elementos críticos
en el sistema. Así mismo el switch y las comunicaciones también. No hay que olvidar
que iMat funciona mediante la red local (LAN) e Internet. El riesgo residual es bajo
gracias a las salvaguardas desplegadas.
Análisis y Gestión de Riesgos en iMat Análisis de Riesgos
Estimación del estado de riesgo
162
Figura 42. Riesgos potenciales y residuales en iMatBecarios teniendo en cuenta las salvaguardas
actuales.
Se puede comprobar por el gráfico que el emplazamiento de los becarios no tiene
ninguna importancia para los fines del sistema de información.
No hay que olvidar que activos como los servidores, el firewall o la sala de servidores
también influyen en el correcto funcionamiento de iMatBecarios aunque se hayan
incluido en la figura 32 y no en la 33, haciendo esto para facilitar la comprensión del
sistema.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
163
P3: Gestión de Riesgos
Se procesan los impactos y riesgos identificados en el proceso anterior, bien
asumiéndolos, bien afrontándolos. Para afrontar los riesgos que se consideren
inaceptables se llevará a cabo un plan de seguridad que corrija la situación actual. Un
plan de seguridad se materializa en una colección de programas de seguridad. Algunos
programas serán sencillos, mientras que otros alcanzarán suficiente nivel de
complejidad y coste como para que su ejecución se convierta en un proyecto
propiamente dicho. La serie de programas (y, en su caso, proyectos) se planifica en el
tiempo por medio del denominado Plan de Seguridad que ordena y organiza las
actuaciones encaminadas a llevar el estado de riesgo a un punto aceptable y aceptado
por la Dirección [MAGE05].
En la gestión de riesgos se toman una serie de decisiones entre las que destacan:
• Elegir una estrategia para mitigar el impacto y el riesgo.
• Determinar las salvaguardas oportunas para la decisión anterior.
• Determinar la calidad necesaria para dichas salvaguardas.
• Diseñar un plan de seguridad para llevar el impacto y el riesgo a niveles
aceptables.
• Llevar a cabo el plan de seguridad.
En el caso concreto de iMat este proceso se va a desarrollar de forma ficticia y sin
consulta previa con la dirección ni el STIC. Los planes de seguridad van a crearse sólo a
efectos de estudio.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
164
Actividad A3.1: Toma de decisiones
En esta actividad se traducen las conclusiones técnicas del proceso P2 en decisiones de
actuación.
Tareas:
Tarea T3.1.1: Calificación de los riesgos
Objetivos
� Calificar los riesgos en una escala: crítico, grave, apreciable o asumible.
A la hora de clasificar los riesgos existentes en el sistema hay una serie de factores que
han de tenerse en cuenta siempre (gravedad del impacto/riesgo, legislación vigente,
obligaciones por contrato) y otros que dependen de la política la organización. Los
factores que dependen de la política la organización pueden ser muy variados,
abarcando desde la imagen pública que se quiere dar a la sociedad, la política interna
(empleados, contratación de personal, rotaciones, etc.), las relaciones con los
proveedores, el deseo de acceder a sellos de calidad reconocidos, etc. [MAGE05].
Una vez analizados todos los factores para cada uno de los riegos existentes en el
sistema de información hay que clasificarlos determinando si es
- crítico en el sentido de que requiere atención urgente,
- grave en el sentido de que requiere atención
- apreciable en el sentido de que pueda ser objeto de estudio para su tratamiento
- asumible en el sentido de que no se van a tomar acciones para atajarlo.
Si la última opción es la escogida, aceptación del riesgo, hay que justificar las razones
que han llevado a ello. Algunas de las razones pueden ser:
- El impacto residual es despreciable.
- El riesgo residual es despreciable.
- El coste de las salvaguardas oportunas es desproporcionado en comparación al
impacto y riesgo residuales.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
165
El plan de seguridad partirá de esta clasificación para estimar las políticas de
corrección y eliminación de amenazas.
En las actividades A2.3 y A.4 se han estudiado y explicados las salvaguardas existentes
y los impactos y riesgos potenciales y residuales. Además, se puede ver el estado de
riesgo del sistema de información en el informe de insuficiencias y el estado de riesgos
(anexos incluidos en los informes presentados).
Si resumimos los riesgos residuales del sistema (riesgo teniendo en cuenta las
salvaguardadas existentes) podemos comprobar que no existe un riesgo muy alto o alto
en el sistema, lo que verifica la teoría inicial que se tenía del sistema al empezar el AGR
sobre iMat: El sistema está conveniente protegido. Sin embargo, por el principio básico
de la seguridad (no existe un sistema 100% seguro), las salvaguardas aplicadas y la
forma en que aseguran el sistema, sí que existen riesgos en iMat.
• Existe un riegos residual medio (nivel 3 sobre 5) de:
- [I.1] Fuego. Debido a la concentración de equipos en un espacio reducido de
12m2 como es la sala de servidores o la sala auxiliar de servidores (donde se
encuentra el servidor de back-up). Además hay que tener en cuenta que no
existen normas de comportamiento dentro de las salas de servidores (como por
ejemplo prohibido fumar). Se cuenta con alarma antiincendios y sistema de
extinción para minimizar los riesgos.
- [E.1] Errores de los usuarios a la hora de usar iMat. Este tipo de errores se
puede dar en la aplicación (iMat) debido al desconociendo de los usuarios a la
hora de interaccionar con iMat o bien por la introducción de información errónea
que provoque errores. Los errores e usuarios pueden dañar el sistema en las
dimensiones de disponibilidad e integridad de datos. Por este motivo se han de
controlar los posibles fallos de los usuarios desde la aplicación antes de enviar
información a otras partes del sistema como puede ser el servidor de datos.
- [E.8] Difusión de software dañino. Esta amenaza se debe a la gran cantidad de
amenazas existentes hoy en día en la red y la imposibilidad de poder garantizar
100% la seguridad de los sistemas frente virus. Puede dañar a iMat en todas las
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
166
dimensiones analizadas (D, I, C) No hay creerse algunos tópicos existentes
como1:
o El sistema no es importante para un hacker. Este tópico se basa en la idea de
que no introducir contraseñas seguras en una empresa no entraña riesgos
pues ¿quien va a querer obtener información de la organización? Sin
embargo, dado que los métodos de contagio se realizan por medio de
programas automáticos, desde unas máquinas a otras, estos no distinguen
buenos de malos, interesantes de no interesantes, etc. Por tanto abrir sistemas
y dejarlos sin claves es facilitar la vida a los virus.
o El sistema está protegido pues no abro archivos que no conozco. Esto es
falso, pues existen múltiples formas de contagio, además los programas
realizan acciones sin la supervisión del usuario poniendo en riesgo los
sistemas.
o El sistema dispone de antivirus, está protegido. En general los programas
antivirus no son capaces de detectar todas las posibles formas de contagio
existentes, ni las nuevas que pudieran aparecer conforme los ordenadores
aumenten las capacidades de comunicación.
o El sistema se encuentra detrás de un firewall, no hay posibilidad de
contagio. Esto únicamente proporciona una limitada capacidad de respuesta.
Las formas de infectarse en una red son múltiples. Unas provienen
directamente de accesos al sistema (de lo que protege un firewall) y otras de
conexiones que se realizan (de las que no me protege). Emplear usuarios con
altos privilegios para realizar conexiones puede entrañar riesgos.
- [A.5] Suplantación de la identidad del usuario. Ya se explicó la facilidad que
existe para averiguar usuarios y contraseñas a través de los ordenadores de la
universidad de alumnos anteriores a 2004 (ir a T2.4.1); debido a los errores
(despistes) de los alumnos a la hora de abandonar las salas de ordenadores sin
1 Seguridad informática, Wikipedia (http://www.wikipedia.es)
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
167
cerrar la sesión2 o por no haber cambiado la contraseña. Esta facilidad afecta
directamente a todas las dimensiones analizadas, pudiendo ser dañinas para iMat
(aplicación) y como consecuencia a la base de datos y al servidor de datos,
pudiendo ser información no segura por poder ser modificada por la persona que
suplanta al usuario. También es cierto que este fallo de seguridad sólo existe a
nivel de usuario (alumno) y no de administrador, por lo que la información que
se vería afecta sería la de los alumnos y nunca la información de configuración o
administradores.
• Existe un riesgo residual bajo (nivel 2 sobre 5) de.
- [E.1] Errores de los usuarios en relación a la base de datos. El riesgo de errores
de usuarios es menor en relación a la base de datos que a iMat porque desde
iMat a la hora de introducir información siempre se pide confirmación varias
veces (por ejemplo a la hora de verificar las asignaturas o los datos personales)
antes de enviar la información a al servidor de datos para guardarla.
- [E.8] Difusión de software dañino. En este caso nos referimos a iMatBecarios.
El riesgo de software dañino es menor que en iMat por usar sólo la red local de
la universidad sin salir de la misma en ningún momento. Es cierto que iMat no
sale de la red local, pero al poder realizarse la matrícula desde Internet (lugares
externos a la universidad), el riesgo de contagio es mayor en iMat que en
iMatBecarios. Aún así en ninguno de los dos “sistemas” existe un riesgo alto de
contagio, es un riesgo teórico considerado por los principios expuestos
anteriormente al explicar el riesgo en iMat y clasificarlo como riesgo medio.
- [A.26] Ataque destructivo a los ordenadores facilitados en el pasillo en periodo
de matriculación. Estos ordenadores se encuentran en el pasillo sin protección
alguna exceptuando la vigilancia de los becarios. Por este motivo puede darse el
caso de un ataque destructivo (físico) contra ellos.
2 Este fallo de seguridad existía a la hora de empezar a hacer el análisis de riesgos y estudiar las
salvaguardas existentes. Hoy en día puede que este fallo haya sido reparado y no exista. Es cierto que esto
se encuentra contemplado mediante la desconexión automática de las sesiones sin actividad a los 20 min.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
168
- [I.7] Condiciones inadecuadas de temperatura y/o humedad. Existen
mecanismos para garantizar las condiciones de temperatura y humedad en las
salas de servidores. Sin embargo, debido al continuo funcionamiento de los
equipos HW instalados, puede darse el caso que esas condiciones cambien por
un fallo en algunas de las máquinas o en el sistema de climatización. En ese caso
hay que procurar que los servidores no sufran condiciones prejudiciales para su
correcto funcionamiento. Este riesgo perjudicaría a la disponibilidad de los
sistemas de información. [E.2] Errores del administrador (SQL, iMat, iMatBecarios)
- [E.3] Errores de monitorización (log). Ya se ha comentado que la seguridad no
se puede garantizar completamente. Por ese motivo puede asegurarse que el
firewall fallar a la hora de controlar las entradas al sistema. Es un error que se
considera de riesgo bajo, según las salvaguardas implantadas.
- [E.9] Errores de [re-]encaminamiento. El servidor de balanceo es un elemento
crítico del sistema que, como tal está convenientemente asegurado y estudiado.
Un error en el mismo provocaría errores que afectarían a algunos usuarios y por
tanto a la disponibilidad del sistema con relación a los mismos. Debido a gran
número de operaciones realizadas por este servidor un error es posible, aunque
improbable.
- [E.24] Caída del sistema por agotamiento de recursos. Ya se explicó que
aunque el sistema está dimensionado convenientemente contando con recursos
de sobra para prestar los servicios requeridos. Esto haría fallara al sistema
dejando de dar el servicio (como ocurre en un ordenador cuando se le piden más
tareas de las que es capaz de soportar). Un sistema seguro ha de controlar
siempre la capacidad y tener medidas para ello. Esta carencia de medidas puede
ser aprovechada para atacar al sistema. Sin embargo el riesgo es pequeño por los
recursos con los que cuenta, soportando hasta 60000 conexiones en los
servidores Web.
- [E.21] Errores de mantenimiento / actualización de programas (software).
Debido a las carencias en el marco de gestión y las normativas y metodologías
escritas para la realización de tareas.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
169
- [E.16] Introducción de falsa información, afectando a la integridad de la
información. Puede darse por errores de administración al crear/actualizar el
servidor de ficheros (páginas ASP, aplicaciones como iMat o iMatBecarios,
etc.), o al introducir la información de las asignaturas (créditos, etc.) dada por las
escuelas e introducidas por STIC. La introducción de información siempre es
supervisada y repasada, así como testeada en la fase de pruebas. Un error puede
darse por no contemplar algo en la fase de pruebas, algo difícil.
• Existe un riesgo residual muy bajo (grado 1 sobre 5) de.
- [I.5] Avería de origen físico o lógico. Las revisiones de mantenimiento
siguiendo las especificaciones de los fabricantes y los recambios minimizan el
riesgo de averías de origen físico o lógico. Sin embargo es un riesgo que es
imposible llevar al cero.
- [I.9] Interrupción de otros servicios y suministros esenciales. La redundancia de
todos los sistemas (comunicaciones, servidores, HW, repuestos) hace del
sistema un sistema robusto en cuento a la forma de prestar los servicios, siendo
el riesgo casi nulo. Los sistemas de alimentación y climatización se encuentran
respaldados por sistemas de reserva en las salas de servidores, así como en toda
la universidad.
- [I.6] Corte del suministro eléctrico. Para evitar esto se cuenta con un sistema
secundario de alimentación. Cabe destacar que las salvaguardas implantadas
han bajado este riesgo de se un riesgo muy alto a riesgo muy bajo, casi
inexistente.
- [E.2] Errores del administrador. El administrador es el personal de STIC
encargado de gestionar el sistema. Un error en la forma de hacerlo puede afectar
a la configuración del firewall, a las aplicaciones de iMat o iMatBecarios, a la
base de datos, etc. Por ello hay que tener políticas de formación y contratación
de personal, normativas y metodologías de documentación, comportamiento y
gestión en relación a los sistemas de información, etc.
- [E.4] Errores de configuración. Provocados por errores del administrador.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Toma de decisiones
170
- [E.24] Caída del sistema por agotamiento de recursos. En este caso nos estamos
refiriendo al servidor de ficheros. Un agotamiento de recursos es casi
impensable pues es un servidor que almacena información preestablecida, no se
introduce en él información durante el funcionamiento del sistema (exceptuando
aquella temporal para pedir información del servidor).
- [E.8] Difusión de software dañino. Refiriéndose de nuevo al servidor de ficheros
y por la misma razón (la información se introduce antes de empezar a funcionar
el sistema, siendo información de lectura). Sin embargo, la seguridad nunca es
del 100% en un servidor.
- [E.20] Vulnerabilidades de los programas (software). Para minimizar los riesgos
y detectarlos existen los programas de pruebas. Aunque el programa de pruebas
es muy bueno y cumple todas las salvaguardas recomendadas, el riesgo existe.
Nunca se puede garantizar que un SW es 100% seguro, un ejemplo claro es un
sistema operativo, donde los parches son frecuentes, al igual que lo programas
corporativos (SAP, Meta4, etc.). Esta afirmación puedo asegurarla por haber
trabajado en Meta4 en el área de calidad arreglando un programa de calidad que
controla los fallos en el resto de programas.
- [A.25] Robo de equipos. Las salvaguardas implantadas han bajado este riesgo de
riesgo muy alto a muy bajo. Sin embargo hay salvaguardas que hay que mejorar
como, por ejemplo, la forma de gestionar las tarjetas o el incluir un acceso a
STIC más restringido, que al menos cuente con una persona intermedia entre
STIC y el resto de la universidad (vigilante, secretaria, etc.). La sala de
servidores se encuentra protegida por un acceso restringido mediante tarjeta,
pero con un registro de visitas de personas invitadas (sí que cuenta con un
registro de visitas del personal que introduce la tarjeta para acceder).
- [A.26] Ataque destructivo. Por las mismas causas que A.25.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Plan de seguridad
171
Actividad A3.2: Plan de seguridad
Tarea T3.2.1: Programas de seguridad
Objetivos
� Elaborar un conjunto de programas de seguridad.
Partiendo de la tarea anterior se tomarán en consideración todos los escenarios de
impacto y riesgo creados (críticos, graves, apreciables, asumibles o un mezcla de
estos). Se crearán una serie de programas de seguridad con el propósito de dar
respuesta a los diferentes escenarios creados [MAGE05].
Los programas de seguridad los que pretenden en última instancia es la implantación
de una serie de salvaguardas que lleven impacto y riesgo a niveles residuales asumibles
por la dirección [MAGE05].
Figura 43. Inserción de salvaguardas con el fin de obtener un impacto y riesgo residual asumible
para la dirección
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Plan de seguridad
172
Los planes de seguridad que se recomiendan, una vez evaluados los riesgos residuales,
las salvaguardas existentes y comprobar que la mayoría de ellos se deban a las carencias
ya mencionadas el marco de gestión1:
P1. Normativas de seguridad
P1.1: Documentación de los cambios, reparaciones y mantenimientos (SW, y HW)
Crear una política de seguridad donde todo se encuentre correctamente
documentado (de manera formal) y donde exista un análisis de riesgos que valore
el estado del sistema.
Documentar todos los procedimientos de trabajo, revisando loas actuales y
añadiendo los que falten.
P1.2: Documentación de los cambios, reparaciones y mantenimientos (SW, y HW)
De esta forma se han evitar casos en los que no se sepan las posibles causas de un
error o materialización de amenaza, acotando las posibles causas. Todos los
documentos han de incluir:
- Fecha.
- Responsable.
- Activos implicados.
- Tareas realizadas.
- Comentarios adicionales.
P1.3: Normativa en relación a la seguridad física
Se han de establecer normas de conducta cerca de los servidores, lugares de
trabajo, etc. se han de cumplir todas las normativas de sanidad y seguridad
existentes para el tipo de instalaciones con las que se cuenta.
1 Al ser un ejemplo teórico, aunque basado en un ejemplo real, los planes de seguridad sugeridos no se
van a llevar a cabo. Por esta razón no se van a asignar responsables, otorgar recursos ni dar estimaciones
temporales. Los planes de seguridad se van a limitar a dar recomendaciones sobre el sistema.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Plan de seguridad
173
La limitación o vigilancia de acceso a STIC y, por tanto, a los servidores es una
salvaguardas que ha de estudiarse si merece la pena llevarla a cabo.
La realización de este plan de seguridad limitaría los riesgos las amenazas I.1, I.5, E.1,
E.3, E.7, E.8. E.9, E.20, E.21, E.24 entre otras.
P2: Eliminar fallos de seguridad evidentes
Un aspecto que hay que intentar minimizar es la posibilidad de obtener nombres
de usuario y contraseñas desde los ordenadores de la universidad. Se han de
buscar controles para evitar que los usuarios dejen las sesiones abiertas o
mantengan de forma permanente el DNI como contraseña. Las medidas a tomar se
basan en la eliminación del DNI de las cadenas a mostrar cuando se ve el usuario
conectado a la máquina. Para los alumnos anteriores a 2004 este riesgo es mucho
mayor por estar su DNI ligado a la cadena de información mostrada. Se han de
suprimir los DNI de las cadenas de información en alumnos anteriores a 2004; los
alumnos posteriores no tienen este problema. Cabe destacar que este problema se
está solucionando actualmente gracias a este proyecto.
Actualmente las sesiones se pueden cerrar de forma remota por el personal
encargado de las salas de ordenadores para evitar que un usuario deje una sesión
abierta de forma indefinida, pero esto no garantiza nada. Este fallo es crítico para
el sistema y limitaría riesgos de amenazas tales como E.1, E.8, A.5 (este de forma
importante), E.16, y E.20.
Las contraseñas iniciales son inevitables (sin ellas no puede entrar el usuario por
primera vez). La única medida posible es concienciar a los alumnos de la
necesidad de cambiar esa contraseña. Una forma puede ser el primer día de clase,
ir a la sala de ordenadores y que todos cambien su contraseña, evitando el riesgo
evidente de que la contraseña sea el DNI. Otra forma es obligar al usuario a
cambiar la contraseña la primera vez que se conecta al sistema.
P3: Clasificación del inventario (SW, HW, Ficheros, Elementos auxiliares)
El HW ya se encuentra correctamente estudiado en relación al inventario, sin
embargo el HW y los elementos auxiliares han de estudiarse. Los ficheros como
pueden ser las páginas ASP de iMat se encuentran ya localizadas y correctamente
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Plan de seguridad
174
estudiadas. Lo que se debe hacer es valorar el grado de comentario del código,
estudiar el SW crítico, las necesidades de HW, etc.
P4: Formación y evaluación continua
La política de formación actual es buena pero no correcta. Se ha de establecer una
política de formación basada en el seguimiento continuo y evaluado de la misma.
Actualmente se llevan a cabo planes de formación según lo pide el personal de
STIC, sin motivar el aprendizaje continuo por parte de la organización.
Si se desea obtener un certificado de seguridad hay que lograr superar las
clasificaciones de la ISO o cualquier otro criterio exigido. El estado del sistema con
relación a la ISO/IEC 17799:2005, la CSNC2 o el RD9943 se encuentra a continuación
de la gestión de riesgos.
Tarea T3.2.2: Plan de ejecución
Objetivos
� Ordenar temporalmente los programas de seguridad.
El orden de los planes de seguridad puede ser P2, P1, P3, P4. Se considera que erradicar
fallos de seguridad es lo primero, seguido de forma inmediata por P1. P4 es un plan de
seguridad recomendado pero no imprescindible para el correcto funcionamiento de iMat
e iMatBecarios.
2 Criterios de seguridad, normalización y conservación
3 Reglamento de medidas de seguridad
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
175
Actividad A3.3: Ejecución del plan
Esta actividad recoge la serie de proyectos que materializan el plan de seguridad y que
se van realizando según dicho plan.
Tarea T3.3.*: Ejecución de cada programa de seguridad
Objetivos
� Alcanzar los objetivos previstos en el plan de seguridad para cada programa
planificado.
Para el ejemplo se considera que todos los planes de seguridad se han llevado a cabo. Si
esto fuese así los impactos y riesgos residuales serían los siguientes:
IMPACTOS
Figura 44. Impacto acumulado potencial y residual en cada una de las fases (Servicios, datos,
aplicaciones).
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
176
Figura 45. Impacto acumulado potencial y residual en cada de las fases (BBDD, parte del
equipamiento).
Figura 46. Impacto acumulado potencial y residual en cada una de las fases (parte del
equipamiento, locales y personal)
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
177
RIESGOS
Figura 47. Riesgos acumulados potenciales y residuales en cada una de las fases (Servicios, datos y
aplicaciones).
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
178
Figura 48. Riesgos acumulados potenciales y residuales en cada una de las fases (BBDD y parte del
equipamiento).
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
179
Figura 49. Riesgos acumulados potenciales y residuales en cada una de las fases (parte del
equipamiento, locales y personal).
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
180
IMPACTO REPERCUTIDO
El impacto repercutido es aquel impacto que tienen los activos debido a las
dependencias con activos inferiores. Si un activo inferior falla, afecta al funcionamiento
de los activos superiores con los que está relacionado. Por este motivo un impacto en un
activo afecta a los activos de orden superior. Al hacer la valoración acumulada se
pasaban los valores de los activos superiores a los inferiores por la misma razón: si un
activo tiene una valoración X, los activos de los que depende también porque una
amenaza para ellos puede afectar a activos superiores.
Figura 50. Impacto repercutido en cada una de las fases.
Análisis y Gestión de Riesgos en iMat Gestión de Riesgos
Ejecución del plan
181
RIESGO REPERCUTIDO
Lo mismo que se ha explicado para el impacto repercutido afecta al riesgo repercutido.
Figura 51. Riesgo repercutido en cada una de las fases.
Análisis y Gestión de Riesgos en iMat Clasificación según la ISO/IEC 17799:2005
182
Calificación según la ISO/IEC 17799:2005
Figura 52. Calificación de la seguridad según la ISO/IEC 17799:2005
Se puede comprobar lo que ya se ha comentado en varias ocasiones: la seguridad física,
de comunicaciones, SW, HW, y datos está convenientemente contemplada en el estado
presente del sistema de información. Sin embargo la política de seguridad en sus
aspectos formales no se ha contemplado convenientemente. No existe una gestión de la
continuidad del negocio a largo plazo, así como la gestión de incidentes puede
mejorarse.
Donde falla la gestión de incidentes es en el aspecto formal y que no contempla
incidencias excepcionales o de poca probabilidad.
La continuidad del negocio no está contemplada en el sistema de información actual por
no haber un análisis de riesgos hecho y no tener una documentación de seguridad ni una
normativa. Aspectos que también influyen en la política de seguridad, la cual contempla
aspectos mínimos como son la delegación de responsabilidades o el trato con la
directiva, pero no valorar aspectos profundos y formales como los comentados.
No hay que olvidar que la solución dada es teórica y no real, mostrando la clasificación
del sistema en caso de realizarse completamente.
Análisis y Gestión de Riesgos en iMat Clasificación según la ISO/IEC 17799:2005
183
Figura 53. Presentación de la calificación ISO/IEC 17799:2005 en EAR
El apartado [6] no se encuentra valorado porque hay aspectos que no se han tenido en
cuenta en el AGR hecho a iMat. Esto no significa que no se encuentren valorados
ciertos aspectos de este apartado.
Análisis y Gestión de Riesgos en iMat Clasificación CSNC
184
Clasificación según la CSNC
Criterios de Seguridad, Normalización y Conservación
Figura 54. Calificación según la CSNC
Los aspectos peor valorados son los relacionados con la normalización y gestión del
sistema en su aspecto formal. Así por ejemplo se puede ver como el apartado 18 es el
peor valorado por referirse a dicho aspecto formal y la documentación de incidencias.
Las auditorias (20) y el plan de contingencias (19) o las políticas de seguridad (3) son
aspectos a mejorar. No hay que olvidar que la solución dada es teórica y no real,
mostrando la clasificación del sistema en caso de realizarse completamente.
Aspecto como la seguridad de la red o de los datos se encuentran muy bien valorados
según estos criterios. El control de acceso es muy bueno, fallando de forma mínima por
el fallo de seguridad comentado en múltiples ocasiones.
Análisis y Gestión de Riesgos en iMat Clasificación CSNC
185
Figura 55. Presentación de la CSCN en EAR.
El aparatado 9 no se muestra porque no todo los factores que lo componen se han
valorado en el AGR realizado sobre iMat. Sin embargo sí hay factores valorados acerca
de la autenticación.
Análisis y Gestión de Riesgos en iMat Clasificación CSNC
186
Clasificación según la RD994
Reglamento de medidas de seguridad
Figura 56. Clasificación según la RD994
No hay que olvidar que la solución dada es teórica y no real, mostrando la clasificación
del sistema en caso de realizarse completamente.
Figura 57. Presentación de la RD994 en EAR.
187
Conclusión
Conclusión
188
A lo largo de este proyecto se ha intentado dar a conocer la importancia del
funcionamiento y la seguridad (en sus aspectos de confidencialidad, integridad y
disponibilidad) de los sistemas de información en las empresas y las organizaciones
debido a que, cada vez más, las TI (Tecnologías de la Información) y la información son
más imprescindibles en sus procesos de negocio. Para ello se ha explicado la
importancia de realizar un Análisis y Gestión de Riesgos en aquellos sistemas cuya
importancia para el correcto funcionamiento de la organización es vital. Realizar un
AGR es una tarea costoso en tiempo y esfuerzos, por ello hay que saber hasta donde se
quiere abarcar, que se va a tener en cuenta y que tipo de AGR se va a realizar. En este
proyecto se ha aplicado una metodología específica para llevar a cabo esta tarea:
Magerit. Aplicar un método como el propuesto por Magerit es costoso en tiempo pero
efectivo a la hora de llevar a cabo todos los pasos sin dejar nada a la improvisación o al
descuido. Otra gran ventaja de aplicar Magerit es la posibilidad que se ha tenido de usar
una herramienta informática diseñada específicamente para Magerit. Esta herramienta,
EAR, ha facilitado el análisis, el retroceso en los casos en los que sido necesario, ha
permitido automatizar muchas de las tareas que sin EAR hubiesen supuesto un gran
esfuerzo (generación de informes, mapas, esquemas, etc.).
En relación al sistema analizado, iMat, mencionar que gracias a él se ha podido
comprobar que el punto débil en los sistemas de información no suele estar en el propio
sistema, sino en la forma de gestión: documentación, pruebas periódicas, etc. iMat se ha
mostrado como un sistema robusto, preparado para afrontar las amenazas que pueda
sufrir. El mayor riesgo de iMat se encuentra en la falta de documentación, lo que seria
una grave amenaza en caso de cambio de personal o asignación de nuevas
responsabilidades al personal existente. Esta falta de documentación es algo que falta en
muchos sistemas de información y que ha sido reconocido por multitud de personas que
trabajan en el sector, tanto en el mantenimiento del sistema de información como en la
creación de AGR.
Para concluir, a modo personal, la importancia de este proyecto radica en la posibilidad
de ver que un sistema de información no se queda en la superpie del código o el diseño
de hardware o las comunicaciones; hay toda una estructura detrás que ha de funcionar
para que el sistema no sufra una amenaza frente a la cual no está preparado. Los
recursos técnicos, humanos, la logística, la jerarquía de mando, la división de tareas, la
estructura conocida del sistema, etc. son factores muy importantes en un sistema de
Conclusión
189
información. Diseñar es importante, evaluar es importante, documentar es importante,
planificar es importante, todo es importante en un SI. Pero hay otra propiedad que hay
que tener en cuenta: la seguridad debe ser diseñada e implantada a partir de la
realización de un AGR que permita conocer de forma exacta cuales son los riegos a los
que un sistema está sometido.
Un sistema de información es, en muchos casos, la base para el correcto funcionamiento
de una organización; hay que saber mantenerlo y estar preparado para cualquier
incidencia.
Por último dar las gracias a dos personas que han hecho posible este proyecto y me han
ayudado en todo lo que han podido, dándome consejos y alentándome a realizarlo. Éstas
dos personas son Ramón Arias Ruiz de Somavia quien me ha dirigido y ayudado en
todo lo que le he pedido y ha estado en su mano, y José María Ortíz Lozano quien me
ha proporcionado toda la información que le he pedido acerca de iMat y me ha ayudado
en todo lo que he necesitado, incluso en momentos en los que no tenia tiempo ni para su
propio trabajo. Muchas gracias a los dos.
190
Anexos
Anexo Amenazas
191
Amenazas
Las amenazas presentadas a continuación son las descritas en Magerit y por consiguiente,
las que se aplican en el AGR de iMat, realizado con EAR. Los activos se asocian a las
amenazas que, se cree, pueden sufrir. Esta relación amenaza-activo se encuentra descrita
en Magerit en el capítulo “Catálogo de elementos”. Para ver la relación en iMat se
recomienda consultar el informe mapa de riesgos, obtenido del análisis de riesgos.
[N] Desastres Naturales
[N.1] Fuego
[N.2] Daños por agua
[N.*] Desastres naturales
[I] De origen industrial
[I.1] Fuego
[I.2] Daños por agua
[I.*] Desastres industriales
[I.3] Contaminación mecánica
[I.4] Contaminación electromagnética
[I.5] Avería de origen físico o lógico
[I.6] Corte del suministro eléctrico
[I.7] Condiciones inadecuadas de temperatura y/o humedad
[I.8] Fallo de servicios de comunicaciones
[I.9] Interrupción de otros servicios y suministros esenciales
[I.10] Degradación de los soportes de almacenamiento de la información
[I.11] Emanaciones electromagnéticas
[E] Errores y fallos no intencionados
[E.1] Errores de los usuarios
Anexo Amenazas
192
[E.2] Errores del administrador
[E.3] Errores de monitorización (log)
[E.4] Errores de configuración
[E.7] Deficiencias en la organización
[E.8] Difusión de software dañino
[E.9] Errores de [re-]encaminamiento
[E.10] Errores de secuencia
[E.14] Escapes de información
[E.15] Alteración de la información
[E.16] Introducción de falsa información
[E.17] Degradación de la información
[E.18] Destrucción de la información
[E.19] Divulgación de la información
[E.20] Vulnerabilidades de los programas (software)
[E.21] Errores de mantenimiento/actualización de programas (software)
[E.23] Errores de mantenimiento/actualización de equipos (hardware)
[E.24] Caída del sistema por agotamiento de recursos
[E.28] Indisponibilidad del personal
[A] Ataque deliberados
[A.4] Manipulación de la configuración
[A.5] Suplantación de la identidad del usuario
[A.6] Abuso de privilegios de acceso
[A.7] Uso no previsto
[A.8] Difusión de software dañino
[A.9] [Re-] encaminamiento de mensajes
Anexo Amenazas
193
[A.10] Alteración de la secuencia
[A.11] Acceso no autorizado
[A.12] Análisis de tráfico
[A.13] Repudio
[A.14] Intercepción de información (escucha)
[A.15] Modificación de información
[A.16] Introducción de falsa información
[A.17] Corrupción de la información
[A.18] Destrucción de la información
[A.19] Divulgación de la información
[A.22] Manipulación de programas
[A.24] Denegación de servicio
[A.25] Robo de equipos
[A.26] Ataque destructivo
[A.27] Ocupación enemiga
[A.28] Indisponibilidad del personal
[A.29] Extorsión
[A.30] Ingeriría Social
Anexo Definiciones y Acrónimos
194
Definiciones y Acrónimos
Definiciones
ACREDITACIÓN: Autorización otorgada a un sistema para manejar cierto
tipo de información como, por ejemplo, información
clasificada hasta un determinado nivel y en unas
condiciones especificas.
ACTIVO: Recurso del Sistema de Información o relacionado con
éste, necesario para que la organización funcione
correctamente y alcance los objetivos propuestos por la
dirección.
AMENAZA: Evento que puede desencadenar un incidente en la
organización, produciendo daños o pérdidas materiales o
inmateriales en sus activos.
ANÁLISIS DE RIESGOS: Proceso que permite la identificación de las amenazas que
acechan a los distintos activos del sistema de información
para determinar la vulnerabilidad del sistema ante esas
amenazas y para estimar el impacto o grado de perjuicio
que una seguridad insuficiente puede tener para la
organización, obteniendo cierto conocimiento del riesgo
que se corre.
CONFIDENCIALIDAD: Condición de seguridad que garantiza que la información
no pueda estar disponible o ser descubierta por o para
personas, entidades o procesos no autorizados.
DISPONIBILIDAD: Situación que se produce cuando se puede acceder a la
información contenida en un Sistema, a sus recursos y
servicios, conforme a las especificaciones del mismo.
Previene contra la denegación no autorizada de acceso a
la información o sistemas.
Anexo Definiciones y Acrónimos
195
GESTIÓN DE RIESGOS: Proceso basado en los resultados obtenidos del Análisis
de Riesgos, que permite seleccionar e implantar las
medidas o salvaguardas de seguridad adecuadas para
conocer, prevenir, impedir, reducir o controlar los riesgos
identificados reduciendo de esta manera al mínimo su
potencialidad o sus posibles perjuicios.
IMPACTO: Consecuencia sobre un activo de la materialización de una
amenaza.
INCIDENTE: Cualquier evento no esperado o no deseado que pueda
comprometer la seguridad del sistema.
INFOSEC: Protección de la información almacenada, procesada o
transmitida, por Sistemas de Información y
Telecomunicaciones, mediante la aplicación de las
medidas necesarias que aseguren o garanticen la
confidencialidad, integridad y disponibilidad de la
información y la integridad y disponibilidad de los
propios sistemas.
INTEGRIDAD: Condición de seguridad que garantiza que la
información/sistema no ha sido modificada o alterada por
personas, entidades o procesos no autorizados.
LIMITACIONES: Son restricciones o factores a considerar cuando se
seleccionan o implantan las salvaguardas de seguridad,
como por ejemplo, limitaciones organizativas, financieras,
ambientales, legales, técnicas, culturales, sociales, etc.
Anexo Definiciones y Acrónimos
196
POLÍTICA INFOSEC: Conjunto de normas reguladoras, reglas, procedimientos,
responsabilidades y prácticas que determinan el modo en
que los activos, incluyendo la información considerada
como sensible, son gestionados, protegidos y distribuidos
dentro de una organización.
RIESGO RESIDUAL: Es el riesgo que se tiene tras la aplicación de salvaguardas
de seguridad.
RIESGO: Posibilidad de que se produzca un impacto determinado
en un activo, en un conjunto de activos o en toda la
organización causando un daño en alguna de sus
dimensiones.
SALVAGUARDA o
MEDIDA DE
SEGURIDAD:
Acción, procedimiento o dispositivo físico o lógico que
reduce el riesgo.
SISTEMA DE
INFORMACIÓN;
Conjunto de elementos hardware, software, datos y
usuarios, que interconectados permiten el
almacenamiento, transmisión, transformación y
recuperación de la información.
VULNERABILIDAD: Debilidad de un activo que puede ser explotada por una
amenaza para materializar una agresión sobre dicho
activo.
Anexo Definiciones y Acrónimos
197
Acrónimos
AENOR: Asociación Española de Normalización y Certificación.
ADP: Automatic Data Processing.
AGR: Análisis y Gestión de Riesgos.
ASP: Active Server Pages.
CCN: Centro Criptológico Nacional.
CD-ROM: Compact Disc-Read-Only Memory.
CNI: Centro Nacional de Inteligencia.
COM+: Component Object Model.
CPD: Centro de Producción de Documentos.
CSNC: Criterios de Seguridad, Normalización y Conservación.
DES: Data Encryption Standard.
DFD: Data Flor Diagram.
DRES: Declaración de Requisitos Específicos de Seguridad.
EAR: Entorno de Análisis de Riesgos.
HTTP: Hyper Text Transport Protocol.
HTTPS: Hyper Text Transport Protocol Secure.
HW: Hardware.
IEC: International Electrotechnical Commission.
IIS: Internet Information Services/Server.
Anexo Definiciones y Acrónimos
198
iMat: Sistema de Matriculación de UPCO.
IPSEC: Internet Protocol Secure.
ISDEFE: Ingeniería de Sistema para la Defensa de España S.A.
ISO: International Organization for Standardization.
LAN: Red de Área Local.
MAGERIT: Metodología de Análisis y Gestión de Riesgos de los Sistemas de
Información.
MAC: Media Access Control.
MS: Microsoft.
OTAN: Organización del Tratado del Atlántico Norte.
PC: Personal Computer.
PILAR: Procedimiento Informático-Lógico para el Análisis de Riesgos
POS: Procedimientos Operativos de Seguridad.
RAIS Redundant Array of Independent Disks.
RD994: Reglamento de medidas de seguridad.
SADT: Structured Analysis and Design Technique.
S.O.: Sistema Operativo.
SAI: Sistema de Alimentación Ininterrumpida.
SCSI: Small Computer System Interface.
SecOPS: Security Operating Procedures.
Anexo Definiciones y Acrónimos
199
SQL: Structured Query Language.
STIC: Servicio de Sistemas y tecnologías de la Información y Comunicación.
SW: Software.
TCP/IP: Transport Control Protocol / Internet Protocol.
TI: Tecnología de la Información.
UE: Unión Europea.
UNE: Una Norma Española.
UPCO Universidad Pontificia de Comillas.
USB: Universal Serial Bus.
VB 6.0: Visual Basic 6.0.
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
200
Modelo de Valor
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 202
2. Dimensiones......................................................................................... 202
3. Activos ................................................................................................. 202
Árbol de activos ......................................................................................................202
Resumen de valoración ...........................................................................................203
Grupos de activos....................................................................................................205
3.1.1. [SERV] Servidores...................................................................................... 205
3.1.2. [POWER] Sistema de alimentación............................................................ 205
3.1.3. [TEMP] Sistema de climatización .............................................................. 205
Descripción detallada..............................................................................................205
[MAT] Matriculación..............................................................................................205
[IMPR_BEC] Impresión Becarios ..........................................................................206
[I_A] Información Alumnos ...................................................................................206
[I_B] Información Becarios ....................................................................................207
[I_ASIG] Información Asignaturas ........................................................................207
[I_DEP] Información departamentos......................................................................208
[I_STIC] Información STIC ...................................................................................209
[I_CONF] Información de configuración ...............................................................209
[I_LOG] Información de Log .................................................................................209
[I_COD] Código Fuente .........................................................................................210
[IMAT] iMat ...........................................................................................................210
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
201
[IMATBEC] iMatbecarios ......................................................................................211
[BBDD] SQL Server 2000......................................................................................212
[SO] Sistema Operativo ..........................................................................................212
[AV] Antivirus ........................................................................................................212
[VB] Visual Basic 6.0 .............................................................................................213
[MON_TRANS] Monitor Transaccional ................................................................213
[SERV_BAL] Servidor de balanceo.......................................................................213
[SERV_WEB] Servidores Web ..............................................................................214
[SERV_FICH] Servidor de Ficheros ......................................................................214
[SERV_DAT] Servidor de Datos............................................................................215
[SERV_BACK] Servidor de back-up .....................................................................216
[IMP_BEC] Impresora becarios .............................................................................217
[PC_BEC] PC Becarios ..........................................................................................217
[PC_MAT] PC Matriculación.................................................................................218
[SWITCH] Switch ..................................................................................................218
[CAJ_SEG] Caja de Seguridad...............................................................................219
[LAN] Red de área local .........................................................................................219
[INT] Internet..........................................................................................................220
[FIRE] Firewall .......................................................................................................220
[POWER_AA23] Sistema de Alimentación sala servidores ..................................221
[POWER_AA25] Sistema alimentación sala auxiliar ............................................221
[TEMP_AA23] Sistema de climatización sala servidores......................................222
[TEMP_AA25] sistema climatización sala auxiliar ...............................................222
[SERV_AA23] Servidores......................................................................................222
[SERV_AA25] Servidor auxiliar............................................................................223
[BEC_AA21] Emplazamiento becarios ..................................................................223
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
202
[ADM] Administradores.........................................................................................224
[SG] Secretaría General ..........................................................................................224
[BEC] Becarios .......................................................................................................224
[ALUM] Alumnos ..................................................................................................225
Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Dimensiones o [D] disponibilidad o [I] integridad de los datos o [C] confidencialidad de los datos
Activos
Árbol de activos [S] Servicios [MAT] Matriculación [IMPR_BEC] Impresión Becarios [I] Información [I_A] Información Alumnos [I_B] Información Becarios [I_ASIG] Información Asignaturas [I_DEP] Información departamentos [I_STIC] Información STIC [I_CONF] Información de configuración [I_LOG] Información de Log [I_COD] Código Fuente [A] Aplicaciones [IMAT] iMat [IMATBEC] iMatbecarios [SW_BASE] Software base [BBDD] SQL Server 2000 [SO] Sistema Operativo [AV] Antivirus [VB] Visual Basic 6.0 [MON_TRANS] Monitor Transaccional
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
203
[E] Equipamiento [SERV] Servidores [SERV_BAL] Servidor de balanceo [SERV_WEB] Servidores Web [SERV_FICH] Servidor de Ficheros [SERV_DAT] Servidor de Datos [SERV_BACK] Servidor de back-up [IMP_BEC] Impresora becarios [PC_BEC] PC Becarios [PC_MAT] PC Matriculación [SWITCH] Switch [CAJ_SEG] Caja de Seguridad [LAN] Red de área local [INT] Internet [FIRE] Firewall [POWER] Sistema de alimentación [POWER_AA23] Sistema de Alimentación sala servidores [POWER_AA25] Sistema alimentación sala auxiliar [TEMP] Sistema de climatización [TEMP_AA23] Sistema de climatización sala servidores [TEMP_AA25] sistema climatización sala auxiliar [L] Locales [SERV_AA23] Servidores [SERV_AA25] Servidor auxiliar [BEC_AA21] Emplazamiento becarios [P] Personal [ADM] Administradores [SG] Secretaría General [BEC] Becarios [ALUM] Alumnos
Resumen de valoración [S] Servicios activo [D] [I] [C]
[MAT] Matriculación [7](1) [IMPR_BEC] Impresión Becarios [3](2) (1) [7.lg.b] por afectar gravemente a las relaciones con el público en general (2) [3.po] Orden público: causa de protestas puntuales
[I] Información activo [D] [I] [C]
[I_A] Información Alumnos [6](1) [I_ASIG] Información Asignaturas [3](2) [I_DEP] Información departamentos [3](3) [I_STIC] Información STIC [2](4) [I_CONF] Información de configuración [1](5)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
204
[I_LOG] Información de Log [1](6) [1](7) [1](8) (1) [6.lbl] Datos clasificados como de difusión limitada (2) [3.lbl] Datos clasificados como de difusión limitada (3) [3.lbl] Datos clasificados como de difusión limitada (4) [2.lbl] Datos clasificados como sin clasificar (5) [1.lbl] Datos clasificados como sin clasificar (6) [1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance
local) (7) [1.lg] Pudiera causar una pérdida menor de la confianza dentro de la Organización
[1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance local) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
(8) [1.lg] Pudiera causar una pérdida menor de la confianza dentro de la Organización [1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance local) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
[A] Aplicaciones activo [D] [I] [C]
[IMAT] iMat [7](1) (1) [7.da] Probablemente cause una interrupción seria de las actividades propias de la
Organización con un impacto significativo en otras organizaciones [7.adm] Administración y gestión: probablemente impediría la operación efectiva de la organización [7.lg.b] por afectar gravemente a las relaciones con el público en general [7.olm] Probablemente cause perjudique la eficacia o seguridad de la misión operativa o logística [7.cei.c] causa de graves pérdidas económicas
[E] Equipamiento activo [D] [I] [C]
[SERV_WEB] Servidores Web [7](1) [SERV_BACK] Servidor de back-up [1](2) [2](3) [IMP_BEC] Impresora becarios [1](4) [PC_MAT] PC Matriculación [1](5) [CAJ_SEG] Caja de Seguridad [4](6) [4](7) (1) [7.adm] Administración y gestión: probablemente impediría la operación efectiva de la
organización [5.da] Probablemente cause la interrupción de actividades propias de la Organización con impacto en otras organizaciones
(2) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
(3) [2.cei.b] de bajo valor comercial [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
(4) [1.po] Orden público: pudiera causar protestas puntuales [0.1] no afectaría a la seguridad de las personas
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
205
[0.2] sería causa de inconveniencias mínimas a las partes afectadas (5) [1.po] Orden público: pudiera causar protestas puntuales (6) [4.lbl] Datos clasificados como de difusión limitada (7) [4.pi1] Información personal: probablemente afecte a un grupo de individuos
[4.pi2] Información personal: probablemente quebrante leyes o regulaciones [4.crm] Dificulte la investigación o facilite la comisión de delitos [4.lbl] Datos clasificados como de difusión limitada
Grupos de activos
1.1.1. [SERV] Servidores o [SERV_BAL] Servidor de balanceo o [SERV_WEB] Servidores Web o [SERV_FICH] Servidor de Ficheros o [SERV_DAT] Servidor de Datos o [SERV_BACK] Servidor de back-up
1.1.2. [POWER] Sistema de alimentación o [POWER_AA23] Sistema de Alimentación sala servidores o [POWER_AA25] Sistema alimentación sala auxiliar
1.1.3. [TEMP] Sistema de climatización o [TEMP_AA23] Sistema de climatización sala servidores o [TEMP_AA25] sistema climatización sala auxiliar
Descripción detallada
[MAT] Matriculación o [S] Servicios o [S.pub] al público en general (sin relación contractual) o [S.ext] a usuarios externos (bajo una relación contractual) o [S.int] interno (usuarios y medios de la propia organzación) o [S.www] world wide web o [S.telnet] acceso remoto a cuenta local o [S.edi] intercambio electrónico de datos o [S.idm] gestión de identidades o [S.ipm] gestión de privilegios o [S.pki] PKI - infraestructura de clave pública
Plano: [base] Matriculación
Características descripción Servicio dado por la universidad para la realización la matriculación por Internet propietario Universidad Pontificia de Comillas
Inferiores (activos de los que depende este)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
206
o [I_A] Información Alumnos o [I_ASIG] Información Asignaturas o [I_DEP] Información departamentos o [I_CONF] Información de configuración
Valoración dimensión valor valor acumulado
[D] disponibilidad [7](1) [7] (1) [7.lg.b] por afectar gravemente a las relaciones con el público en general
[IMPR_BEC] Impresión Becarios o [S] Servicios o [S.int] interno (usuarios y medios de la propia organzación) o [S.idm] gestión de identidades o [S.ipm] gestión de privilegios o [S.pki] PKI - infraestructura de clave pública
Plano: [base] Matriculación
Características descripción Servicio suministrado a los becarios para ayudar a los alumnos en la realización de
sus matrículas propietario Universidad Pontificia de Comillas
Inferiores (activos de los que depende este) o [I_B] Información Becarios o [I_DEP] Información departamentos o [I_CONF] Información de configuración
Valoración dimensión valor valor acumulado
[D] disponibilidad [3](1) [3] (1) [3.po] Orden público: causa de protestas puntuales
[I_A] Información Alumnos o [D] Datos / Información o [D.adm] datos de interés para la administración pública o [D.int] datos de gestión interna o [D.per] datos de carácter personal o [D.per.A] de nivel alto
Plano: [base] Matriculación
Características Tipo de
información
Información personal de los alumnos de la Universidad Pontificia de Comillas
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
207
Particularidad En este activo se incluye la información de la matrícula.
Superiores (activos que dependen de este) o [MAT] Matriculación o [I_LOG] Información de Log
Inferiores (activos de los que depende este) o [IMAT] iMat o [SG] Secretaría General
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [6](1) [6] (1) [6.lbl] Datos clasificados como de difusión limitada
[I_B] Información Becarios o [D] Datos / Información o [D.int] datos de gestión interna o [D.per] datos de carácter personal o [D.per.A] de nivel alto
Plano: [base] Matriculación
Características Tipo de
información
Información relativa a los becarios que trabajan con iMat y por tanto tienen acceso al programa iMatBecarios
Superiores (activos que dependen de este) o [IMPR_BEC] Impresión Becarios o [I_LOG] Información de Log
Inferiores (activos de los que depende este) o [IMATBEC] iMatbecarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [3] [I] integridad de los datos [1] [C] confidencialidad de los datos [1]
[I_ASIG] Información Asignaturas o [D] Datos / Información o [D.adm] datos de interés para la administración pública o [D.int] datos de gestión interna o [D.conf] datos de configuración o [D.label] datos clasificados o [D.label.SC] sin clasificar
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
208
Plano: [base] Matriculación
Características Tipo de
información
Información relativa a las asignaturas existentes en la universidad y que pueden llegar a impartirse
Superiores (activos que dependen de este) o [MAT] Matriculación o [I_LOG] Información de Log
Inferiores (activos de los que depende este) o [IMAT] iMat
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [3](1) [3] (1) [3.lbl] Datos clasificados como de difusión limitada
[I_DEP] Información departamentos o [D] Datos / Información o [D.int] datos de gestión interna o [D.label] datos clasificados o [D.label.C] confidencial o [D.label.DL] difusión limitada
Plano: [base] Matriculación
Características Tipo de activo Información relativa a los departamentos de la universidad Particularidad Incluye la información perteneciente a las reglas a aplicar para cada alumno a la
hora de realizar su matrícula
Superiores (activos que dependen de este) o [MAT] Matriculación o [IMPR_BEC] Impresión Becarios o [I_LOG] Información de Log
Inferiores (activos de los que depende este) o [IMAT] iMat
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [3](1) [3] (1) [3.lbl] Datos clasificados como de difusión limitada
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
209
[I_STIC] Información STIC o [D] Datos / Información o [D.adm] datos de interés para la administración pública o [D.per] datos de carácter personal
Plano: [base] Matriculación
Características Tipo de información Información relativa al personal de STIc relacionado con iMat
Inferiores (activos de los que depende este) o [IMAT] iMat o [IMATBEC] iMatbecarios
Valoración dimensión valor valor acumulado
[C] confidencialidad de los datos [2](1) [2] (1) [2.lbl] Datos clasificados como sin clasificar
[I_CONF] Información de configuración o [D] Datos / Información o [D.conf] datos de configuración
Plano: [base] Matriculación
Características Tipo de
información
Información relativa a la configuración de iMat así como a los distintos tipos de acceso posibles
Superiores (activos que dependen de este) o [MAT] Matriculación o [IMPR_BEC] Impresión Becarios
Inferiores (activos de los que depende este) o [IMAT] iMat o [IMATBEC] iMatbecarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [C] confidencialidad de los datos [1](1) [1] (1) [1.lbl] Datos clasificados como sin clasificar
[I_LOG] Información de Log o [D] Datos / Información o [D.log] registro de actividad (log)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
210
Plano: [base] Matriculación
Características Tipo de información Información histórica del uso de iMat o iMatBecarios
Inferiores (activos de los que depende este) o [I_A] Información Alumnos o [I_B] Información Becarios o [I_ASIG] Información Asignaturas o [I_DEP] Información departamentos
Valoración dimensión valor valor acumulado
[D] disponibilidad [1](1) [1] [I] integridad de los datos [1](2) [1] [C] confidencialidad de los datos [1](3) [1] (1) [1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance
local) (2) [1.lg] Pudiera causar una pérdida menor de la confianza dentro de la Organización
[1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance local) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
(3) [1.lg] Pudiera causar una pérdida menor de la confianza dentro de la Organización [1.olm] Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance local) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o información
[I_COD] Código Fuente o [D] Datos / Información o [D.source] código fuente
Plano: [base] Matriculación
Características Tipo de información Código fuente de iMat Particularidad Necesario para modificar iMat pero no para su funcionamiento.
Inferiores (activos de los que depende este) o [SERV_FICH] Servidor de Ficheros
Valoración dimensión valor valor acumulado
[IMAT] iMat o [SW] Aplicaciones (software) o [SW.prp] desarrollo propio (in house)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
211
Plano: [base] Matriculación
Características Propósito Aplicación usada por los alumnos para realizar la matricula a través de Internet. propietario Universidad Pontificia de Comillas
Superiores (activos que dependen de este) o [I_A] Información Alumnos o [I_ASIG] Información Asignaturas o [I_DEP] Información departamentos o [I_STIC] Información STIC o [I_CONF] Información de configuración
Inferiores (activos de los que depende este) o [BBDD] SQL Server 2000 o [SERV_WEB] Servidores Web o [ALUM] Alumnos
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7](1) [7] [C] confidencialidad de los datos [6] (1) [7.da] Probablemente cause una interrupción seria de las actividades propias de la
Organización con un impacto significativo en otras organizaciones [7.adm] Administración y gestión: probablemente impediría la operación efectiva de la organización [7.lg.b] por afectar gravemente a las relaciones con el público en general [7.olm] Probablemente cause perjudique la eficacia o seguridad de la misión operativa o logística [7.cei.c] causa de graves pérdidas económicas
[IMATBEC] iMatbecarios o [SW] Aplicaciones (software) o [SW.prp] desarrollo propio (in house)
Plano: [base] Matriculación
Características Propósito Ayuda a los becarios a dar soporte a los alumnos a la hora de realizar e imprimir la
matrícula propietario Universidad Pontificia de Comillas
Superiores (activos que dependen de este) o [I_B] Información Becarios o [I_STIC] Información STIC o [I_CONF] Información de configuración
Inferiores (activos de los que depende este)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
212
o [BBDD] SQL Server 2000 o [SERV_WEB] Servidores Web o [BEC] Becarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [2]
[BBDD] SQL Server 2000 o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.dbms] sistema de gestión de bases de datos
Plano: [base] Matriculación
Características descripción Almacena toda la información que la universidad posee propietario Universidad Pontificia de Comillas
Superiores (activos que dependen de este) o [IMAT] iMat o [IMATBEC] iMatbecarios
Inferiores (activos de los que depende este) o [SERV_DAT] Servidor de Datos o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SO] Sistema Operativo o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.os] sistema operativo
Plano: [base] Matriculación
Valoración dimensión valor valor acumulado
[AV] Antivirus o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.av] anti virus
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
213
Plano: [base] Matriculación
Valoración dimensión valor valor acumulado
[VB] Visual Basic 6.0 o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.other] otra ...
Plano: [base] Matriculación
Valoración dimensión valor valor acumulado
[MON_TRANS] Monitor Transaccional o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.tm] monitor transaccional
Plano: [base] Matriculación
Valoración dimensión valor valor acumulado
[SERV_BAL] Servidor de balanceo o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.directory] servidor de directorio o [SW.std.tm] monitor transaccional o [HW] Equipamiento informático (hardware) o [HW.host] grandes equipos o [HW.network] soporte de la red
Plano: [base] Matriculación
Características descripción Balancea la carga de trabajo hacia los tres servidores Web propietario Universidad Pontificia de Comillas cantidad 1
Superiores (activos que dependen de este) o [SERV_WEB] Servidores Web o [SERV_FICH] Servidor de Ficheros
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
214
Inferiores (activos de los que depende este) o [FIRE] Firewall o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SERV_WEB] Servidores Web o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.www] servidor de presentación o [SW.std.file] servidor de ficheros o [SW.std.tm] monitor transaccional o [SW.std.os] sistema operativo o [SW.std.ts] servidor de terminales o [HW] Equipamiento informático (hardware) o [HW.host] grandes equipos
Plano: [base] Matriculación
Características descripción Servidores de presentación desde donde se cargan las páginas ASP mostradas a los
alumnos propietario Universidad Pontificia de Comillas cantidad 3 (por ser los más propensos a fallos) Localización Alberto Aguilera 23. Tercera planta, habitación de servidores de STIC
Superiores (activos que dependen de este) o [IMAT] iMat o [IMATBEC] iMatbecarios
Inferiores (activos de los que depende este) o [SERV_BAL] Servidor de balanceo o [SERV_FICH] Servidor de Ficheros o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7](1) [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6] (1) [7.adm] Administración y gestión: probablemente impediría la operación efectiva de la
organización [5.da] Probablemente cause la interrupción de actividades propias de la Organización con impacto en otras organizaciones
[SERV_FICH] Servidor de Ficheros
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
215
o [D] Datos / Información o [D.int] datos de gestión interna o [D.source] código fuente o [D.exe] código ejecutable o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.app] servidor de aplicaciones o [SW.std.file] servidor de ficheros o [HW] Equipamiento informático (hardware) o [HW.host] grandes equipos o [HW.data] que almacena datos o [HW.peripheral] periféricos o [HW.peripheral.crypto] dispositivos criptográficos
Plano: [base] Matriculación
Características descripción Capa de negocio propietario Universidad Pontificia de Comillas cantidad 1
Superiores (activos que dependen de este) o [I_COD] Código Fuente o [SERV_WEB] Servidores Web
Inferiores (activos de los que depende este) o [SERV_BAL] Servidor de balanceo o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SERV_DAT] Servidor de Datos o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.dbms] sistema de gestión de bases de datos o [HW] Equipamiento informático (hardware) o [HW.host] grandes equipos o [HW.data] que almacena datos o [HW.peripheral] periféricos o [HW.peripheral.crypto] dispositivos criptográficos
Plano: [base] Matriculación
Características descripción Servidor donde se encuentra la Base de datos que contienen toda la información propietario Universidad Pontificia de Comillas cantidad 1 (+ 1 de reserva)
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
216
Localización Alberto Aguilera 23, Tercera panta, habitación de servidores situado en STIC Disponibilidad Asegurada mediante un HW idéntico de reserva por si hay que hacer un recambio
de componentes o un cambio completo de la máquina. A su vez existe una garantía 24x7x4. Usa discos RAID
Back-up se hace una copia cada cinco minutos en un servidor localizado en un lugar remoto (Alberto Aguilera 21)
Superiores (activos que dependen de este) o [BBDD] SQL Server 2000 o [SERV_BACK] Servidor de back-up
Inferiores (activos de los que depende este) o [FIRE] Firewall o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SERV_BACK] Servidor de back-up o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.file] servidor de ficheros o [SW.std.backup] sistema de backup o [HW] Equipamiento informático (hardware) o [HW.host] grandes equipos o [HW.data] que almacena datos
Plano: [base] Matriculación
Características descripción Almacena toda la información con 5 minutos de diferencia con el servidor principal propietario Universidad Pontrificia de Comillas cantidad 1 Localización Alverto Aguilera 21. Primera planta
Inferiores (activos de los que depende este) o [SERV_DAT] Servidor de Datos o [POWER_AA25] Sistema alimentación sala auxiliar o [TEMP_AA25] sistema climatización sala auxiliar o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [1](1) [1] [I] integridad de los datos [2](2) [2] (1) [1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o
información (2) [2.cei.b] de bajo valor comercial
[1.iio] Pudiera causar algún daño menor a misiones importantes de inteligencia o
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
217
información
[IMP_BEC] Impresora becarios o [HW] Equipamiento informático (hardware) o [HW.easy] fácilmente reeemplazable o [HW.peripheral] periféricos o [HW.peripheral.print] medios de impresión
Plano: [base] Matriculación
Características propósito Usado para imprimir las matrículas desde el puesto de trabajo de los becarios propietario Universidad Pontificia de COmillas cantidad 1
Inferiores (activos de los que depende este) o [PC_BEC] PC Becarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [1](1) [1] (1) [1.po] Orden público: pudiera causar protestas puntuales
[0.1] no afectaría a la seguridad de las personas [0.2] sería causa de inconveniencias mínimas a las partes afectadas
[PC_BEC] PC Becarios o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.browser] navegador web o [SW.std.os] sistema operativo o [HW] Equipamiento informático (hardware) o [HW.pc] informática personal o [HW.easy] fácilmente reeemplazable
Plano: [base] Matriculación
Características Propósito Usado para dar soporte a los alumnos en tiempo de matriculación propietario Universidad Pontificia de Comillas cantidad 2
Superiores (activos que dependen de este) o [IMP_BEC] Impresora becarios
Inferiores (activos de los que depende este) o [LAN] Red de área local o [BEC_AA21] Emplazamiento becarios
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
218
Valoración dimensión valor valor acumulado
[D] disponibilidad [1]
[PC_MAT] PC Matriculación o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.browser] navegador web o [SW.std.www] servidor de presentación o [SW.std.os] sistema operativo o [SW.std.other] otra ... o [HW] Equipamiento informático (hardware) o [HW.pc] informática personal o [HW.easy] fácilmente reeemplazable
Plano: [base] Matriculación
Características descripción Empleados por los alumnos para realizar la matriculación por Internet desde la
universidad. Acceden a la Intranet directamente propietario Universidad Pontificia de Comillas cantidad 10
Inferiores (activos de los que depende este) o [LAN] Red de área local o [BEC_AA21] Emplazamiento becarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [1](1) [1]
(1) [1.po] Orden público: pudiera causar protestas puntuales
[SWITCH] Switch o [HW] Equipamiento informático (hardware) o [HW.network] soporte de la red o [HW.network.switch] switches o [HW.network.firewall] cortafuegos o [HW.network.wap] punto de acceso wireless
Plano: [base] Matriculación
Características descripción Switch y firewall propietario Universidad Pontificia de Comillas cantidad 1
Superiores (activos que dependen de este) o [FIRE] Firewall
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
219
Inferiores (activos de los que depende este) o [LAN] Red de área local o [INT] Internet o [SERV_AA23] Servidores o [ADM] Administradores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[CAJ_SEG] Caja de Seguridad o [D] Datos / Información o [D.adm] datos de interés para la administración pública o [D.int] datos de gestión interna o [D.log] registro de actividad (log) o [D.per] datos de carácter personal o [D.label] datos clasificados o [D.label.S] secreto o [D.label.R] reservado o [D.label.C] confidencial o [D.label.DL] difusión limitada o [D.label.SC] sin clasificar o [AUX] Equipamiento auxiliar o [AUX.safe] cajas fuertes
Plano: [base] Matriculación
Características propietario Universidad Pontificia de Comillas cantidad 1
Valoración dimensión valor valor acumulado
[I] integridad de los datos [4](1) [4] [C] confidencialidad de los datos [4](2) [4] (1) [4.lbl] Datos clasificados como de difusión limitada (2) [4.pi1] Información personal: probablemente afecte a un grupo de individuos
[4.pi2] Información personal: probablemente quebrante leyes o regulaciones [4.crm] Dificulte la investigación o facilite la comisión de delitos [4.lbl] Datos clasificados como de difusión limitada
[LAN] Red de área local o [COM] Redes de comunicaciones o [COM.radio] red inalámbrica o [COM.LAN] red local
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
220
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [PC_BEC] PC Becarios o [PC_MAT] PC Matriculación o [SWITCH] Switch o [SERV_AA25] Servidor auxiliar
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[INT] Internet o [COM] Redes de comunicaciones o [COM.Internet] Internet o [COM.other] otras ...
Plano: [base] Matriculación
Características descripción Se compone de dos fibras ópticas suministradas por la RedIRIS propietario RedIRIS cantidad 2
Superiores (activos que dependen de este) o [SWITCH] Switch
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[FIRE] Firewall o [SW] Aplicaciones (software) o [SW.std] estándar (off the shelf) o [SW.std.av] anti virus o [HW] Equipamiento informático (hardware) o [HW.network] soporte de la red o [HW.network.firewall] cortafuegos
Plano: [base] Matriculación
Características descripción Firewall que protege al sistema de Comillas propietario Universidad Pontificia de Comillas cantidad 1 disponibiliad Su fallo puede desencadenar fallos en cadena muy graves que afectan al servidor
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
221
de datos (BBDD), al de ficheros, al de balanceo y a los servidores Web. Esto desencadenaria un error en cadena en todo el sistema de información
Superiores (activos que dependen de este) o [SERV_BAL] Servidor de balanceo o [SERV_DAT] Servidor de Datos
Inferiores (activos de los que depende este) o [SWITCH] Switch
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[POWER_AA23] Sistema de Alimentación sala servidores o [AUX] Equipamiento auxiliar o [AUX.power] fuentes de alimentación o [AUX.ups] sai - sistemas de alimentación ininterrumpida o [AUX.gen] generadores eléctricos o [AUX.cabling] cableado
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [SERV_AA23] Servidores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[POWER_AA25] Sistema alimentación sala auxiliar o [AUX] Equipamiento auxiliar o [AUX.power] fuentes de alimentación o [AUX.ups] sai - sistemas de alimentación ininterrumpida o [AUX.gen] generadores eléctricos o [AUX.cabling] cableado
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [SERV_BACK] Servidor de back-up
Inferiores (activos de los que depende este) o [SERV_AA25] Servidor auxiliar
Valoración dimensión valor valor acumulado
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
222
[D] disponibilidad [1] [I] integridad de los datos [2]
[TEMP_AA23] Sistema de climatización sala servidores o [AUX] Equipamiento auxiliar o [AUX.ac] equipos de climatización
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [SERV_AA23] Servidores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[TEMP_AA25] sistema climatización sala auxiliar o [AUX] Equipamiento auxiliar o [AUX.ac] equipos de climatización
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [SERV_BACK] Servidor de back-up
Inferiores (activos de los que depende este) o [SERV_AA25] Servidor auxiliar
Valoración dimensión valor valor acumulado
[D] disponibilidad [1] [I] integridad de los datos [2]
[SERV_AA23] Servidores o [L] Instalaciones o [L.site] emplazamiento o [L.building] edificio
Plano: [base] Matriculación
Características Localización Alberto Aguilera 23. Tercera planta. Dicha planta es la planta donde se encuentra
STIC. Seguridad Para acceder a la habitación de los servidores hay que disponer de una tarjeta de
acceso que sólo posee el personal autorizado.
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
223
Superiores (activos que dependen de este) o [SWITCH] Switch
Inferiores (activos de los que depende este) o [POWER_AA23] Sistema de Alimentación sala servidores o [TEMP_AA23] Sistema de climatización sala servidores
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SERV_AA25] Servidor auxiliar o [L] Instalaciones o [L.site] emplazamiento o [L.building] edificio
Plano: [base] Matriculación
Características Localización Localizado en Alberto Aguilera 25
Superiores (activos que dependen de este) o [POWER_AA25] Sistema alimentación sala auxiliar o [TEMP_AA25] sistema climatización sala auxiliar
Inferiores (activos de los que depende este) o [LAN] Red de área local
Valoración dimensión valor valor acumulado
[D] disponibilidad [1] [I] integridad de los datos [2]
[BEC_AA21] Emplazamiento becarios o [L] Instalaciones o [L.site] emplazamiento
Plano: [base] Matriculación
Características Localización Se encuentra en el pasillo de la primera planta de Alberto Aguilera 21. se compone
de dos lugares de trabajo con un ordenador cada uno y una impresora compartida que sólo sirve para imprimir matrículas.
Superiores (activos que dependen de este) o [PC_BEC] PC Becarios o [PC_MAT] PC Matriculación
Valoración dimensión valor valor acumulado
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
224
[D] disponibilidad [1]
[ADM] Administradores o [P] Personal o [P.adm] administradores de sistemas o [P.com] administradores de comunicaciones o [P.dba] administradores de BBDD
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [BBDD] SQL Server 2000 o [SERV_BAL] Servidor de balanceo o [SERV_WEB] Servidores Web o [SERV_FICH] Servidor de Ficheros o [SERV_DAT] Servidor de Datos o [SERV_BACK] Servidor de back-up o [SWITCH] Switch
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
[SG] Secretaría General o [P] Personal o [P.ui] usuarios internos o [P.op] operadores
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [I_A] Información Alumnos
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [6]
[BEC] Becarios o [P] Personal o [P.ui] usuarios internos o [P.op] operadores
Plano: [base] Matriculación
Anexo: Modelo de Valor [IMAT] Sistema de Matriculación
225
Superiores (activos que dependen de este) o [IMATBEC] iMatbecarios
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [1] [C] confidencialidad de los datos [2]
[ALUM] Alumnos o [P] Personal o [P.ue] usuarios externos o [P.ui] usuarios internos
Plano: [base] Matriculación
Superiores (activos que dependen de este) o [IMAT] iMat
Valoración dimensión valor valor acumulado
[D] disponibilidad [7] [I] integridad de los datos [7] [C] confidencialidad de los datos [6]
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
226
Mapa de Riesgos
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 230
2. Dimensiones......................................................................................... 230
3. Amenazas por activo .......................................................................... 230
3.1. [MAT] Matriculación.......................................................................................230
3.2. [IMPR_BEC] Impresión Becarios ...................................................................230
3.3. [I_A] Información Alumnos ............................................................................230
3.4. [I_B] Información Becarios .............................................................................231
3.5. [I_ASIG] Información Asignaturas .................................................................231
3.6. [I_DEP] Información departamentos ...............................................................231
3.7. [I_STIC] Información STIC ............................................................................232
3.8. [I_CONF] Información de configuración ........................................................232
3.9. [I_LOG] Información de Log ..........................................................................232
3.10. [I_COD] Código Fuente ................................................................................232
3.11. [IMAT] iMat ..................................................................................................233
3.12. [IMATBEC] iMatbecarios .............................................................................233
3.13. [BBDD] SQL Server 2000.............................................................................234
3.14. [SO] Sistema Operativo .................................................................................234
3.15. [AV] Antivirus ...............................................................................................234
3.16. [VB] Visual Basic 6.0 ....................................................................................235
3.18. [SERV_BAL] Servidor de balanceo..............................................................236
3.19. [SERV_WEB] Servidores Web .....................................................................237
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
227
3.20. [SERV_FICH] Servidor de Ficheros .............................................................237
3.21. [SERV_DAT] Servidor de Datos...................................................................238
3.22. [SERV_BACK] Servidor de back-up ............................................................239
3.23. [IMP_BEC] Impresora becarios ....................................................................240
3.24. [PC_BEC] PC Becarios .................................................................................240
3.25. [PC_MAT] PC Matriculación........................................................................241
3.26. [SWITCH] Switch .........................................................................................241
3.27. [CAJ_SEG] Caja de Seguridad......................................................................242
3.28. [LAN] Red de área local ................................................................................242
3.29. [INT] Internet.................................................................................................243
3.30. [FIRE] Firewall ..............................................................................................243
3.31. [POWER_AA23] Sistema de Alimentación sala servidores .........................244
3.32. [POWER_AA25] Sistema alimentación sala auxiliar ...................................244
3.33. [TEMP_AA23] Sistema de climatización sala servidores.............................245
3.34. [TEMP_AA25] sistema climatización sala auxiliar ......................................245
3.35. [SERV_AA23] Servidores.............................................................................245
3.36. [SERV_AA25] Servidor auxiliar...................................................................245
3.37. [BEC_AA21] Emplazamiento becarios .........................................................246
3.38. [ADM] Administradores................................................................................246
3.39. [SG] Secretaría General .................................................................................246
3.40. [BEC] Becarios ..............................................................................................246
3.41. [ALUM] Alumnos .........................................................................................246
4. Activos por amenaza .......................................................................... 247
4.1. [N.1] Fuego ......................................................................................................247
4.2. [N.2] Daños por agua.......................................................................................247
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
228
4.3. [N.*] Desastres naturales .................................................................................247
4.4. [I.1] Fuego........................................................................................................247
4.5. [I.2] Daños por agua ........................................................................................248
4.6. [I.*] Desastres industriales...............................................................................248
4.7. [I.3] Contaminación mecánica .........................................................................248
4.8. [I.4] Contaminación electromagnética.............................................................249
4.9. [I.5] Avería de origen físico o lógico...............................................................249
4.10. [I.6] Corte del suministro eléctrico ................................................................250
4.11. [I.7] Condiciones inadecuadas de temperatura y/o humedad ........................250
4.12. [I.8] Fallo de servicios de comunicaciones....................................................250
4.13. [I.9] Interrupción de otros servicios y suministros esenciales .......................250
4.14. [I.11] Emanaciones electromagnéticas ..........................................................251
4.15. [E.1] Errores de los usuarios..........................................................................251
4.16. [E.2] Errores del administrador......................................................................251
4.17. [E.3] Errores de monitorización (log) ............................................................252
4.18. [E.4] Errores de configuración.......................................................................252
4.19. [E.7] Deficiencias en la organización ............................................................253
4.20. [E.8] Difusión de software dañino .................................................................253
4.21. [E.9] Errores de [re-]encaminamiento ...........................................................254
4.22. [E.10] Errores de secuencia ...........................................................................254
4.23. [E.14] Escapes de información ......................................................................254
4.24. [E.15] Alteración de la información ..............................................................255
4.25. [E.16] Introducción de falsa información ......................................................255
4.26. [E.17] Degradación de la información...........................................................255
4.27. [E.18] Destrucción de la información............................................................255
4.28. [E.19] Divulgación de información ...............................................................255
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
229
4.29. [E.20] Vulnerabilidades de los programas (software) ...................................256
4.30. [E.21] Errores de mantenimiento / actualización de programas (software)...256
4.31. [E.23] Errores de mantenimiento / actualización de equipos (hardware)......257
4.32. [E.24] Caída del sistema por agotamiento de recursos ..................................257
4.33. [E.28] Indisponibilidad del personal..............................................................257
4.34. [A.4] Manipulación de la configuración........................................................257
4.35. [A.5] Suplantación de la identidad del usuario..............................................258
4.36. [A.6] Abuso de privilegios de acceso ............................................................258
4.37. [A.8] Difusión de software dañino.................................................................259
4.38. [A.9] [Re-]encaminamiento de mensajes.......................................................259
4.39. [A.10] Alteración de secuencia......................................................................259
4.40. [A.11] Acceso no autorizado .........................................................................260
4.41. [A.12] Análisis de tráfico...............................................................................261
4.42. [A.14] Intercepción de información (escucha) ..............................................261
4.43. [A.15] Modificación de información .............................................................261
4.44. [A.16] Introducción de falsa información......................................................261
4.45. [A.17] Corrupción de la información.............................................................261
4.46. [A.18] Destrucción de la información ...........................................................262
4.47. [A.19] Divulgación de información...............................................................262
4.48. [A.22] Manipulación de programas ...............................................................262
4.49. [A.24] Denegación de servicio ......................................................................262
4.50. [A.25] Robo de equipos .................................................................................263
4.51. [A.26] Ataque destructivo..............................................................................263
4.52. [A.28] Indisponibilidad del personal .............................................................263
4.53. [A.29] Extorsión ............................................................................................263
4.54. [A.30] Ingeniería social .................................................................................264
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
230
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Dimensiones o [D] disponibilidad o [I] integridad de los datos o [C] confidencialidad de los datos
Amenazas por activo
[MAT] Matriculación amenaza frecuencia [D] [I] [C]
[E.1] Errores de los usuarios 100 10% 30% [E.2] Errores del administrador 20 50% 20% [E.3] Errores de monitorización (log) 1 20% 20% [E.4] Errores de configuración 0,5 80% 10% [E.10] Errores de secuencia 0,5 10% [E.24] Caída del sistema por agotamiento de recursos 0,4 100% [A.4] Manipulación de la configuración 0,1 50% 10% [A.5] Suplantación de la identidad del usuario 100 40% [A.6] Abuso de privilegios de acceso 10 10% [A.10] Alteración de secuencia 0,1 10% [A.11] Acceso no autorizado 100 30% [A.24] Denegación de servicio 10 30%
[IMPR_BEC] Impresión Becarios amenaza frecuencia [D] [I] [C]
[E.1] Errores de los usuarios 30 10% [E.2] Errores del administrador 1 50% [E.3] Errores de monitorización (log) 1 20% [E.4] Errores de configuración 0,5 80% [E.10] Errores de secuencia 0,5 [E.24] Caída del sistema por agotamiento de recursos 0,4 100% [A.4] Manipulación de la configuración 0,1 50% [A.5] Suplantación de la identidad del usuario 0,1 [A.6] Abuso de privilegios de acceso 10 [A.10] Alteración de secuencia 0,1 [A.11] Acceso no autorizado 0,5 [A.24] Denegación de servicio 1 30%
[I_A] Información Alumnos
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
231
amenaza frecuencia [D] [I] [C]
[E.1] Errores de los usuarios 100 10% 30% [E.2] Errores del administrador 50 40% 20% 10% [E.3] Errores de monitorización (log) 1 50% [E.4] Errores de configuración 0,5 50% 20% 20% [E.15] Alteración de la información 10 30% [E.16] Introducción de falsa información 100 30% [E.18] Destrucción de la información 10 20% [E.19] Divulgación de información 1 40% [A.4] Manipulación de la configuración 0,1 50% 10% 50% [A.11] Acceso no autorizado 100 30% 50% [A.15] Modificación de información 10 60% [A.16] Introducción de falsa información 20 80% [A.17] Corrupción de la información 10 80% [A.18] Destrucción de la información 10 100% [A.19] Divulgación de información 10 100%
[I_B] Información Becarios amenaza frecuencia [D] [I] [C]
[E.1] Errores de los usuarios 100 10% 10% [E.2] Errores del administrador 20 20% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 0,5 50% 10% 10% [E.15] Alteración de la información 10 1% [E.16] Introducción de falsa información 100 1% [E.18] Destrucción de la información 10 1% [E.19] Divulgación de información 1 10% [A.4] Manipulación de la configuración 0,1 50% 10% 50% [A.11] Acceso no autorizado 100 10% 50% [A.15] Modificación de información 10 50% [A.17] Corrupción de la información 10 50% [A.18] Destrucción de la información 10 50% [A.19] Divulgación de información 10 100%
[I_ASIG] Información Asignaturas amenaza frecuencia [D] [I] [C]
[E.2] Errores del administrador 1 50% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 0,5 50% 10% 10% [E.15] Alteración de la información 10 40% [E.16] Introducción de falsa información 100 70% [A.11] Acceso no autorizado 1 30% 50% [A.15] Modificación de información 100 100% [A.19] Divulgación de información 20 100%
[I_DEP] Información departamentos amenaza frecuencia [D] [I] [C]
[E.2] Errores del administrador 1 20% 20% 10% [E.4] Errores de configuración 0,5 50% 10% 10% [E.15] Alteración de la información 10 1%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
232
[E.16] Introducción de falsa información 100 1% [A.4] Manipulación de la configuración 0,1 50% 10% 50% [A.11] Acceso no autorizado 100 10% 50% [A.15] Modificación de información 10 50% [A.19] Divulgación de información 10 100%
[I_STIC] Información STIC amenaza frecuencia [D] [I] [C]
[E.2] Errores del administrador 1 10% [E.4] Errores de configuración 0,5 10% [E.15] Alteración de la información 10 [E.16] Introducción de falsa información 100 [A.4] Manipulación de la configuración 0,1 50% [A.11] Acceso no autorizado 100 50% [A.15] Modificación de información 10
[I_CONF] Información de configuración amenaza frecuencia [D] [I] [C]
[E.2] Errores del administrador 1 20% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 0,5 50% 10% 10% [E.16] Introducción de falsa información 100 1% [A.4] Manipulación de la configuración 0,1 50% 10% 50% [A.11] Acceso no autorizado 100 10% 50%
[I_LOG] Información de Log amenaza frecuencia [D] [I] [C]
[E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 0,5 50% 10% 10% [A.11] Acceso no autorizado 100 10% 50%
[I_COD] Código Fuente amenaza frecuencia [D] [I] [C]
[E.1] Errores de los usuarios 10 [E.2] Errores del administrador 1 [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 0,5 [E.14] Escapes de información 1 [E.15] Alteración de la información 10 [E.17] Degradación de la información 10 [E.18] Destrucción de la información 10 [E.19] Divulgación de información 1 [A.4] Manipulación de la configuración 0,1 [A.11] Acceso no autorizado 100 [A.14] Intercepción de información (escucha) 10 [A.15] Modificación de información 10 [A.16] Introducción de falsa información 20 [A.17] Corrupción de la información 10 [A.18] Destrucción de la información 10
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
233
[A.19] Divulgación de información 10
[IMAT] iMat amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 50% [E.1] Errores de los usuarios 100 20% 50% 10% [E.2] Errores del administrador 2 20% 20% 10% [E.3] Errores de monitorización (log) 1 20% [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 50% 50% 50% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 20% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 40% 40% 40%
[A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 100 40% 50% 80% [A.6] Abuso de privilegios de acceso 5 10% 10% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100% 100%
[IMATBEC] iMatbecarios amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 50% [E.1] Errores de los usuarios 100 1% 10% [E.2] Errores del administrador 2 20% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 20 50% 50% [A.6] Abuso de privilegios de acceso 5 10% 10% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
234
[BBDD] SQL Server 2000 amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 50% [E.1] Errores de los usuarios 100 1% 10% [E.2] Errores del administrador 40 20% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 100 100% 100% [A.6] Abuso de privilegios de acceso 5 10% 10% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100%
[SO] Sistema Operativo amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 [E.1] Errores de los usuarios 20 [E.2] Errores del administrador 2 [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 [E.8] Difusión de software dañino 100 [E.9] Errores de [re-]encaminamiento 0,5 [E.10] Errores de secuencia 0,1 [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 [E.21] Errores de mantenimiento / actualización de programas (software)
10
[A.4] Manipulación de la configuración 1 [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 [A.9] [Re-]encaminamiento de mensajes 0,1 [A.10] Alteración de secuencia 0,05 [A.11] Acceso no autorizado 5 [A.14] Intercepción de información (escucha) 0,5 [A.22] Manipulación de programas 20
[AV] Antivirus amenaza frecuencia [D] [I] [C]
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
235
[I.5] Avería de origen físico o lógico 1 [E.1] Errores de los usuarios 20 [E.2] Errores del administrador 2 [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 [E.8] Difusión de software dañino 100 [E.9] Errores de [re-]encaminamiento 0,5 [E.10] Errores de secuencia 0,1 [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 [E.21] Errores de mantenimiento / actualización de programas (software)
10
[A.4] Manipulación de la configuración 1 [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 [A.9] [Re-]encaminamiento de mensajes 0,1 [A.10] Alteración de secuencia 0,05 [A.11] Acceso no autorizado 5 [A.14] Intercepción de información (escucha) 0,5 [A.22] Manipulación de programas 20
[VB] Visual Basic 6.0 amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 [E.1] Errores de los usuarios 20 [E.2] Errores del administrador 2 [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 [E.8] Difusión de software dañino 100 [E.9] Errores de [re-]encaminamiento 0,5 [E.10] Errores de secuencia 0,1 [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 [E.21] Errores de mantenimiento / actualización de programas (software)
10
[A.4] Manipulación de la configuración 1 [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 [A.9] [Re-]encaminamiento de mensajes 0,1 [A.10] Alteración de secuencia 0,05 [A.11] Acceso no autorizado 5 [A.14] Intercepción de información (escucha) 0,5 [A.22] Manipulación de programas 20
1.1. [MON_TRANS] Monitor Transaccional amenaza frecuencia [D] [I] [C]
[I.5] Avería de origen físico o lógico 1 [E.1] Errores de los usuarios 20
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
236
[E.2] Errores del administrador 2 [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 [E.8] Difusión de software dañino 100 [E.9] Errores de [re-]encaminamiento 0,5 [E.10] Errores de secuencia 0,1 [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 [E.21] Errores de mantenimiento / actualización de programas (software)
10
[A.4] Manipulación de la configuración 1 [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 [A.9] [Re-]encaminamiento de mensajes 0,1 [A.10] Alteración de secuencia 0,05 [A.11] Acceso no autorizado 5 [A.14] Intercepción de información (escucha) 0,5 [A.22] Manipulación de programas 20
[SERV_BAL] Servidor de balanceo amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.1] Errores de los usuarios 20 1% 10% [E.2] Errores del administrador 2 50% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 30 60% 10% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 100 20% 50% 50% [A.6] Abuso de privilegios de acceso 5 10% 50% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
237
[A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% 10% [A.26] Ataque destructivo 0,1 100%
[SERV_WEB] Servidores Web amenaza frecuencia [D] [I] [C]
[I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.1] Errores de los usuarios 20 1% 10% [E.2] Errores del administrador 2 50% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 100 10% 100% 50% [A.6] Abuso de privilegios de acceso 5 10% 50% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% 10% [A.26] Ataque destructivo 0,1 100%
[SERV_FICH] Servidor de Ficheros amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
238
[I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 80% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.1] Errores de los usuarios 20 10% 10% [E.2] Errores del administrador 2 50% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 1 1% [E.15] Alteración de la información 10 1% [E.16] Introducción de falsa información 100 1% [E.17] Degradación de la información 10 1% [E.18] Destrucción de la información 10 1% [E.19] Divulgación de información 1 10% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 100% [A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 70 80% 100% [A.6] Abuso de privilegios de acceso 5 10% 100% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 100 10% 70% [A.14] Intercepción de información (escucha) 10 50% [A.15] Modificación de información 10 70% [A.16] Introducción de falsa información 100 100% [A.17] Corrupción de la información 10 70% [A.18] Destrucción de la información 10 50% [A.19] Divulgación de información 10 100% [A.22] Manipulación de programas 20 100% 100% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% 100% 100% [A.26] Ataque destructivo 0,1 100% 70%
[SERV_DAT] Servidor de Datos amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
239
[I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.1] Errores de los usuarios 20 1% 10% [E.2] Errores del administrador 2 50% 20% 10% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% 50% 50% [A.5] Suplantación de la identidad del usuario 100 100% 100% [A.6] Abuso de privilegios de acceso 5 10% 50% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 100% [A.22] Manipulación de programas 20 100% 100% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% 10% [A.26] Ataque destructivo 0,1 100%
[SERV_BACK] Servidor de back-up amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 [E.1] Errores de los usuarios 20 1% 10% [E.2] Errores del administrador 2 50% 20% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% 10% [E.8] Difusión de software dañino 100 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 1% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
240
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% 50% [A.6] Abuso de privilegios de acceso 5 10% [A.8] Difusión de software dañino 10 100% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% [A.26] Ataque destructivo 0,1 100%
[IMP_BEC] Impresora becarios amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 [E.2] Errores del administrador 1 50% [E.4] Errores de configuración 1 50% [E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 0,5 50% [A.11] Acceso no autorizado 5 [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100%
[PC_BEC] PC Becarios amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 [E.1] Errores de los usuarios 20 1% [E.4] Errores de configuración 2 50% [E.8] Difusión de software dañino 100 10% [E.10] Errores de secuencia 0,1 [E.20] Vulnerabilidades de los programas (software) 1 1% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1%
[E.23] Errores de mantenimiento / actualización de equipos 1 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
241
(hardware) [E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 100% [A.11] Acceso no autorizado 5 [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 5 100%
[PC_MAT] PC Matriculación amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 [E.1] Errores de los usuarios 20 1% [E.2] Errores del administrador 2 50% [E.3] Errores de monitorización (log) 1 [E.4] Errores de configuración 2 50% [E.8] Difusión de software dañino 100 10% [E.9] Errores de [re-]encaminamiento 0,5 [E.10] Errores de secuencia 0,1 [E.14] Escapes de información 0,5 [E.20] Vulnerabilidades de los programas (software) 1 1% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 1 50% [A.5] Suplantación de la identidad del usuario 20 [A.6] Abuso de privilegios de acceso 5 [A.8] Difusión de software dañino 10 100% [A.9] [Re-]encaminamiento de mensajes 0,1 [A.10] Alteración de secuencia 0,05 [A.11] Acceso no autorizado 5 [A.14] Intercepción de información (escucha) 0,5 [A.22] Manipulación de programas 20 [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 5 100% [A.26] Ataque destructivo 100 100%
[SWITCH] Switch amenaza frecuencia [D] [I] [C]
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
242
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.2] Errores del administrador 1 50% 1% 10% [E.4] Errores de configuración 1 50% 1% 10% [E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 50% [A.4] Manipulación de la configuración 0,5 50% 10% 20% [A.6] Abuso de privilegios de acceso 0,5 10% 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,1 20% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% [A.26] Ataque destructivo 0,1 100%
[CAJ_SEG] Caja de Seguridad amenaza frecuencia [D] [I] [C]
[N.1] Fuego 0,1 [N.2] Daños por agua 0,1 [N.*] Desastres naturales 0,1 [I.1] Fuego 0,5 [I.2] Daños por agua 0,5 [I.*] Desastres industriales 0,1 [I.3] Contaminación mecánica 0,5 [I.4] Contaminación electromagnética 1 [I.5] Avería de origen físico o lógico 1 [I.7] Condiciones inadecuadas de temperatura y/o humedad 5 [E.17] Degradación de la información 10 1% [E.18] Destrucción de la información 10 [E.19] Divulgación de información 1 10% [A.11] Acceso no autorizado 100 10% 50% [A.18] Destrucción de la información 10 [A.19] Divulgación de información 10 100% [A.25] Robo de equipos 1 50%
[LAN] Red de área local amenaza frecuencia [D] [I] [C]
[N.1] Fuego 0,1 100% [N.2] Daños por agua 0,1 50% [N.*] Desastres naturales 0,1 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,05 50% [I.4] Contaminación electromagnética 1 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
243
[I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 10 100% [I.8] Fallo de servicios de comunicaciones 50 100% [I.11] Emanaciones electromagnéticas 1 1% [E.2] Errores del administrador 1 50% 1% 10% [E.4] Errores de configuración 1 50% 1% 10% [E.9] Errores de [re-]encaminamiento 5 1% 1% [E.10] Errores de secuencia 2 10% [E.14] Escapes de información 2 1% [E.24] Caída del sistema por agotamiento de recursos 1 50% [A.4] Manipulación de la configuración 1 50% 10% 20% [A.5] Suplantación de la identidad del usuario 2 10% 50% [A.6] Abuso de privilegios de acceso 1 10% 50% [A.9] [Re-]encaminamiento de mensajes 2 10% 10% [A.10] Alteración de secuencia 0,5 10% [A.11] Acceso no autorizado 10 10% 50% [A.12] Análisis de tráfico 0,33 2% [A.14] Intercepción de información (escucha) 10 100% [A.24] Denegación de servicio 10 50%
[INT] Internet amenaza frecuencia [D] [I] [C]
[N.1] Fuego 0,1 100% [N.2] Daños por agua 0,1 50% [N.*] Desastres naturales 0,1 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,05 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 10 100% [I.8] Fallo de servicios de comunicaciones 100 100% [I.11] Emanaciones electromagnéticas 1 1% [E.2] Errores del administrador 1 50% 1% 10% [E.4] Errores de configuración 1 50% 1% 10% [E.9] Errores de [re-]encaminamiento 5 1% 1% [E.10] Errores de secuencia 2 10% [E.24] Caída del sistema por agotamiento de recursos 1 50% [A.4] Manipulación de la configuración 1 50% 10% 20% [A.6] Abuso de privilegios de acceso 1 10% 50% [A.9] [Re-]encaminamiento de mensajes 2 10% 10% [A.11] Acceso no autorizado 10 10% 50% [A.12] Análisis de tráfico 0,33 2% [A.14] Intercepción de información (escucha) 5 20% [A.24] Denegación de servicio 10 50%
[FIRE] Firewall amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
244
[I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 20 100% [I.11] Emanaciones electromagnéticas 1 1% [E.1] Errores de los usuarios 20 1% 10% [E.2] Errores del administrador 2 50% 20% 10% [E.3] Errores de monitorización (log) 10 50% [E.4] Errores de configuración 2 50% 10% 10% [E.8] Difusión de software dañino 100 10% 10% 10% [E.9] Errores de [re-]encaminamiento 0,5 1% 10% [E.10] Errores de secuencia 0,1 10% [E.14] Escapes de información 0,5 1% [E.20] Vulnerabilidades de los programas (software) 1 1% 20% 20% [E.21] Errores de mantenimiento / actualización de programas (software)
10 1% 1% 1%
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
1 10%
[E.24] Caída del sistema por agotamiento de recursos 10 80% [A.4] Manipulación de la configuración 1 50% 50% 50% [A.6] Abuso de privilegios de acceso 5 10% 50% [A.8] Difusión de software dañino 10 100% 100% 100% [A.9] [Re-]encaminamiento de mensajes 0,1 10% 100% [A.10] Alteración de secuencia 0,05 50% [A.11] Acceso no autorizado 5 10% 50% [A.14] Intercepción de información (escucha) 0,5 50% [A.22] Manipulación de programas 20 100% 100% [A.24] Denegación de servicio 10 100% [A.25] Robo de equipos 1 100% [A.26] Ataque destructivo 0,1 100%
[POWER_AA23] Sistema de Alimentación sala servidores amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,5 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 5 100% [I.9] Interrupción de otros servicios y suministros esenciales 1 50%
[POWER_AA25] Sistema alimentación sala auxiliar amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 30 50% [I.1] Fuego 30 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
245
[I.*] Desastres industriales 0,1 50% [I.3] Contaminación mecánica 1 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 50 50% [I.6] Corte del suministro eléctrico 50 50% [I.7] Condiciones inadecuadas de temperatura y/o humedad 5 50% [I.9] Interrupción de otros servicios y suministros esenciales 50 50%
[TEMP_AA23] Sistema de climatización sala servidores amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 100% [I.1] Fuego 0,5 100% [I.2] Daños por agua 0,5 50% [I.*] Desastres industriales 0,1 100% [I.3] Contaminación mecánica 0,5 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 100% [I.7] Condiciones inadecuadas de temperatura y/o humedad 5 100% [I.9] Interrupción de otros servicios y suministros esenciales 1 50% [A.25] Robo de equipos 1 10% 50%
[TEMP_AA25] sistema climatización sala auxiliar amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,1 50% [I.1] Fuego 0,5 50% [I.2] Daños por agua 0,5 50% [I.*] Desastres industriales 0,1 50% [I.3] Contaminación mecánica 0,5 50% [I.4] Contaminación electromagnética 1 10% [I.5] Avería de origen físico o lógico 1 50% [I.6] Corte del suministro eléctrico 1 50% [I.7] Condiciones inadecuadas de temperatura y/o humedad 5 50% [I.9] Interrupción de otros servicios y suministros esenciales 1 50% [A.25] Robo de equipos 1 10%
[SERV_AA23] Servidores amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,5 50% [I.1] Fuego 1 50% [I.*] Desastres industriales 1 50% [A.11] Acceso no autorizado 0,5 10% 10% [A.26] Ataque destructivo 0,5 100% 50%
[SERV_AA25] Servidor auxiliar amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,5 50% [I.1] Fuego 1 [I.*] Desastres industriales 1 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
246
[A.11] Acceso no autorizado 5 1% 10% [A.26] Ataque destructivo 0,1 100%
[BEC_AA21] Emplazamiento becarios amenaza frecuencia [D] [I] [C]
[N.*] Desastres naturales 0,5 50% [I.1] Fuego 1 [I.*] Desastres industriales 1 50% [A.11] Acceso no autorizado 5 [A.26] Ataque destructivo 0,1 100%
[ADM] Administradores amenaza frecuencia [D] [I] [C]
[E.7] Deficiencias en la organización 1 10% [E.19] Divulgación de información 1 [E.28] Indisponibilidad del personal 1 1% [A.19] Divulgación de información 1 [A.28] Indisponibilidad del personal 1 10% [A.29] Extorsión 0,9 100% 100% [A.30] Ingeniería social 0,5 100% 100%
[SG] Secretaría General amenaza frecuencia [D] [I] [C]
[E.7] Deficiencias en la organización 1 10% [E.19] Divulgación de información 1 [E.28] Indisponibilidad del personal 1 1% [A.19] Divulgación de información 1 [A.28] Indisponibilidad del personal 1 10% [A.29] Extorsión 0,9 100% 100% [A.30] Ingeniería social 0,5 100% 100%
[BEC] Becarios amenaza frecuencia [D] [I] [C]
[E.7] Deficiencias en la organización 1 10% [E.19] Divulgación de información 1 [E.28] Indisponibilidad del personal 1 1% [A.19] Divulgación de información 1 [A.28] Indisponibilidad del personal 1 10% [A.29] Extorsión 0,9 100% 100% [A.30] Ingeniería social 0,5 100% 100%
[ALUM] Alumnos amenaza frecuencia [D] [I] [C]
[E.19] Divulgación de información 1 [E.28] Indisponibilidad del personal 1 1% [A.19] Divulgación de información 1 [A.29] Extorsión 0,9 100% 100% [A.30] Ingeniería social 0,5 100% 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
247
Activos por amenaza
[N.1] Fuego activo frecuencia [D] [I] [C]
[CAJ_SEG] Caja de Seguridad 0,1 [LAN] Red de área local 0,1 100% [INT] Internet 0,1 100%
[N.2] Daños por agua activo frecuencia [D] [I] [C]
[CAJ_SEG] Caja de Seguridad 0,1 [LAN] Red de área local 0,1 50% [INT] Internet 0,1 50%
[N.*] Desastres naturales activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 0,1 100% [SERV_FICH] Servidor de Ficheros 0,1 100% [SERV_DAT] Servidor de Datos 0,1 100% [SERV_BACK] Servidor de back-up 0,1 100% [IMP_BEC] Impresora becarios 0,1 100% [PC_BEC] PC Becarios 0,1 100% [PC_MAT] PC Matriculación 0,1 100% [SWITCH] Switch 0,1 100% [CAJ_SEG] Caja de Seguridad 0,1 [LAN] Red de área local 0,1 100% [INT] Internet 0,1 100% [FIRE] Firewall 0,1 100% [POWER_AA23] Sistema de Alimentación sala servidores 0,1 100% [POWER_AA25] Sistema alimentación sala auxiliar 30 50% [TEMP_AA23] Sistema de climatización sala servidores 0,1 100% [TEMP_AA25] sistema climatización sala auxiliar 0,1 50% [SERV_AA23] Servidores 0,5 50% [SERV_AA25] Servidor auxiliar 0,5 50% [BEC_AA21] Emplazamiento becarios 0,5 50%
[I.1] Fuego activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 0,5 100% [SERV_WEB] Servidores Web 0,5 100% [SERV_FICH] Servidor de Ficheros 0,5 100% [SERV_DAT] Servidor de Datos 0,5 100% [SERV_BACK] Servidor de back-up 0,5 100% [IMP_BEC] Impresora becarios 0,5 100% [PC_BEC] PC Becarios 0,5 100% [PC_MAT] PC Matriculación 0,5 100% [SWITCH] Switch 0,5 100% [CAJ_SEG] Caja de Seguridad 0,5 [FIRE] Firewall 0,5 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
248
[POWER_AA23] Sistema de Alimentación sala servidores 0,5 100% [POWER_AA25] Sistema alimentación sala auxiliar 30 50% [TEMP_AA23] Sistema de climatización sala servidores 0,5 100% [TEMP_AA25] sistema climatización sala auxiliar 0,5 50% [SERV_AA23] Servidores 1 50% [SERV_AA25] Servidor auxiliar 1 [BEC_AA21] Emplazamiento becarios 1
[I.2] Daños por agua activo frecuencia [D] [I] [C]
[CAJ_SEG] Caja de Seguridad 0,5 [TEMP_AA23] Sistema de climatización sala servidores 0,5 50% [TEMP_AA25] sistema climatización sala auxiliar 0,5 50%
[I.*] Desastres industriales activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 0,1 100% [SERV_WEB] Servidores Web 0,1 100% [SERV_FICH] Servidor de Ficheros 0,1 100% [SERV_DAT] Servidor de Datos 0,1 100% [SERV_BACK] Servidor de back-up 0,1 100% [PC_MAT] PC Matriculación 0,1 100% [SWITCH] Switch 0,1 100% [CAJ_SEG] Caja de Seguridad 0,1 [LAN] Red de área local 0,1 100% [INT] Internet 0,1 100% [FIRE] Firewall 0,1 100% [POWER_AA23] Sistema de Alimentación sala servidores 0,1 100% [POWER_AA25] Sistema alimentación sala auxiliar 0,1 50% [TEMP_AA23] Sistema de climatización sala servidores 0,1 100% [TEMP_AA25] sistema climatización sala auxiliar 0,1 50% [SERV_AA23] Servidores 1 50% [SERV_AA25] Servidor auxiliar 1 50% [BEC_AA21] Emplazamiento becarios 1 50%
[I.3] Contaminación mecánica activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 0,1 50% [SERV_WEB] Servidores Web 0,1 50% [SERV_FICH] Servidor de Ficheros 0,1 50% [SERV_DAT] Servidor de Datos 0,1 50% [SERV_BACK] Servidor de back-up 0,1 50% [IMP_BEC] Impresora becarios 0,1 50% [PC_BEC] PC Becarios 0,1 50% [PC_MAT] PC Matriculación 0,1 50% [SWITCH] Switch 0,1 50% [CAJ_SEG] Caja de Seguridad 0,5 [LAN] Red de área local 0,05 50% [INT] Internet 0,05 50% [FIRE] Firewall 0,1 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
249
[POWER_AA23] Sistema de Alimentación sala servidores 0,5 50% [POWER_AA25] Sistema alimentación sala auxiliar 1 50% [TEMP_AA23] Sistema de climatización sala servidores 0,5 50% [TEMP_AA25] sistema climatización sala auxiliar 0,5 50%
[I.4] Contaminación electromagnética activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 1 10% [SERV_WEB] Servidores Web 1 10% [SERV_FICH] Servidor de Ficheros 1 10% [SERV_DAT] Servidor de Datos 1 10% [SERV_BACK] Servidor de back-up 1 10% [IMP_BEC] Impresora becarios 1 10% [PC_BEC] PC Becarios 1 10% [PC_MAT] PC Matriculación 1 10% [SWITCH] Switch 1 10% [CAJ_SEG] Caja de Seguridad 1 [LAN] Red de área local 1 10% [INT] Internet 1 10% [FIRE] Firewall 1 10% [POWER_AA23] Sistema de Alimentación sala servidores 1 10% [POWER_AA25] Sistema alimentación sala auxiliar 1 10% [TEMP_AA23] Sistema de climatización sala servidores 1 10% [TEMP_AA25] sistema climatización sala auxiliar 1 10%
[I.5] Avería de origen físico o lógico activo frecuencia [D] [I] [C]
[IMAT] iMat 1 50% [IMATBEC] iMatbecarios 1 50% [BBDD] SQL Server 2000 1 50% [SO] Sistema Operativo 1 [AV] Antivirus 1 [VB] Visual Basic 6.0 1 [MON_TRANS] Monitor Transaccional 1 [SERV_BAL] Servidor de balanceo 1 50% [SERV_WEB] Servidores Web 1 50% [SERV_FICH] Servidor de Ficheros 1 80% [SERV_DAT] Servidor de Datos 1 50% [SERV_BACK] Servidor de back-up 1 50% [IMP_BEC] Impresora becarios 1 50% [PC_BEC] PC Becarios 1 50% [PC_MAT] PC Matriculación 1 50% [SWITCH] Switch 1 50% [CAJ_SEG] Caja de Seguridad 1 [LAN] Red de área local 1 50% [INT] Internet 1 50% [FIRE] Firewall 1 50% [POWER_AA23] Sistema de Alimentación sala servidores 1 50% [POWER_AA25] Sistema alimentación sala auxiliar 50 50% [TEMP_AA23] Sistema de climatización sala servidores 1 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
250
[TEMP_AA25] sistema climatización sala auxiliar 1 50%
[I.6] Corte del suministro eléctrico activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 1 100% [SERV_WEB] Servidores Web 1 100% [SERV_FICH] Servidor de Ficheros 1 100% [SERV_DAT] Servidor de Datos 1 100% [SERV_BACK] Servidor de back-up 1 100% [IMP_BEC] Impresora becarios 1 100% [PC_BEC] PC Becarios 1 100% [PC_MAT] PC Matriculación 1 100% [SWITCH] Switch 1 100% [LAN] Red de área local 1 100% [INT] Internet 1 100% [FIRE] Firewall 1 100% [POWER_AA23] Sistema de Alimentación sala servidores 1 100% [POWER_AA25] Sistema alimentación sala auxiliar 50 50% [TEMP_AA23] Sistema de climatización sala servidores 1 100% [TEMP_AA25] sistema climatización sala auxiliar 1 50%
[I.7] Condiciones inadecuadas de temperatura y/o humedad activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 20 100% [SERV_WEB] Servidores Web 20 100% [SERV_FICH] Servidor de Ficheros 20 100% [SERV_DAT] Servidor de Datos 20 100% [SERV_BACK] Servidor de back-up 20 100% [IMP_BEC] Impresora becarios 20 100% [PC_BEC] PC Becarios 20 100% [PC_MAT] PC Matriculación 20 100% [SWITCH] Switch 20 100% [CAJ_SEG] Caja de Seguridad 5 [LAN] Red de área local 10 100% [INT] Internet 10 100% [FIRE] Firewall 20 100% [POWER_AA23] Sistema de Alimentación sala servidores 5 100% [POWER_AA25] Sistema alimentación sala auxiliar 5 50% [TEMP_AA23] Sistema de climatización sala servidores 5 100% [TEMP_AA25] sistema climatización sala auxiliar 5 50%
[I.8] Fallo de servicios de comunicaciones activo frecuencia [D] [I] [C]
[LAN] Red de área local 50 100% [INT] Internet 100 100%
[I.9] Interrupción de otros servicios y suministros esenciales activo frecuencia [D] [I] [C]
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
251
[POWER_AA23] Sistema de Alimentación sala servidores 1 50% [POWER_AA25] Sistema alimentación sala auxiliar 50 50% [TEMP_AA23] Sistema de climatización sala servidores 1 50% [TEMP_AA25] sistema climatización sala auxiliar 1 50%
[I.11] Emanaciones electromagnéticas activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 1 1% [SERV_WEB] Servidores Web 1 1% [SERV_FICH] Servidor de Ficheros 1 1% [SERV_DAT] Servidor de Datos 1 1% [SERV_BACK] Servidor de back-up 1 [IMP_BEC] Impresora becarios 1 [PC_BEC] PC Becarios 1 [PC_MAT] PC Matriculación 1 [SWITCH] Switch 1 1% [LAN] Red de área local 1 1% [INT] Internet 1 1% [FIRE] Firewall 1 1%
[E.1] Errores de los usuarios activo frecuencia [D] [I] [C]
[MAT] Matriculación 100 10% 30% [IMPR_BEC] Impresión Becarios 30 10% [I_A] Información Alumnos 100 10% 30% [I_B] Información Becarios 100 10% 10% [I_COD] Código Fuente 10 [IMAT] iMat 100 20% 50% 10% [IMATBEC] iMatbecarios 100 1% 10% [BBDD] SQL Server 2000 100 1% 10% [SO] Sistema Operativo 20 [AV] Antivirus 20 [VB] Visual Basic 6.0 20 [MON_TRANS] Monitor Transaccional 20 [SERV_BAL] Servidor de balanceo 20 1% 10% [SERV_WEB] Servidores Web 20 1% 10% [SERV_FICH] Servidor de Ficheros 20 10% 10% [SERV_DAT] Servidor de Datos 20 1% 10% [SERV_BACK] Servidor de back-up 20 1% 10% [PC_BEC] PC Becarios 20 1% [PC_MAT] PC Matriculación 20 1% [FIRE] Firewall 20 1% 10%
[E.2] Errores del administrador activo frecuencia [D] [I] [C]
[MAT] Matriculación 20 50% 20% [IMPR_BEC] Impresión Becarios 1 50% [I_A] Información Alumnos 50 40% 20% 10% [I_B] Información Becarios 20 20% 20% 10% [I_ASIG] Información Asignaturas 1 50% 20% 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
252
[I_DEP] Información departamentos 1 20% 20% 10% [I_STIC] Información STIC 1 10% [I_CONF] Información de configuración 1 20% 20% 10% [I_COD] Código Fuente 1 [IMAT] iMat 2 20% 20% 10% [IMATBEC] iMatbecarios 2 20% 20% 10% [BBDD] SQL Server 2000 40 20% 20% 10% [SO] Sistema Operativo 2 [AV] Antivirus 2 [VB] Visual Basic 6.0 2 [MON_TRANS] Monitor Transaccional 2 [SERV_BAL] Servidor de balanceo 2 50% 20% 10% [SERV_WEB] Servidores Web 2 50% 20% 10% [SERV_FICH] Servidor de Ficheros 2 50% 20% 10% [SERV_DAT] Servidor de Datos 2 50% 20% 10% [SERV_BACK] Servidor de back-up 2 50% 20% [IMP_BEC] Impresora becarios 1 50% [PC_MAT] PC Matriculación 2 50% [SWITCH] Switch 1 50% 1% 10% [LAN] Red de área local 1 50% 1% 10% [INT] Internet 1 50% 1% 10% [FIRE] Firewall 2 50% 20% 10%
[E.3] Errores de monitorización (log) activo frecuencia [D] [I] [C]
[MAT] Matriculación 1 20% 20% [IMPR_BEC] Impresión Becarios 1 20% [I_A] Información Alumnos 1 50% [I_B] Información Becarios 1 [I_ASIG] Información Asignaturas 1 [I_CONF] Información de configuración 1 [I_LOG] Información de Log 1 [I_COD] Código Fuente 1 [IMAT] iMat 1 20% [IMATBEC] iMatbecarios 1 [BBDD] SQL Server 2000 1 [SO] Sistema Operativo 1 [AV] Antivirus 1 [VB] Visual Basic 6.0 1 [MON_TRANS] Monitor Transaccional 1 [SERV_BAL] Servidor de balanceo 1 [SERV_WEB] Servidores Web 1 [SERV_FICH] Servidor de Ficheros 1 [SERV_DAT] Servidor de Datos 1 [SERV_BACK] Servidor de back-up 1 [PC_MAT] PC Matriculación 1 [FIRE] Firewall 10 50%
[E.4] Errores de configuración activo frecuencia [D] [I] [C]
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
253
[MAT] Matriculación 0,5 80% 10% [IMPR_BEC] Impresión Becarios 0,5 80% [I_A] Información Alumnos 0,5 50% 20% 20% [I_B] Información Becarios 0,5 50% 10% 10% [I_ASIG] Información Asignaturas 0,5 50% 10% 10% [I_DEP] Información departamentos 0,5 50% 10% 10% [I_STIC] Información STIC 0,5 10% [I_CONF] Información de configuración 0,5 50% 10% 10% [I_LOG] Información de Log 0,5 50% 10% 10% [I_COD] Código Fuente 0,5 [IMAT] iMat 2 50% 10% 10% [IMATBEC] iMatbecarios 2 50% 10% 10% [BBDD] SQL Server 2000 2 50% 10% 10% [SO] Sistema Operativo 2 [AV] Antivirus 2 [VB] Visual Basic 6.0 2 [MON_TRANS] Monitor Transaccional 2 [SERV_BAL] Servidor de balanceo 2 50% 10% 10% [SERV_WEB] Servidores Web 2 50% 10% 10% [SERV_FICH] Servidor de Ficheros 2 50% 10% 10% [SERV_DAT] Servidor de Datos 2 50% 10% 10% [SERV_BACK] Servidor de back-up 2 50% 10% [IMP_BEC] Impresora becarios 1 50% [PC_BEC] PC Becarios 2 50% [PC_MAT] PC Matriculación 2 50% [SWITCH] Switch 1 50% 1% 10% [LAN] Red de área local 1 50% 1% 10% [INT] Internet 1 50% 1% 10% [FIRE] Firewall 2 50% 10% 10%
[E.7] Deficiencias en la organización activo frecuencia [D] [I] [C]
[ADM] Administradores 1 10% [SG] Secretaría General 1 10% [BEC] Becarios 1 10%
[E.8] Difusión de software dañino activo frecuencia [D] [I] [C]
[IMAT] iMat 100 50% 50% 50% [IMATBEC] iMatbecarios 100 10% 10% 10% [BBDD] SQL Server 2000 100 10% 10% 10% [SO] Sistema Operativo 100 [AV] Antivirus 100 [VB] Visual Basic 6.0 100 [MON_TRANS] Monitor Transaccional 100 [SERV_BAL] Servidor de balanceo 100 10% 10% 10% [SERV_WEB] Servidores Web 100 10% 10% 10% [SERV_FICH] Servidor de Ficheros 100 10% 10% 10% [SERV_DAT] Servidor de Datos 100 10% 10% 10% [SERV_BACK] Servidor de back-up 100 10% 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
254
[PC_BEC] PC Becarios 100 10% [PC_MAT] PC Matriculación 100 10% [FIRE] Firewall 100 10% 10% 10%
[E.9] Errores de [re-]encaminamiento activo frecuencia [D] [I] [C]
[IMAT] iMat 0,5 1% 10% [IMATBEC] iMatbecarios 0,5 1% 10% [BBDD] SQL Server 2000 0,5 1% 10% [SO] Sistema Operativo 0,5 [AV] Antivirus 0,5 [VB] Visual Basic 6.0 0,5 [MON_TRANS] Monitor Transaccional 0,5 [SERV_BAL] Servidor de balanceo 30 60% 10% 10% [SERV_WEB] Servidores Web 0,5 1% 10% [SERV_FICH] Servidor de Ficheros 0,5 1% 10% [SERV_DAT] Servidor de Datos 0,5 1% 10% [SERV_BACK] Servidor de back-up 0,5 1% [PC_MAT] PC Matriculación 0,5 [LAN] Red de área local 5 1% 1% [INT] Internet 5 1% 1% [FIRE] Firewall 0,5 1% 10%
[E.10] Errores de secuencia activo frecuencia [D] [I] [C]
[MAT] Matriculación 0,5 10% [IMPR_BEC] Impresión Becarios 0,5 [IMAT] iMat 0,1 10% [IMATBEC] iMatbecarios 0,1 10% [BBDD] SQL Server 2000 0,1 10% [SO] Sistema Operativo 0,1 [AV] Antivirus 0,1 [VB] Visual Basic 6.0 0,1 [MON_TRANS] Monitor Transaccional 0,1 [SERV_BAL] Servidor de balanceo 0,1 10% [SERV_WEB] Servidores Web 0,1 10% [SERV_FICH] Servidor de Ficheros 0,1 10% [SERV_DAT] Servidor de Datos 0,1 10% [SERV_BACK] Servidor de back-up 0,1 10% [PC_BEC] PC Becarios 0,1 [PC_MAT] PC Matriculación 0,1 [LAN] Red de área local 2 10% [INT] Internet 2 10% [FIRE] Firewall 0,1 10%
[E.14] Escapes de información activo frecuencia [D] [I] [C]
[I_COD] Código Fuente 1 [IMAT] iMat 0,5 20% [IMATBEC] iMatbecarios 0,5 1%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
255
[BBDD] SQL Server 2000 0,5 1% [SO] Sistema Operativo 0,5 [AV] Antivirus 0,5 [VB] Visual Basic 6.0 0,5 [MON_TRANS] Monitor Transaccional 0,5 [SERV_BAL] Servidor de balanceo 0,5 1% [SERV_WEB] Servidores Web 0,5 1% [SERV_FICH] Servidor de Ficheros 1 1% [SERV_DAT] Servidor de Datos 0,5 1% [SERV_BACK] Servidor de back-up 0,5 [PC_MAT] PC Matriculación 0,5 [LAN] Red de área local 2 1% [FIRE] Firewall 0,5 1%
[E.15] Alteración de la información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 30% [I_B] Información Becarios 10 1% [I_ASIG] Información Asignaturas 10 40% [I_DEP] Información departamentos 10 1% [I_STIC] Información STIC 10 [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 1%
[E.16] Introducción de falsa información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 100 30% [I_B] Información Becarios 100 1% [I_ASIG] Información Asignaturas 100 70% [I_DEP] Información departamentos 100 1% [I_STIC] Información STIC 100 [I_CONF] Información de configuración 100 1% [SERV_FICH] Servidor de Ficheros 100 1%
[E.17] Degradación de la información activo frecuencia [D] [I] [C]
[I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 1% [CAJ_SEG] Caja de Seguridad 10 1%
[E.18] Destrucción de la información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 20% [I_B] Información Becarios 10 1% [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 1% [CAJ_SEG] Caja de Seguridad 10
[E.19] Divulgación de información
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
256
activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 1 40% [I_B] Información Becarios 1 10% [I_COD] Código Fuente 1 [SERV_FICH] Servidor de Ficheros 1 10% [CAJ_SEG] Caja de Seguridad 1 10% [ADM] Administradores 1 [SG] Secretaría General 1 [BEC] Becarios 1 [ALUM] Alumnos 1
[E.20] Vulnerabilidades de los programas (software) activo frecuencia [D] [I] [C]
[IMAT] iMat 1 1% 20% 20% [IMATBEC] iMatbecarios 1 1% 20% 20% [BBDD] SQL Server 2000 1 1% 20% 20% [SO] Sistema Operativo 1 [AV] Antivirus 1 [VB] Visual Basic 6.0 1 [MON_TRANS] Monitor Transaccional 1 [SERV_BAL] Servidor de balanceo 1 1% 20% 20% [SERV_WEB] Servidores Web 1 1% 20% 20% [SERV_FICH] Servidor de Ficheros 1 1% 20% 20% [SERV_DAT] Servidor de Datos 1 1% 20% 20% [SERV_BACK] Servidor de back-up 1 1% 20% [PC_BEC] PC Becarios 1 1% [PC_MAT] PC Matriculación 1 1% [FIRE] Firewall 1 1% 20% 20%
[E.21] Errores de mantenimiento / actualización de programas (software) activo frecuencia [D] [I] [C]
[IMAT] iMat 10 40% 40% 40% [IMATBEC] iMatbecarios 10 1% 1% 1% [BBDD] SQL Server 2000 10 1% 1% 1% [SO] Sistema Operativo 10 [AV] Antivirus 10 [VB] Visual Basic 6.0 10 [MON_TRANS] Monitor Transaccional 10 [SERV_BAL] Servidor de balanceo 10 1% 1% 1% [SERV_WEB] Servidores Web 10 1% 1% 1% [SERV_FICH] Servidor de Ficheros 10 1% 1% 1% [SERV_DAT] Servidor de Datos 10 1% 1% 1% [SERV_BACK] Servidor de back-up 10 1% 1% [PC_BEC] PC Becarios 10 1% [PC_MAT] PC Matriculación 10 1% [FIRE] Firewall 10 1% 1% 1%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
257
[E.23] Errores de mantenimiento / actualización de equipos (hardware) activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 1 10% [SERV_WEB] Servidores Web 1 10% [SERV_FICH] Servidor de Ficheros 1 10% [SERV_DAT] Servidor de Datos 1 10% [SERV_BACK] Servidor de back-up 1 10% [IMP_BEC] Impresora becarios 1 10% [PC_BEC] PC Becarios 1 10% [PC_MAT] PC Matriculación 1 10% [SWITCH] Switch 1 10% [FIRE] Firewall 1 10%
[E.24] Caída del sistema por agotamiento de recursos activo frecuencia [D] [I] [C]
[MAT] Matriculación 0,4 100% [IMPR_BEC] Impresión Becarios 0,4 100% [SERV_BAL] Servidor de balanceo 10 50% [SERV_WEB] Servidores Web 10 50% [SERV_FICH] Servidor de Ficheros 10 100% [SERV_DAT] Servidor de Datos 10 50% [SERV_BACK] Servidor de back-up 10 50% [IMP_BEC] Impresora becarios 10 50% [PC_BEC] PC Becarios 10 50% [PC_MAT] PC Matriculación 10 50% [SWITCH] Switch 10 50% [LAN] Red de área local 1 50% [INT] Internet 1 50% [FIRE] Firewall 10 80%
[E.28] Indisponibilidad del personal activo frecuencia [D] [I] [C]
[ADM] Administradores 1 1% [SG] Secretaría General 1 1% [BEC] Becarios 1 1% [ALUM] Alumnos 1 1%
[A.4] Manipulación de la configuración activo frecuencia [D] [I] [C]
[MAT] Matriculación 0,1 50% 10% [IMPR_BEC] Impresión Becarios 0,1 50% [I_A] Información Alumnos 0,1 50% 10% 50% [I_B] Información Becarios 0,1 50% 10% 50% [I_DEP] Información departamentos 0,1 50% 10% 50% [I_STIC] Información STIC 0,1 50% [I_CONF] Información de configuración 0,1 50% 10% 50% [I_COD] Código Fuente 0,1 [IMAT] iMat 1 50% 50% 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
258
[IMATBEC] iMatbecarios 1 50% 50% 50% [BBDD] SQL Server 2000 1 50% 50% 50% [SO] Sistema Operativo 1 [AV] Antivirus 1 [VB] Visual Basic 6.0 1 [MON_TRANS] Monitor Transaccional 1 [SERV_BAL] Servidor de balanceo 1 50% 50% 50% [SERV_WEB] Servidores Web 1 50% 50% 50% [SERV_FICH] Servidor de Ficheros 1 50% 50% 50% [SERV_DAT] Servidor de Datos 1 50% 50% 50% [SERV_BACK] Servidor de back-up 1 50% 50% [IMP_BEC] Impresora becarios 0,5 50% [PC_BEC] PC Becarios 1 50% [PC_MAT] PC Matriculación 1 50% [SWITCH] Switch 0,5 50% 10% 20% [LAN] Red de área local 1 50% 10% 20% [INT] Internet 1 50% 10% 20% [FIRE] Firewall 1 50% 50% 50%
[A.5] Suplantación de la identidad del usuario activo frecuencia [D] [I] [C]
[MAT] Matriculación 100 40% [IMPR_BEC] Impresión Becarios 0,1 [IMAT] iMat 100 40% 50% 80% [IMATBEC] iMatbecarios 20 50% 50% [BBDD] SQL Server 2000 100 100% 100% [SO] Sistema Operativo 20 [AV] Antivirus 20 [VB] Visual Basic 6.0 20 [MON_TRANS] Monitor Transaccional 20 [SERV_BAL] Servidor de balanceo 100 20% 50% 50% [SERV_WEB] Servidores Web 100 10% 100% 50% [SERV_FICH] Servidor de Ficheros 70 80% 100% [SERV_DAT] Servidor de Datos 100 100% 100% [PC_BEC] PC Becarios 20 [PC_MAT] PC Matriculación 20 [LAN] Red de área local 2 10% 50%
[A.6] Abuso de privilegios de acceso activo frecuencia [D] [I] [C]
[MAT] Matriculación 10 10% [IMPR_BEC] Impresión Becarios 10 [IMAT] iMat 5 10% 10% [IMATBEC] iMatbecarios 5 10% 10% [BBDD] SQL Server 2000 5 10% 10% [SO] Sistema Operativo 5 [AV] Antivirus 5 [VB] Visual Basic 6.0 5 [MON_TRANS] Monitor Transaccional 5 [SERV_BAL] Servidor de balanceo 5 10% 50%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
259
[SERV_WEB] Servidores Web 5 10% 50% [SERV_FICH] Servidor de Ficheros 5 10% 100% [SERV_DAT] Servidor de Datos 5 10% 50% [SERV_BACK] Servidor de back-up 5 10% [PC_BEC] PC Becarios 5 [PC_MAT] PC Matriculación 5 [SWITCH] Switch 0,5 10% 50% [LAN] Red de área local 1 10% 50% [INT] Internet 1 10% 50% [FIRE] Firewall 5 10% 50%
[A.8] Difusión de software dañino activo frecuencia [D] [I] [C]
[IMAT] iMat 10 100% 100% 100% [IMATBEC] iMatbecarios 10 100% 100% 100% [BBDD] SQL Server 2000 10 100% 100% 100% [SO] Sistema Operativo 10 [AV] Antivirus 10 [VB] Visual Basic 6.0 10 [MON_TRANS] Monitor Transaccional 10 [SERV_BAL] Servidor de balanceo 10 100% 100% 100% [SERV_WEB] Servidores Web 10 100% 100% 100% [SERV_FICH] Servidor de Ficheros 10 100% 100% 100% [SERV_DAT] Servidor de Datos 10 100% 100% 100% [SERV_BACK] Servidor de back-up 10 100% 100% [PC_BEC] PC Becarios 10 100% [PC_MAT] PC Matriculación 10 100% [FIRE] Firewall 10 100% 100% 100%
[A.9] [Re-]encaminamiento de mensajes activo frecuencia [D] [I] [C]
[IMAT] iMat 0,1 10% 100% [IMATBEC] iMatbecarios 0,1 10% 100% [BBDD] SQL Server 2000 0,1 10% 100% [SO] Sistema Operativo 0,1 [AV] Antivirus 0,1 [VB] Visual Basic 6.0 0,1 [MON_TRANS] Monitor Transaccional 0,1 [SERV_BAL] Servidor de balanceo 0,1 10% 100% [SERV_WEB] Servidores Web 0,1 10% 100% [SERV_FICH] Servidor de Ficheros 0,1 10% 100% [SERV_DAT] Servidor de Datos 0,1 10% 100% [PC_MAT] PC Matriculación 0,1 [LAN] Red de área local 2 10% 10% [INT] Internet 2 10% 10% [FIRE] Firewall 0,1 10% 100%
[A.10] Alteración de secuencia activo frecuencia [D] [I] [C]
[MAT] Matriculación 0,1 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
260
[IMPR_BEC] Impresión Becarios 0,1 [IMAT] iMat 0,05 50% [IMATBEC] iMatbecarios 0,05 50% [BBDD] SQL Server 2000 0,05 50% [SO] Sistema Operativo 0,05 [AV] Antivirus 0,05 [VB] Visual Basic 6.0 0,05 [MON_TRANS] Monitor Transaccional 0,05 [SERV_BAL] Servidor de balanceo 0,05 50% [SERV_WEB] Servidores Web 0,05 50% [SERV_FICH] Servidor de Ficheros 0,05 50% [SERV_DAT] Servidor de Datos 0,05 50% [SERV_BACK] Servidor de back-up 0,05 50% [PC_MAT] PC Matriculación 0,05 [LAN] Red de área local 0,5 10% [FIRE] Firewall 0,05 50%
[A.11] Acceso no autorizado activo frecuencia [D] [I] [C]
[MAT] Matriculación 100 30% [IMPR_BEC] Impresión Becarios 0,5 [I_A] Información Alumnos 100 30% 50% [I_B] Información Becarios 100 10% 50% [I_ASIG] Información Asignaturas 1 30% 50% [I_DEP] Información departamentos 100 10% 50% [I_STIC] Información STIC 100 50% [I_CONF] Información de configuración 100 10% 50% [I_LOG] Información de Log 100 10% 50% [I_COD] Código Fuente 100 [IMAT] iMat 5 10% 50% [IMATBEC] iMatbecarios 5 10% 50% [BBDD] SQL Server 2000 5 10% 50% [SO] Sistema Operativo 5 [AV] Antivirus 5 [VB] Visual Basic 6.0 5 [MON_TRANS] Monitor Transaccional 5 [SERV_BAL] Servidor de balanceo 5 10% 50% [SERV_WEB] Servidores Web 5 10% 50% [SERV_FICH] Servidor de Ficheros 100 10% 70% [SERV_DAT] Servidor de Datos 5 10% 50% [SERV_BACK] Servidor de back-up 5 10% [IMP_BEC] Impresora becarios 5 [PC_BEC] PC Becarios 5 [PC_MAT] PC Matriculación 5 [SWITCH] Switch 5 10% 50% [CAJ_SEG] Caja de Seguridad 100 10% 50% [LAN] Red de área local 10 10% 50% [INT] Internet 10 10% 50% [FIRE] Firewall 5 10% 50% [SERV_AA23] Servidores 0,5 10% 10% [SERV_AA25] Servidor auxiliar 5 1% 10%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
261
[BEC_AA21] Emplazamiento becarios 5
[A.12] Análisis de tráfico activo frecuencia [D] [I] [C]
[LAN] Red de área local 0,33 2% [INT] Internet 0,33 2%
[A.14] Intercepción de información (escucha) activo frecuencia [D] [I] [C]
[I_COD] Código Fuente 10 [IMAT] iMat 0,5 50% [IMATBEC] iMatbecarios 0,5 50% [BBDD] SQL Server 2000 0,5 50% [SO] Sistema Operativo 0,5 [AV] Antivirus 0,5 [VB] Visual Basic 6.0 0,5 [MON_TRANS] Monitor Transaccional 0,5 [SERV_BAL] Servidor de balanceo 0,5 50% [SERV_WEB] Servidores Web 0,5 50% [SERV_FICH] Servidor de Ficheros 10 50% [SERV_DAT] Servidor de Datos 0,5 100% [PC_MAT] PC Matriculación 0,5 [SWITCH] Switch 0,1 20% [LAN] Red de área local 10 100% [INT] Internet 5 20% [FIRE] Firewall 0,5 50%
[A.15] Modificación de información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 60% [I_B] Información Becarios 10 50% [I_ASIG] Información Asignaturas 100 100% [I_DEP] Información departamentos 10 50% [I_STIC] Información STIC 10 [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 70%
[A.16] Introducción de falsa información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 20 80% [I_COD] Código Fuente 20 [SERV_FICH] Servidor de Ficheros 100 100%
[A.17] Corrupción de la información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 80% [I_B] Información Becarios 10 50% [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 70%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
262
[A.18] Destrucción de la información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 100% [I_B] Información Becarios 10 50% [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 50% [CAJ_SEG] Caja de Seguridad 10
[A.19] Divulgación de información activo frecuencia [D] [I] [C]
[I_A] Información Alumnos 10 100% [I_B] Información Becarios 10 100% [I_ASIG] Información Asignaturas 20 100% [I_DEP] Información departamentos 10 100% [I_COD] Código Fuente 10 [SERV_FICH] Servidor de Ficheros 10 100% [CAJ_SEG] Caja de Seguridad 10 100% [ADM] Administradores 1 [SG] Secretaría General 1 [BEC] Becarios 1 [ALUM] Alumnos 1
[A.22] Manipulación de programas activo frecuencia [D] [I] [C]
[IMAT] iMat 20 100% 100% 100% [IMATBEC] iMatbecarios 20 100% 100% [BBDD] SQL Server 2000 20 100% 100% [SO] Sistema Operativo 20 [AV] Antivirus 20 [VB] Visual Basic 6.0 20 [MON_TRANS] Monitor Transaccional 20 [SERV_BAL] Servidor de balanceo 20 100% 100% [SERV_WEB] Servidores Web 20 100% 100% [SERV_FICH] Servidor de Ficheros 20 100% 100% [SERV_DAT] Servidor de Datos 20 100% 100% [PC_MAT] PC Matriculación 20 [FIRE] Firewall 20 100% 100%
[A.24] Denegación de servicio activo frecuencia [D] [I] [C]
[MAT] Matriculación 10 30% [IMPR_BEC] Impresión Becarios 1 30% [SERV_BAL] Servidor de balanceo 10 100% [SERV_WEB] Servidores Web 10 100% [SERV_FICH] Servidor de Ficheros 10 100% [SERV_DAT] Servidor de Datos 10 100% [SERV_BACK] Servidor de back-up 10 100% [IMP_BEC] Impresora becarios 10 100% [PC_BEC] PC Becarios 10 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
263
[PC_MAT] PC Matriculación 10 100% [SWITCH] Switch 10 100% [LAN] Red de área local 10 50% [INT] Internet 10 50% [FIRE] Firewall 10 100%
[A.25] Robo de equipos activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 1 100% 10% [SERV_WEB] Servidores Web 1 100% 10% [SERV_FICH] Servidor de Ficheros 1 100% 100% 100% [SERV_DAT] Servidor de Datos 1 100% 10% [SERV_BACK] Servidor de back-up 1 100% [IMP_BEC] Impresora becarios 1 100% [PC_BEC] PC Becarios 5 100% [PC_MAT] PC Matriculación 5 100% [SWITCH] Switch 1 100% [CAJ_SEG] Caja de Seguridad 1 50% [FIRE] Firewall 1 100% [TEMP_AA23] Sistema de climatización sala servidores 1 10% 50% [TEMP_AA25] sistema climatización sala auxiliar 1 10%
[A.26] Ataque destructivo activo frecuencia [D] [I] [C]
[SERV_BAL] Servidor de balanceo 0,1 100% [SERV_WEB] Servidores Web 0,1 100% [SERV_FICH] Servidor de Ficheros 0,1 100% 70% [SERV_DAT] Servidor de Datos 0,1 100% [SERV_BACK] Servidor de back-up 0,1 100% [PC_MAT] PC Matriculación 100 100% [SWITCH] Switch 0,1 100% [FIRE] Firewall 0,1 100% [SERV_AA23] Servidores 0,5 100% 50% [SERV_AA25] Servidor auxiliar 0,1 100% [BEC_AA21] Emplazamiento becarios 0,1 100%
[A.28] Indisponibilidad del personal activo frecuencia [D] [I] [C]
[ADM] Administradores 1 10% [SG] Secretaría General 1 10% [BEC] Becarios 1 10%
[A.29] Extorsión activo frecuencia [D] [I] [C]
[ADM] Administradores 0,9 100% 100% [SG] Secretaría General 0,9 100% 100% [BEC] Becarios 0,9 100% 100% [ALUM] Alumnos 0,9 100% 100%
Anexo: Mapa de Riesgos [IMAT] Sistema de Matriculación
264
[A.30] Ingeniería social activo frecuencia [D] [I] [C]
[ADM] Administradores 0,5 100% 100% [SG] Secretaría General 0,5 100% 100% [BEC] Becarios 0,5 100% 100% [ALUM] Alumnos 0,5 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
265
Evaluación de Salvaguardas
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 265
2. Planos................................................................................................... 265
3. Fases..................................................................................................... 265
4. Plano: [base] Matriculación .............................................................. 266
4.1. Marco de gestión..............................................................................................266
4.2. Servicios...........................................................................................................271
4.3. Datos / Información .........................................................................................273
4.4. Aplicaciones informáticas (SW) ......................................................................276
4.5. Equipos informáticos (HW).............................................................................278
4.6. Comunicaciones...............................................................................................280
4.7. Elementos auxiliares ........................................................................................284
4.8. Seguridad física................................................................................................285
4.9. Personal............................................................................................................287
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Planos o [base] Matriculación
Fases
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
266
o [Presente] Situación actual o [Solución 1] Posible situación futura
Plano: [base] Matriculación Detalle: nivel experto
Marco de gestión salvaguarda [Presente] [Solución
1]
Organización 55% 83% Comité de gestión de seguridad de la información (forum) 40% 83% Está respaldado por la dirección 50% 100% Define claramente las funciones de seguridad 30% 90% Aprueba las designaciones de responsables de seguridad 30% 30% Identifica los objetivos de seguridad 60% 60% Revisa, evalúa y aprueba la política de seguridad 40% 100% Asegura la coordinación en materia de seguridad dentro de la organización
20% 100%
Coordinación de la seguridad de la información n.a. 100% Se garantiza que las actividades de seguridad se llevan a cabo según la política
n.a. 100%
Se aprueban metodologías, procedimientos, normas, etc. n.a. 100% Asignación de responsabilidades para la seguridad de la información 63% 92% Se identifican claramente los activos y los procesos de seguridad asociados con cada sistema específico
70% 100%
Se nombra al responsable de cada activo o proceso de seguridad 70% 70% Se documentan los detalles de cada responsabilidad 50% 100% Se definen y documentan claramente los niveles de autorización n.a. 100% Roles identificados 85% 100% Responsable de seguridad TIC 100% 100% Responsable de seguridad de la información 70% 100% Responsable de seguridad del sistema (RSS) (autoridad delegada) 40% 100% Se dispone de asesoramiento especializado en seguridad 0% 50% Cooperación entre organizaciones 55% 55% Se mantienen contactos con las autoridades 50% 50% Se mantienen contactos con los organismos reguladores 50% 50% Se mantienen contactos con los proveedores de servicios de información
70% 70%
Se mantienen contactos con los operadores de telecomunicaciones 50% 50% Normativa de seguridad 25% 88% Política de Seguridad (documento) 21% 73% Política derivada de la Política de Seguridad Global de la Organización
30% 100%
Está aprobado y respaldado por el responsable de la organización 30% 100% Todo el personal de la organización tiene acceso al documento 30% 70% Conocido y aceptado por los afectados 10% 70% Referencia normativa y procedimientos específicos 30% 30% Revisión periódica 10% 50% Documentación de seguridad del sistema 0% 96% Documento de seguridad 0% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
267
Documento de seguridad (LOPD) 0% 100% Los documentos de seguridad tienen asignado un responsable n.a. 100% Documentación basada en el análisis de riesgos n.a. 100% Está aprobado/respaldado por el responsable de la organización n.a. 100% Todo el personal del sistema tiene acceso al documento n.a. 70% Proceso de revisión definido (considera todos los posibles cambios que pueden afectar a los riesgos)
n.a. 100%
Procedimientos operativos 30% 92% Guías para todas las funciones ordinarias 50% 100% Guías para situaciones excepcionales 10% 70% Revisión periódica 10% 100% Criterios de aceptación para versiones o sistemas nuevos 45% 88% Documentación 50% 80% Documentación de seguridad 0% 80% Definición y prueba de los procedimientos de operación del sistema
0% 80%
Definición de procedimientos de recuperación ante errores y de reinicio
30% 100%
Comprobación de la facilidad de uso 60% 80% Estudio de los efectos en el rendimiento y en la seguridad de su implantación
100% 100%
Definición de un plan de contingencia 0% 100% Definición de las medidas de seguridad a implantar 60% 100% Pruebas de aceptación 100% 100% Formación 100% 100% Certificación independiente 0% 50% Acreditación de sistemas 26% 91% Validación de la documentación de seguridad n.a. 100% Plan de inspección 20% 80% Revisión Seguridad Física 20% 100% Revisión Seguridad de Personal n.a. 100% Revisión Seguridad de Documentos 0% 100% Revisión INFOSEC 60% 100% Revisión Seguridad Criptográfica 30% 60% Identificación y autenticación 89% 96% Identificación de usuario 100% 100% Identificación única de todos los usuarios 100% 100% Registro de las identificaciones 100% 100% El sistema mantiene las autorizaciones de los usuarios 100% 100% Solo se permite una (1) sesión activa por usuario 100% 100% Herramientas de Identificación y Autenticación de usuario 79% 93% Modificación o eliminación de los autenticadores incluidos por defecto en los productos
100% 100%
Limitación del número de autenticadores necesarios por usuario 100% 100% Verificación de la identidad de los usuarios previa entrega del autenticador
100% 100%
Compromiso escrito de mantener la confidencialidad del autenticador
0% 100%
Confirmación de la recepción de los autenticadores por los interesados
100% 100%
{or} Mecanismo de autenticación 75% 75% Contraseñas 75% 75%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
268
Gestión de contraseñas 50% 50% Las contraseñas iniciales serán temporales con una duración limitada (mínima y máxima)
0% 0%
Se cifran las contraseñas almacenadas en el sistema 100% 100% Las contraseñas de administración se custodian en sobre lacrados convenientemente guardados en cajas de seguridad
50% 50%
Uso de contraseña 100% 100% Los usuarios garantizan la confidencialidad de las contraseñas
100% 100%
Las contraseñas no se incluyen en procesos automáticos de conexión (código SW, páginas Web, etc.)
100% 100%
Se seleccionan contraseñas fáciles de recordar pero de difícil conjetura
100% 100%
Contienen caracteres alfanuméricos, con mayúsculas y minúsculas
100% 100%
No coinciden con el identificador de usuario, con nombres o fechas de nacimiento
100% 100%
{xor} Token Generador de contraseñas de un sólo uso Token implementado en SW, con generador de números pseudoaleatorio según FIPS 140-2 o equivalente
Token implementado en HW, con generador de números pseudoaleatorio según FIPS 140-2 o equivalente
Token implementado en HW FIPS 140-2 de nivel 4 o equivalente
{xor} Biometría Huella dactilar Geometría de la mano Iris Retina Tecleo Voz Texto manuscrito Otros ... Control de acceso lógico 78% 94% Norma para el control de accesos 85% 85% Basada en los requisitos de seguridad y del negocio 100% 100% Revisión de la norma 70% 70% Restricción de acceso a la información 100% 100% Acceso a la información basado en la autorización y la necesidad de conocer
100% 100%
Establecimiento de menús específicos para controlar los accesos a las funciones de las aplicaciones
100% 100%
Control de los privilegios de los usuarios (lectura, escritura, borrado, ejecución)
100% 100%
Control de los privilegios de otras aplicaciones 100% 100% Segregación de tareas 66% 93% Segregación de tareas en roles 87% 93% Usuario del sistema 100% 100% Entrada de datos 100% 100% Autorización de datos 100% 100% Administrador del Sistema 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
269
Administrador de Seguridad 100% 100% Desarrollo y mantenimiento de sistemas 90% 90% Administración de cambios 90% 90% Auditoría de seguridad 0% 60% Medidas adicionales de control 94% 94% Prevenir la modificación de datos de producción por los operadores
100% 100%
Prevenir el inicio de transacciones por los operadores 100% 100% Restricción de acceso a las aplicaciones 100% 100% Control de acceso a la consola de logs 100% 100% Revisión de los periodos de vacaciones previstos de los operadores y programadores
80% 80%
Supervisión de operaciones críticas 80% 80% Formación en las funciones de cada rol del sistema 80% 80% Monitorización de todas las operaciones 50% 80% Registro de las operaciones 50% 100% Registro de usuario 75% 100% Procedimiento y registro de alta, activación, modificación y baja de las cuentas de usuario
100% 100%
Comprobación previa de la identidad de los usuarios y de los privilegios requeridos
100% 100%
Aprobación de los derechos de acceso por el propietario del servicio o de la información
100% 100%
Comunicación por escrito de sus derechos de acceso a los usuarios, y confirmación de éstos de su conocimiento
0% 100%
Gestión de privilegios 90% 90% Identificación de los perfiles de acceso y sus privilegios asociados 100% 100% Asignación de los privilegios mínimos e imprescindibles para realizar las tareas autorizadas
100% 100%
Separación de responsabilidades 90% 90% Procedimiento de autorización de acceso 100% 100% Transacción 100% 100% Aplicación 100% 100% Proceso 100% 100% Información 100% 100% Registro de los privilegios de acceso 70% 70% Diferentes perfiles de acceso para administración y seguridad 80% 80% Revisión de los derechos de acceso de los usuarios 90% 90% Revisión periódica de los registros de actividad en busca de acciones inapropiadas
100% 100%
Registro y revisión periódica de los cambios en las autorizaciones de acceso
80% 80%
Conexión en terminales (logon) 57% 86% Número limitado de intentos fallidos 0% 100% Tras un intento fallido existe un retardo hasta que el siguiente intento sea posible
0% 0%
Sólo se solicita la mínima información requerida durante la conexión
100% 100%
No se ofrecen mensajes de ayuda durante la conexión 100% 100% Se valida la información de conexión sólo tras rellenar todos sus datos de entrada
100% 100%
No mostrar identificación del sistema o aplicación hasta que 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
270
termine el proceso de conexión Las contraseñas no podrán ser almacenadas en ningún proceso automático (macros, teclas de función, etc.)
0% 100%
Identificación automática de terminales 100% 100% Identificación de todos los terminales conectados a un "host" / servidor (direcciones MAC, IPs estáticas, etc.)
100% 100%
Identificación no alterable por el usuario 100% 100% Desconexión automática de terminales 50% 100% Desconexión automática de sesiones o terminales inactivos de alto riesgo
100% 100%
Gestión de incidencias 42% 89% Procedimientos de gestión de incidentes 54% 87% Definición de procedimientos a seguir para todos los tipos potenciales de incidencias
20% 92%
Procedimiento para fallos del sistema y pérdidas de servicio 20% 100% Procedimiento en caso de denegación de servicio 20% 100% Procedimiento ante errores que resultan de datos del negocio inexactos o incompletos
20% 100%
Procedimiento ante violaciones de la confidencialidad 20% 70% Esquema de gestión 52% 77% Suspensión de los trabajos en el sistema afectado hasta que la incidencia sea resuelta
90% 90%
Análisis e identificación de la causa 90% 90% Planificación e implantación de medidas 50% 70% Comunicación con los afectados e implicados en la recuperación de la incidencia
50% 70%
Comunicación de las acciones a la autoridad respectiva de la organización
70% 70%
Recogida de pistas de auditoría, atendiendo a su validez, calidad y completitud
0% 50%
Evidencias en documentos en papel 0% 87% Registro de la persona que encontró el documento, lugar y fecha
0% 100%
Testigos del descubrimiento 0% 100% Comprobación de que el documento no ha sido modificado 0% 60% Evidencias en medios electrónicos 50% 100% Realización de copias de los medios electrónicos en medios de alta fiabilidad
50% 100%
Registro de todas las acciones del proceso de copia 50% 100% Testigos del proceso de copia 50% 100% Análisis del impacto del incidente 70% 70% Control formal del proceso de recuperación ante el incidente 90% 90% Identificación y autorización del personal que gestione el incidente
80% 80%
Registro de todas las acciones realizadas 80% 80% Cada acción de emergencia es aprobada por la Dirección 100% 100% Comprobación de la integridad de los sistemas y las medidas de control de seguridad
100% 100%
Comunicación de las incidencias de seguridad 0% 85% Procedimiento para la comunicación de las incidencias 0% 100% Procedimiento para la respuesta ante las incidencias 0% 100% Registro 0% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
271
Tipo de incidencia 0% 100% Momento en que se ha producido 0% 100% Persona que realiza la notificación 0% 100% A quién se le comunica 0% 100% Efectos derivados de la misma 0% 100% Acciones tomadas 0% 100% Difusión de los procedimientos n.a. 70% Prueba y revisión de los procedimientos 0% 70% Mecanismos para cuantificación y monitorización (indicadores) de las incidencias
0% 70%
Se aprende de los incidentes y se proponen mejoras 100% 100% Revisión de la seguridad de los sistemas de información 30% 79% Se realiza regularmente un análisis de riesgos 10% 70% Se revisan periódicamente las amenazas y las vulnerabilidades 0% 70% Se evalúa periódicamente la idoneidad de los controles implantados 30% 70% {or} Revisión del cumplimiento de los requisitos técnicos de los sistemas de información
40% 70%
Revisión por un equipo de auditoría interna 40% 70% Revisión por un auditor/empresa especializado e independiente Registro de revisiones 50% 100% Revisión y análisis periódicos 30% 70% Revisión al menos cada dos años 50% 100% Continuidad del negocio (contingencia) 50% 75% Plan de gestión de crisis 0% 50% Seguros contra interrupciones en el negocio 100% 100%
Servicios salvaguarda [Presente] [Solución
1]
Inventario de servicios 88% 88% Registro de servicios a usuarios 90% 90% Registro de servicios internos 60% 60% Identificación del propietario (persona responsable) 100% 100% Revisión periódica del inventario 100% 100% Disponibilidad 63% 100% Protección frente a DoS 63% 100% Identificación de los eventos que pueden causarlo 70% 100% Dimensionamiento adecuado de los dispositivos accesibles (cortafuegos, servidores, ...) para soportar la máxima carga
60% 100%
Dimensionamiento adecuado de la capacidad de almacenamiento de los dispositivos de registro (logs) de la actividad
50% 100%
Proveedor de servicios alternativo 0% 100% Procedimientos operativos 100% 100% Monitorización 100% 100% Desarrollo 95% 95% Planificación de capacidades 90% 90% Necesidades de procesamiento 90% 90% Necesidades de software 100% 100% Dependencia de otros servicios 75% 75% Dependencia de servicios internos 50% 50% Dependencia de servicios proporcionados por terceros 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
272
Necesidades de almacenamiento 100% 100% Necesidades de transmisión 100% 100% Requisitos de autenticidad 100% 100% Explotacion 92% 92% Norma de condiciones de uso 80% 80% Proteccion de la integridad de la informacion publicada electronicamente
97% 97%
Cumplimiento de la normativa vigente referente a la publicación de datos
90% 90%
Controles contra el acceso no autorizado a las redes a las que se conecta el sistema
100% 100%
Declaración pública sobre el nivel de compromiso de la organización ante los datos publicados y su uso
100% 100%
Infraestructura de clave pública 90% 90% Políticas y Procedimientos 80% 80% Política de certificación 80% 80% Declaración de prácticas de certificación 80% 80% Gestión de claves 100% 100% Generación de claves 100% 100% Distribución de claves 100% 100% Almacenamiento de las claves 100% 100% Borrado de las claves 100% 100% Recuperación de las claves 100% 100% Protección del servidor de nombres de dominio (DNS) 100% 100% Instalación de última versión de SW 100% 100% Actualización periódica del SW (parches, versiones, etc.) 100% 100% Autenticación y registro de las modificaciones de los datos 100% 100% EDI 80% 80% Integridad y autenticidad 60% 60% Integridad de los datos 90% 90% {xor} Mecanismo 90% 90% Mecanismo basado en paridad, CRC-16, CRC-32, etc. 90% 90% Mecanismo basado en MAC (Código de Autenticación de Mensaje)
90% 90%
Mecanismo basado en MAC con "hash" (HMAC) según FIPS 140-2
90% 90%
{xor} Mecanismo de hash 90% 90% "Hash" según FIPS 140-2, SHA-1 o superior 90% 90% Otros 90% 90% Firma electrónica 0% 0% Norma sobre firma electrónica 0% 0% Procedimiento de firma y verificación 0% 0% Certificado electrónico 0% 0% {xor} Formato del certificado 0% 0% X.509 de identidad 0% 0% X.509 de atributos 0% 0% PGP 0% 0% Otro 0% 0% {xor} Sujeto del certificado 0% 0% {xor} Identifica persona 0% 0% Reconocido 0% 0% No reconocido 0% 0%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
273
Dispositivo Físico 0% 0% Dispositivo Lógico 0% 0% {xor} Mecanismo de hash 0% 0% "Hash" según FIPS 140-2, SHA-1 o superior 0% 0% Otros 0% 0% {xor} Mecanismo de firma digital 0% 0% Basado en algoritmo asimétrico según FIPS 140-2 0% 0% RSA (Rivest-Shamir-Adleman) 1024 o superior 0% 0% DSA (Digital Signature Algorithm) 1024 o superior 0% 0% ECDSA (Elliptic Curve Digital Signature Algorithm) 256 o superior
0% 0%
Otro 0% 0% Autenticación/comprobación del origen de los mensajes 60% 60% Registro de envío de mensajes 70% 70% Comprobación de entrega 80% 80% {xor} Mecanismo de cifrado 100% 100% {xor} Basado en algoritmo de cifrado según FIPS 140-2 100% 100% Skipjack 100% 100% DES 100% 100% 3DES 100% 100% AES 100% 100% Basado en módulo criptográfico validado según FIPS 140-2 (AES 128 o superior), o equivalente
100% 100%
Otros 100% 100% Teletrabajo 100% 100% Autorización previa 100% 100% Terminación 87% 93% Terminación de Servicio 87% 93% Autorización previa 100% 100% Estudio de los efectos 20% 60% Almacenamiento seguro o destrucción de la información 100% 100%
Datos / Información salvaguarda [Presente] [Solución
1]
Inventario de activos de información 90% 90% Identificación del propietario (persona responsable) 100% 100% Revisión periódica del inventario 80% 80% Clasificación de la información 100% 100% La responsabilidad de la clasificación/reclasificación es del generador de la información
100% 100%
Directrices de clasificación definidas por la LOPD 100% 100% Directrices de clasificación definidas por la organización 100% 100% Disponibilidad 99% 99% Copias de seguridad de los datos 99% 99% Norma de back-ups 99% 99% Identificación de la información crítica para el negocio 90% 90% Frecuencia de las copias 100% 100% Requisitos de almacenamiento en el propio lugar, y en lugares alternativos
100% 100%
Controles para el acceso autorizado a las copias de respaldo 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
274
Procedimientos de copia y restauración 100% 100% Prueba periódica de las copias de seguridad y de los procedimientos de restauración
100% 100%
Almacenamiento de las copias de seguridad y de los procedimientos en lugares alternativos
100% 100%
{xor} Mecanismo de back-up 100% 100% Copias de seguridad en soportes 100% 100% Identificación de soportes de copia 100% 100% Nombre 100% 100% Fecha de creación 100% 100% {or} Soporte 100% 100% Papel 0% 0% {or} Soporte magnético 100% 100% Disquetes 100% 100% Cinta 100% 100% Cartucho 100% 100% Cinta DAT 100% 100% Cinta 8 mm 100% 100% {xor} Microfilm 0% 0% Poliéster 0% 0% Halógeno de plata 0% 0% {xor} Soporte óptico 0% 0% CD ROM, CD-R, CD-RW 0% 0% DVD-ROM, DVD-RAM, DVD-R, DVD-RW 0% 0% Mediante copias de seguridad en remoto ("electronic vaulting", "remote journaling")
100% 100%
Mediante reparto de carga entre servidores (server load balancing)
100% 100%
Mediante replicación de discos síncrona o asíncrona 0% 0% Integridad 98% 98% Procedimientos de explotación adecuados a la protección de la integridad
100% 100%
Procedimientos de copias de respaldo, protección y conservación 100% 100% En transacciones, adoptar herramientas o procedimientos que aseguren la integridad
100% 100%
Verificación de la ausencia de código dañino empotrado 90% 90% Criptografía 100% 100% Norma de uso de los controles criptográficos 100% 100% Requisitos legales o contractuales 100% 100% Algoritmos y parámetros de configuración 100% 100% Roles y responsabilidades 100% 100% Requisitos de identificación y autenticación 100% 100% Procedimiento para alta, baja, modificación de privilegios 100% 100% Requisitos de aplicabilidad (confidencialidad, integridad, autenticidad y no repudio)
100% 100%
Requisitos de protección para los mecanismos criptográficos 100% 100% Requisitos de control de los mecanismos criptográfico (registro, contabilidad, auditoría, etc.)
100% 100%
Política de gestión de las claves 100% 100% Necesidades de interoperabilidad, y previsiones futuras 100% 100% Política de adquisición 100% 100% Revisión periódica de las vulnerabilidades de los algoritmos 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
275
Gestión de claves 100% 100% Generación de claves 100% 100% Distribución de claves 100% 100% Almacenamiento de las claves 100% 100% Borrado de las claves 100% 100% Recuperación de las claves 100% 100% {xor} Mecanismo de cifrado 100% 100% Certificado por la Autoridad Nacional Criptográfica 100% 100% {xor} Basado en algoritmo de cifrado según FIPS 140-2 100% 100% Skipjack 100% 100% DES 100% 100% 3DES 100% 100% AES 100% 100% Basado en módulo criptográfico validado según FIPS 140-2 (AES 128 o superior), o equivalente
100% 100%
Otros 100% 100% {xor} Mecanismo de integridad 100% 100% Mecanismo basado en paridad, CRC-16, CRC-32, etc. 100% 100% Mecanismo basado en MAC (Código de Autenticación de Mensaje)
100% 100%
Mecanismo basado en MAC con "hash" (HMAC) según FIPS 140-2
100% 100%
{xor} Mecanismo de hash 100% 100% Certificado por la Autoridad Nacional Criptográfica 100% 100% "Hash" según FIPS 140-2, SHA-1 o superior 100% 100% Otros 100% 100% Firma electrónica 100% 100% Norma sobre firma electrónica 100% 100% Procedimiento de firma 100% 100% Procedimiento de verificación 100% 100% Certificado electrónico 100% 100% {xor} Formato del certificado 100% 100% X.509 de identidad 100% 100% X.509 de atributos 100% 100% PGP 100% 100% Otro 100% 100% {xor} Sujeto del certificado 100% 100% {xor} Identifica persona 100% 100% Reconocido 100% 100% No reconocido 100% 100% Dispositivo Físico 100% 100% Dispositivo Lógico 100% 100% Otro 100% 100% {xor} Mecanismo de hash 100% 100% Certificado por la Autoridad Nacional Criptográfica 100% 100% "Hash" según FIPS 140-2, SHA-1 o superior 100% 100% Otros 100% 100% {xor} Mecanismo de firma digital 100% 100% Certificado por la Autoridad nacional criptográfica 100% 100% {xor} Basado en algoritmo asimétrico según FIPS 140-2 100% 100% RSA (Rivest-Shamir-Adleman) 1024 o superior 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
276
DSA (Digital Signature Algorithm) 1024 o superior 100% 100% ECDSA (Elliptic Curve Digital Signature Algorithm) 256 o superior
100% 100%
Otro 100% 100%
Aplicaciones informáticas (SW) salvaguarda [Presente] [Solución
1]
Inventario de aplicaciones 37% 90% Registro de aplicaciones 50% 100% Registro de sistemas operativos y software de base 50% 100% Revisión periódica del inventario 10% 70% Copias de seguridad 66% 86% Copias de seguridad 66% 86% Identificación del SW crítico para el negocio 10% 80% Procedimientos de copia 80% 80% Procedimiento de restauración 50% 80% Prueba periódica de las copias de seguridad y de los procedimientos de restauración
50% 70%
Almacenamiento de las copias de seguridad en lugares alternativos
100% 100%
Protección de las copias de seguridad de acuerdo al SW que contienen
100% 100%
Procedimiento de retención y destrucción de copias de seguridad 60% 100% Desarrollo 91% 98% Requisitos funcionales 80% 90% Planificación de capacidades 80% 90% Necesidades de procesamiento, y almacenamiento 100% 100% Necesidades de transmisión 100% 100% Necesidades de personal 60% 80% Necesidades de mobiliario y equipamiento de apoyo 60% 80% Entorno de desarrollo 82% 100% Separación de los entornos de desarrollo y producción 100% 100% Separación de funciones del personal programador 100% 100% Metodología de desarrollo 30% 100% Entorno de pruebas (pre-producción) 100% 100% {xor} Separación del entorno de pruebas del entorno de producción
100% 100%
Separación física 100% 100% Separación lógica 100% 100% El entorno de pruebas simula realísticamente el entorno de producción
100% 100%
Cuentas de usuario diferentes: pruebas y producción 100% 100% Procedimiento para el paso del entorno de pruebas al de producción
100% 100%
{or} Protección de los datos de prueba del sistema 100% 100% Las pruebas no usan datos de producción 100% 100% Las pruebas usan datos de producción Se aplica el mismo control de accesos que al sistema en producción
100% 100%
Eliminación de la información de producción del sistema de
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
277
pruebas Registro de las copias y uso de la información de producción a efectos de auditoría
Autorización previa cada vez que se copie datos de producción a un entorno de pruebas
Puesta en producción 100% 100% Prueba previa del SW antes de su paso a producción 100% 100% Explotación 80% 82% Procedimiento para el control de software en producción 100% 100% Los sistemas en producción no contienen compiladores 100% 100% Los sistemas de producción no contienen herramientas de desarrollo
100% 100%
Aislamiento de sistemas sensibles 83% 100% Identificación del nivel de sensibilidad de la información 90% 100% Instalación de aplicaciones críticas en máquinas dedicadas 80% 100% Identificación de los recursos compartidos y autorización por el responsable
80% 100%
Seguridad de las aplicaciones 100% 100% Validación de los datos de entrada 100% 100% Control de errores 98% 98% Comprobación del rango de valores 100% 100% Comprobación del tipo de datos de entrada 100% 100% Comprobación de la completitud de los datos de entrada 100% 100% Comprobación del volumen de datos 100% 100% Comprobación de datos no autorizados o inconsistentes 90% 90% Comprobación de la integridad de los datos mediante revisión periódica de campos clave o ficheros de datos
100% 100%
Procedimientos de respuesta ante errores de validación 100% 100% Procedimientos para comprobar la plausibilidad de los datos de entrada
100% 100%
Verificación de la consistencia 100% 100% Controles de sesión o de lotes, para conciliación de cuadres de ficheros tras las actualizaciones de transacciones
100% 100%
Controles de cuadre para comprobación de cuadres de apertura con cuadres previos de cierre
100% 100%
Controles de pasada en pasada 100% 100% Totales de actualización de ficheros 100% 100% Controles de programa a programa 100% 100% Validación de los datos generados por el sistema 100% 100% Comprobaciones de integridad de datos o del software transferidos desde o hacia el ordenador central
100% 100%
Hash de registros y ficheros 100% 100% Comprobaciones que aseguren que los programas de las aplicaciones se ejecutan en el momento adecuado
100% 100%
Comprobaciones que aseguren que los programas se ejecutan en el orden correcto, que finalizan en caso de fallo y que no sigue el proceso hasta que el problema se resuelve
100% 100%
Registro de las actividades 100% 100% Validación de los datos de salida 100% 100% Validaciones de verosimilitud para comprobación de los datos de salida
100% 100%
Cuentas de control de conciliación para asegurar el proceso de 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
278
todos los datos Suministro de suficiente información al lector o a un sistema de proceso subsiguiente para poder determinar la exactitud, completitud, precisión y clasificación de la información
100% 100%
Procedimientos para contestar los cuestionarios de validación de salidas
100% 100%
Definición de las responsabilidades de todos los implicados en el proceso de salida de datos
100% 100%
Registro de las actividades 100% 100% Seguridad de los ficheros de datos de la aplicación 100% 100% Confidencialidad 100% 100% Integridad 100% 100% Autenticidad 100% 100% Seguridad de los ficheros de configuración 100% 100% Confidencialidad 100% 100% Integridad 100% 100% Autenticidad 100% 100% Seguridad de los mecanismos de comunicación entre procesos 0% 0% Confidencialidad 0% 0% Integridad 0% 0% Autenticidad 0% 0% Cambios (actualizaciones y mantenimiento) 73% 80% Seguimiento permanente de actualizaciones y parches 100% 100% Evaluacion del impacto potencial del cambio 50% 100% Impacto en la prestación de los servicios 50% 100% Impacto en la confidencialidad de los datos 50% 100% Impacto en la integridad de los datos 50% 100% Impacto en los controles de monitorización 50% 100% Definición del proceso de cambio de forma que minimice la interrupción del servicio
100% 100%
Retención de versiones anteriores de software como medida de precaución para contingencias
100% 100%
Pruebas de regresión 80% 80% Registro de toda actualización de SW 100% 100% Documentación 85% 85% Documentación de todos los cambios 100% 100% Actualización de la documentación del sistema 70% 70% Control de versiones de toda actualización del software 100% 100% Actualización de todos los procedimientos de explotación afectados 0% 0% Actualización de los planes de contingencia 0% 0%
Equipos informáticos (HW) salvaguarda [Presente] [Solución
1]
Inventario de equipos 100% 100% Registro de equipos propios 100% 100% Revisión periódica del inventario 100% 100% Disponibilidad 100% 100% Mantenimiento periódico según especificaciones de los fabricantes 100% 100% Dimensionamiento y adquisición de repuestos 100% 100% Mantenimiento sólo por personal debidamente autorizado 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
279
{xor} Redundancia 100% 100% Equipo alternativo 100% 100% Equipo de alta disponibilidad con sistema de almacenamiento RAID
Equipo alternativo preconfigurado con replicación de discos síncrona o asíncrona
Cluster con sistema de almacenamiento RAID Redundancia de los elementos críticos del "host" Sistema redundante propio en centro alternativo Contrato de prestación de servicio con el proveedor del sistema, de acuerdo a los requisitos del negocio
Adquisición de HW 83% 83% Identificación de los requisitos de seguridad de acuerdo a los condicionantes del negocio
48% 48%
Estándares aplicables 80% 80% Política de seguridad de la organización 50% 50% Requisitos funcionales 60% 60% Certificaciones y/o acreditaciones 0% 0% Certificación de la calidad y exactitud del trabajo realizado según estándares requeridos
50% 50%
Acuerdos para hacerse cargo en el caso de fallo de terceros 100% 100% Protocolo de pruebas del producto 100% 100% Necesidades de formación 70% 70% Necesidades de repuestos 100% 100% Garantías sobre actualización del producto 100% 100% Cláusulas de penalización 100% 100% Desarrollo de HW 73% 73% Identificación de los requisitos de seguridad 70% 70% Metodología de desarrollo 80% 80% Plan de Proyecto 100% 100% Plan de Calidad 100% 100% Plan de Pruebas 100% 100% Plan de Documentación 50% 50% Documento de Requititos 50% 50% Especificaciones de Diseño 80% 80% Diseño de Arquitectura 80% 80% Protocolo de pruebas 70% 70% Plan de Pruebas 80% 80% Diario de Pruebas 50% 50% Evaluación 80% 80% Documentación sobre HW 80% 80% Esquema Hardware 80% 80% Descripción detallada de Componentes 80% 80% Descripción de Herramientas de desarrollo utilizadas 80% 80% Descripción de Herramientas de verificación utilizadas 80% 80% Documentación sobre SW 80% 80% Código fuente del SW de seguridad 80% 80% Definición detallada de Funciones y Procedimientos 80% 80% Descripción de Herramientas de desarrollo utilizadas 80% 80% Descripción de Herramientas de verificación utilizadas 80% 80% Instalación 100% 100% Evitar que por acceder a este equipo se abra el acceso a otros 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
280
Evitar acceso visual a pantallas y monitores por personas no autorizadas
100% 100%
Operación 91% 91% Protección física de los equipos 90% 90% Distribución adecuada de los equipos (evitar accesos innecesarios, daños por agua, observación no autorizada, etc.)
100% 100%
Los elementos que requieran especial protección se aislarán para reducir el nivel general de protección requerido
100% 100%
Control de los accesos a equipos de presentación (impresoras, pantallas, etc.)
70% 70%
Protección de los dispositivos de red 90% 90% Autorización previa para su utilización 100% 100% Deshabilitación de todos los servicios o utilidades no empleados 100% 100% Control de acceso a las consolas de administración 100% 100% Desconexión automática de sesiones inactivas 20% 20% Eliminación o modificación de cuentas y contraseñas preconfiguradas
100% 100%
Prohibición de grupos de cuentas de administración compartidas 100% 100% {xor} Administración remota 100% 100% Se restringe la administración remota No se permite la administración remota 100% 100% Se emplean protocolos seguros para la administración remota 100% 100% Reproducción de documentos 93% 93% Asignación de cuentas de usuario 100% 100% Autorización previa para realizar copias, y numeración de las mismas
90% 90%
Registro y revisión de la actividad de los dispositivos de reproducción (números de copias, usuarios que las han realizado, etc.)
90% 90%
Cambios (actualizaciones y mantenimiento) 68% 68% Seguimiento permanente de actualizaciones 80% 80% Evaluacion del impacto potencial del cambio 82% 82% Impacto en la prestación de los servicios 70% 70% Impacto en la confidencialidad de los datos 90% 90% Impacto en la integridad de los datos 90% 90% Impacto en los controles de monitorización 80% 80% Definición del proceso de cambio de forma que minimice la interrupción del servicio
80% 80%
Pruebas de regresión 50% 50% Procedimientos de control de cambios 84% 84% Comunicación de los detalles del cambio al personal relacionado 100% 100% Procedimientos y asignación de responsabilidades para abortar y, en su caso recuperar, la situación inicial antes de un cambio
80% 80%
Registro de todo cambio 80% 80% Documentación 63% 63% Documentación de todos los cambios 80% 80% Actualización de la documentación del sistema 60% 60% Archivo o destrucción de la documentación anterior 50% 50% Control de versiones de todo cambio de hw 100% 100% Actualización de los planes de contingencia 0% 0%
Comunicaciones
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
281
salvaguarda [Presente] [Solución
1]
Inventario de servicios de comunicación 83% 83% Registro de servicios 80% 80% Identificación del responsable 100% 100% Revisión periódica del inventario 70% 70% Disponibilidad 93% 93% Protección de la disponibilidad 93% 93% Identificación y eliminación de los "puntos únicos de fallo" (SPF-Single Point of Failure)
70% 70%
Conexión redundante (mediante doble tarjeta de red) de los dispositivos críticos
100% 100%
Monitorización de enlaces y dispositivos de red 100% 100% Dimensionamiento y adquisición de repuestos 70% 70% Mantenimiento periódico según especificaciones de los fabricantes
100% 100%
{xor} Garantías de disponibilidad 100% 100% Redundancia de los enlaces con esquema activo-pasivo, incluyendo los dispositivos de red
Redundancia de los enlaces con reparto de carga, incluyendo los dispositivos de red
100% 100%
Redundancia de los enlaces, con dispositivos de red tolerantes a fallos (doble CPU, doble fuente de alimentación, y doble interfaz de red)
Dispositivos de red tolerantes a fallos (doble CPU, doble fuente de alimentación)
Adquisición o contratación 92% 92% Planificación 92% 92% Definición de los requisitos de seguridad para las conexiones a establecer
100% 100%
Planificación de capacidades 90% 90% Revisión de la arquitectura de la red de la organización 100% 100% Tipos de redes existentes (redes de área local, de área metropolitana, de área extensa)
100% 100%
Protocolos empleados 100% 100% Aplicaciones de red (emulación de terminales, cliente-servidor, ...)
100% 100%
Identificación del tipo de conexión a establecer 100% 100% Revisión de las características de la solución propuesta (sobre red pública o privada, de datos, de voz y datos, etc.)
100% 100%
Identificación de los riesgos de la solución propuesta, y de las salvaguardas necesarias
80% 80%
Documentación de la solución propuesta 60% 60% Instalación 100% 100% Evitar que el acceso físico para operación o mantenimiento abra el acceso a otros activos
100% 100%
Operación 98% 98% Control de acceso a la red 100% 100% Acceso remoto 100% 100% Autenticación para conexiones externas 100% 100% Autenticación fuerte de usuario 100% 100% Autenticación del origen de la conexión 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
282
{xor} mecanismo de autenticación 100% 100% Redes privadas virtuales (VPN) 100% 100% Comprobación de la dirección de red 100% 100% Control de conexión a las redes 100% 100% Restricciones basadas en requisitos de negocio 100% 100% Control y filtrado de tráfico 100% 100% Por tipo 100% 100% Por sentido del flujo 100% 100% Por períodos de tiempo 100% 100% Por origen/destino 100% 100% {xor} Sistema de protección perimetral 100% 100% Cortafuegos 100% 100% Filtrado de todas las conexiones externas (deben pasar todas a través del cortafuegos)
100% 100%
{xor} Tipo de filtrado 100% 100% Cortafuegos de filtrado de paquetes 100% 100% Cortafuegos de inspección de estados 100% 100% Cortafuegos con agentes proxy 100% 100% Cortafuegos con servidores proxy 100% 100% Limitar el número de servicios disponibles 100% 100% Accesos de administración de forma segura (vía consola segura, cifrado, redes separadas, etc.)
100% 100%
Registro de la actividad 100% 100% Posibilidad de generar informes 100% 100% Comprobaciones regulares de la política 100% 100% Actualización periódica del sistema (parches) 100% 100% Plan de contingencia específico 100% 100% Copias de seguridad periódicas 100% 100% NAT (Network Address Translation) 100% 100% Gateway 100% 100% Zona desmilitarizada (DMZ) 100% 100% Dispositivo de sentido único 100% 100% Norma de uso de los servicios de red 100% 100% Identificación de las redes y los servicios a los que se puede acceder
100% 100%
Procedimiento para las autorizaciones de acceso a las redes y servicios
100% 100%
Procedimientos para la protección de los accesos a las redes y servicios
100% 100%
Medios y dispositivos que se autorizan para el acceso a redes y servicios
100% 100%
{xor} Protección de puertos de diagnóstico remoto 100% 100% Prohibición de diagnóstico remoto 100% 100% Protección del diagnóstico remoto 100% 100% Protección física de los puertos 100% 100% Autenticación del usuario 100% 100% Limitación de privilegios 100% 100% Registro y revisión de acciones durante el diagnóstico 100% 100% Cifrado 100% 100% Autorización previa de la acción de diagnóstico 100% 100% Retirada de los datos de explotación antes del diagnóstico 100% 100% Segregación de las redes en dominios 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
283
Segregación de los usuarios en dominios 100% 100% Autenticación de nodos de la red 100% 100% {xor} mecanismo de autenticación 100% 100% mediante contraseñas 100% 100% Control del encaminamiento 100% 100% Basado en los flujos de información permitidos 100% 100% Comprobación de direcciones de origen y destino 100% 100% {or} mecanismo de control 100% 100% Líneas o números de teléfono dedicados 100% 100% Conexión automática de puertos a sistemas de aplicaciones específicas o a pasarelas (gateways) de seguridad
100% 100%
Limitación de opciones de menú para usuarios 100% 100% Evitar los recorridos cíclicos ilimitados en la red 100% 100% Forzar el uso por usuarios de redes externas de ciertos sistemas de información específicos y/o pasarelas (gateways) de seguridad
100% 100%
Control activo de las comunicaciones permitidas de origen a destino por medio de pasarelas de seguridad (cortafuegos)
100% 100%
Restricción de acceso a la red estableciendo dominios lógicos separados, como redes privadas virtuales para ciertos grupos de usuarios dentro de la Organización
100% 100%
Criptografía 100% 100% Norma de uso de los controles criptográficos 100% 100% Requisitos legales o contractuales 100% 100% Algoritmos y parámetros de configuración 100% 100% Roles y responsabilidades 100% 100% Requisitos de identificación y autenticación 100% 100% Procedimiento para alta, baja, modificación de privilegios 100% 100% Requisitos de aplicabilidad (confidencialidad, integridad, autenticidad y no repudio)
100% 100%
Requisitos de protección para los mecanismos criptográficos 100% 100% Requisitos de control de los mecanismos criptográfico (registro, contabilidad, auditoría, etc.)
100% 100%
Política de gestión de las claves 100% 100% Necesidades de interoperabilidad, y previsiones futuras 100% 100% Política de adquisición 100% 100% Revisión periódica de las vulnerabilidades de los algoritmos 100% 100% Gestión de claves 100% 100% Generación de claves 100% 100% Distribución de claves 100% 100% Almacenamiento de las claves 100% 100% Borrado de las claves 100% 100% Recuperación de las claves 100% 100% {xor} Mecanismo de cifrado 100% 100% {xor} Basado en algoritmo de cifrado según FIPS 140-2 100% 100% Skipjack 100% 100% DES 100% 100% 3DES 100% 100% AES 100% 100% Basado en módulo criptográfico validado según FIPS 140-2 (AES 128 o superior), o equivalente
100% 100%
Otros 100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
284
Integridad de los datos 100% 100% {xor} Mecanismo de integridad 100% 100% Mecanismo basado en paridad, CRC-16, CRC-32, etc. 100% 100% Mecanismo basado en MAC (Código de Autenticación de Mensaje)
100% 100%
Mecanismo basado en MAC con "hash" (HMAC) según FIPS 140-2
100% 100%
{xor} Mecanismo de hash 100% 100% "Hash" según FIPS 140-2, SHA-1 o superior 100% 100% Otros 100% 100% Seguridad de los servicios de red 90% 90% Monitorización de los servicios de red 100% 100% Monitorización de excepciones e incidentes de seguridad 100% 100% Seguimiento de los incidentes y errores, y corrección 100% 100% Revisiones periódicas de la seguridad 80% 80% Protección de las comunicaciones Internet 100% 100% Herramienta de monitorización del tráfico 100% 100% Registro de Navegación Web 100% 100% Cambios (actualizaciones y mantenimiento) 63% 63% Seguimiento permanente de actualizaciones 70% 70% Evaluación del impacto potencial del cambio 80% 80% Impacto en la prestación de los servicios 80% 80% Impacto en la confidencialidad de los datos 80% 80% Impacto en la integridad de los datos 80% 80% Impacto en los controles de monitorización 80% 80% Definición del proceso de cambio de forma que minimice la interrupción del servicio
70% 70%
Pruebas de regresión 50% 50% Procedimientos de control de cambios 40% 40% Procedimiento formal de aprobación de cambios 40% 40% Comunicación de los detalles del cambio al personal relacionado 40% 40% Procedimientos y asignación de responsabilidades para abortar y, en su caso recuperar, la situación inicial antes de un cambio
40% 40%
Registro de toda actuación 40% 40% Documentación 45% 45% Documentación de todos los cambios 30% 30% Actualización de la documentación del sistema 60% 60% Actualización de todos los procedimientos de operación afectados 100% 100% Terminación 100% 100% Norma para la terminación de servicios de comunicaciones 100% 100%
Elementos auxiliares salvaguarda [Presente] [Solución
1]
Inventario de equipamiento auxiliar 95% 95% Registro de equipamiento auxiliar 100% 100% Revisión periódica del inventario 90% 90% Disponibilidad 100% 100% Suministro eléctrico 94% 94% Dimensionamiento del sistema considerando necesidades futuras 100% 100% Instalación de acuerdo a la normativa vigente 90% 90%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
285
Protección de las líneas de alimentación del sistema frente a fluctuaciones y sobrecargas
100% 100%
Interruptor general de la alimentación del sistema situado en la entrada de cada área
100% 100%
Interruptores etiquetados, y protegidos frente a activaciones accidentales
100% 100%
Alimentación de respaldo 72% 72% Procedimiento de emergencia 50% 50% Pruebas 70% 70% Revisión y mantenimiento periódicos 40% 40% {or} Redundancia 100% 100% Sistema de alimentación ininterrumpida (SAI) que permite el funcionamiento de los equipos críticos, hasta su correcto cierre y apagado
Sistema de alimentación redundante que garantiza el funcionamiento de los equipos críticos, y la continuidad de las operaciones
Acometida redundante (dos suministradores) 100% 100% Climatización 85% 85% Dimensionamiento adecuado del sistema 100% 100% Control de temperatura 100% 100% Control de humedad 100% 100% Revisión y mantenimiento periódicos 40% 40% Protección del cableado 90% 90% Gestión centralizada 100% 100% Etiquetado de los cables 100% 100% Planos actualizados del cableado 100% 100% Procedimiento para la modificación del cableado 30% 30% Cableado tolerante a fallos (redundancia de líneas críticas, etc.) 100% 100% Control de todos los accesos al cableado 100% 100% Protección contra daños o intercepciones no autorizadas (conductos blindados, cajas o salas cerradas, ...)
100% 100%
Seguridad física salvaguarda [Presente] [Solución
1]
Inventario de instalaciones 87% 87% Registro de instalaciones propias 100% 100% Registro de instalaciones de terceros 100% 100% Revisión periódica del inventario 60% 60% Normativa 0% 100% Normas de conducta (prohibición de fumar, beber, comer, ...) 0% 100% Prohibición de equipos de registro (fotografía, video, audio, telefonía, etc.) salvo autorización especial
0% 100%
Procedimientos 63% 63% Inspección y aprobación de las áreas de seguridad 80% 80% Revisiones periódicas 80% 80% Plan de seguridad 40% 40% Plan de emergencia 52% 52% Procedimientos escritos para el acceso físico a las instalaciones en caso de emergencia
20% 20%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
286
Autorización de acceso 85% 85% Registro de accesos al area en caso de emergencia 70% 70% Accesos autorizados por la autoridad apropiada de la organización
100% 100%
Diseño 37% 73% Diseño observando reglas y normas relevantes sobre salud y sanidad 0% 100% Situar equipos sensibles en áreas separadas 50% 80% Separación de áreas de seguridad y de acceso público 30% 50% Separación de áreas gestionadas por terceros 100% 100% Acceso a través de un área de recepción 0% 50% Control de los accesos físicos 87% 87% Control de los accesos 96% 96% Procedimiento de control de accesos 100% 100% Verificación previa de las autorizaciones de acceso del personal 100% 100% Registro de los accesos 100% 100% Revisión periódica del registro de accesos 100% 100% Se investiga cualquier sospecha o intento de acceso físico no autorizado
100% 100%
Sistema automático de control de accesos 83% 83% Alimentación redundante 100% 100% {xor} Mecanismo de identificación 100% 100% Basado en PIN o tarjeta 100% 100% Basado en tarjeta y PIN Basado en biometría Basado en biometría y tarjeta Revisión y mantenimiento periódicos 50% 50% Sistema de Detección de Intrusión centralizado 85% 85% Instalación por empresa autorizada 100% 100% Alimentación redundante 100% 100% Comprobación periódica 50% 50% Revisión y mantenimiento periódicos 90% 90% Salidas y procedimientos de emergencia garantizan que solo el personal autorizado pueda acceder a las instalaciones
100% 100%
Control de las visitas 75% 75% Autorizaciones previas para el acceso de visitas, personal de mantenimiento, o personal de empresas contratistas
100% 100%
Comprobación de la identidad de las visitas 100% 100% Registro de entrada/salida (nombre, empresa, fecha y horas de entrada y salida, objeto del acceso, y persona que recibe)
0% 0%
Escolta y montorización de las actividades 100% 100% Pases o identificadores 100% 100% Obligatorio empleo de un pase (ej. tarjeta) en el interior del recinto
100% 100%
Diseño difícil de falsificar 100% 100% Incluyen fotografía de la persona a la que se emiten 100% 100% No contienen datos que permitan, en caso de pérdida, obtener información acerca de su finalidad (simplemente contiene una dirección para su envío)
100% 100%
Se cierran y controlan periódicamente cuando están vacías 100% 100% Control de llaves, combinaciones o dispositivos de seguridad 75% 75% Las áreas de seguridad disponen de algún tipo de llave, combinación o dispositivo de seguridad para acceder a las mismas
100% 100%
Anexo: Evaluación de Salvaguardas [IMAT] Sistema de Matriculación
287
Solamente el personal autorizado puede usarlos 100% 100% Las combinaciones se cambian o modifican cuando haya cambios de personal que haya tenido acceso a las mismas
0% 0%
Protección del perímetro 100% 100% {xor} Puertas de acceso 100% 100% Puertas de acceso reforzadas 100% 100% Puertas de acceso blindadas Puertas de acceso acorazadas Mínimo número de entradas 100% 100% Protección de conductos y aberturas (falso techo, conductos de aire, etc.)
100% 100%
Protección frente a desastres 89% 89% Iluminación de emergencia cubre todas las áreas necesarias para garantizar la continuidad de las misiones críticas
100% 100%
Protección frente a incendios 72% 72% Vías de evacuación 50% 50% Pulsadores de alarma 100% 100% Sistema automático de detección de incendios 100% 100% Medios manuales de extinción de incendios (extintores portátiles, hidrantes, BIE's, etc.)
100% 100%
Sistema automático de extinción de incendios (sprinkler, etc.) 0% 0% Plan de mantenimiento y verificación de los dispositivos y los sistemas contra incendios
80% 80%
Iluminación de emergencia 100% 100% Señalización (planos de evacuación, de planta, etc.) 0% 0% Evacuación de humos 100% 100% Plan de autoprotección 90% 90% Seguros 100% 100% Póliza de continente (edificios) 100% 100% Póliza de continente y contenido (edificios y su contenido) 100% 100%
Personal salvaguarda [Presente] [Solución
1]
Relación de personal 100% 100% Identificación del responsable 100% 100% Puestos de trabajo 100% 100% Identificación y especificación de los puestos de trabajo 100% 100% Formación 55% 55% Identificación de necesidades de formación según roles y responsabilidades
70% 70%
Evaluación y revisión del plan de formación 40% 40%
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
288
Estado de Riesgo
Proyecto: IMAT
Sistema de Matriculación
Fase: [Presente] Situación actual
1. Datos del proyecto .............................................................................. 290
2. Fases..................................................................................................... 290
3. Activos ................................................................................................. 290
3.1. [MAT] Matriculación.......................................................................................290
3.2. [IMPR_BEC] Impresión Becarios ...................................................................292
3.3. [I_A] Información Alumnos ............................................................................293
3.4. [I_B] Información Becarios .............................................................................295
3.5. [I_ASIG] Información Asignaturas .................................................................295
3.6. [I_DEP] Información departamentos ...............................................................297
3.7. [I_STIC] Información STIC ............................................................................298
3.8. [I_CONF] Información de configuración ........................................................299
3.9. [I_LOG] Información de Log ..........................................................................299
3.10. [I_COD] Código Fuente ................................................................................301
3.11. [IMAT] iMat ..................................................................................................301
3.12. [IMATBEC] iMatbecarios .............................................................................303
3.13. [BBDD] SQL Server 2000.............................................................................304
3.14. [SO] Sistema Operativo .................................................................................305
3.15. [AV] Antivirus ...............................................................................................305
3.16. [VB] Visual Basic 6.0 ....................................................................................305
3.17. [MON_TRANS] Monitor Transaccional.......................................................305
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
289
3.18. [SERV_BAL] Servidor de balanceo..............................................................305
3.19. [SERV_WEB] Servidores Web .....................................................................306
3.20. [SERV_FICH] Servidor de Ficheros .............................................................309
3.21. [SERV_DAT] Servidor de Datos...................................................................311
3.22. [SERV_BACK] Servidor de back-up ............................................................312
3.23. [IMP_BEC] Impresora becarios ....................................................................314
3.24. [PC_BEC] PC Becarios .................................................................................315
3.25. [PC_MAT] PC Matriculación........................................................................315
3.26. [SWITCH] Switch .........................................................................................316
3.27. [CAJ_SEG] Caja de Seguridad......................................................................317
3.28. [LAN] Red de área local ................................................................................318
3.29. [INT] Internet.................................................................................................319
3.30. [FIRE] Firewall ..............................................................................................320
3.31. [POWER_AA23] Sistema de Alimentación sala servidores .........................321
3.32. [POWER_AA25] Sistema alimentación sala auxiliar ...................................322
3.33. [TEMP_AA23] Sistema de climatización sala servidores.............................322
3.34. [TEMP_AA25] sistema climatización sala auxiliar ......................................323
3.35. [SERV_AA23] Servidores.............................................................................323
3.36. [SERV_AA25] Servidor auxiliar...................................................................323
3.37. [BEC_AA21] Emplazamiento becarios .........................................................323
3.38. [ADM] Administradores................................................................................323
3.39. [SG] Secretaría General .................................................................................324
3.40. [BEC] Becarios ..............................................................................................324
3.41. [ALUM] Alumnos .........................................................................................324
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
290
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Fases o [Presente] Situación actual o [Solución 1] Posible situación futura
Activos
[MAT] Matriculación Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [2] [1] [E.3] Errores de monitorización (log) [5] [1] [0] [E.4] Errores de configuración [7] [2] [1] [E.24] Caída del sistema por agotamiento de recursos [7] [2] [1] [A.4] Manipulación de la configuración [6] [2] [1] [A.24] Denegación de servicio [5] [1] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [7] [1] [1] [N.2] Daños por agua [6] [1] [1] [N.*] Desastres naturales [7] [3] [1] [I.1] Fuego [7] [3] [1] [I.2] Daños por agua [6] [2] [1] [I.*] Desastres industriales [7] [3] [1] [I.3] Contaminación mecánica [6] [2] [1] [I.4] Contaminación electromagnética [4] [1] [1] [I.5] Avería de origen físico o lógico [7] [2] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [I.8] Fallo de servicios de comunicaciones [7] [1] [1] [I.9] Interrupción de otros servicios y suministros esenciales
[6] [2] [1]
[E.1] Errores de los usuarios [5] [1] [0] [E.2] Errores del administrador [6] [2] [1] [E.3] Errores de monitorización (log) [6] [1] [1] [E.4] Errores de configuración [7] [2] [1] [E.7] Deficiencias en la organización [4] [2] [1] [E.8] Difusión de software dañino [6] [2] [1] [E.9] Errores de [re-]encaminamiento [6] [1] [1] [E.18] Destrucción de la información [5] [1] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
291
[E.20] Vulnerabilidades de los programas (software) [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[6] [2] [1]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [1]
[E.24] Caída del sistema por agotamiento de recursos [7] [2] [1] [E.28] Indisponibilidad del personal [1] [0] [0] [A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [6] [2] [1] [A.8] Difusión de software dañino [7] [2] [1] [A.18] Destrucción de la información [7] [1] [0] [A.22] Manipulación de programas [7] [2] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [3] [1] [A.28] Indisponibilidad del personal [4] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.1] Errores de los usuarios {5} {2} {2} [E.2] Errores del administrador {5} {2} {1} [E.3] Errores de monitorización (log) {3} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.24] Caída del sistema por agotamiento de recursos {4} {1} {0} [A.4] Manipulación de la configuración {3} {0} {0} [A.24] Denegación de servicio {5} {2} {1}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[N.1] Fuego {4} {0} {0} [N.2] Daños por agua {3} {0} {0} [N.*] Desastres naturales {4} {1} {0} [I.1] Fuego {4} {2} {0} [I.2] Daños por agua {4} {1} {0} [I.*] Desastres industriales {4} {2} {0} [I.3] Contaminación mecánica {4} {1} {0} [I.4] Contaminación electromagnética {3} {1} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [I.8] Fallo de servicios de comunicaciones {5} {2} {2} [I.9] Interrupción de otros servicios y suministros esenciales {4} {1} {0} [E.1] Errores de los usuarios {5} {3} {2} [E.2] Errores del administrador {5} {2} {1} [E.3] Errores de monitorización (log) {5} {2} {1} [E.4] Errores de configuración {4} {1} {0} [E.7] Deficiencias en la organización {3} {1} {0} [E.8] Difusión de software dañino {5} {3} {2} [E.9] Errores de [re-]encaminamiento {5} {2} {1} [E.18] Destrucción de la información {4} {1} {0} [E.20] Vulnerabilidades de los programas (software) {1} {0} {0} [E.21] Errores de mantenimiento / actualización de {5} {2} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
292
programas (software) [E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {1} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [E.28] Indisponibilidad del personal {1} {0} {0} [A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.8] Difusión de software dañino {5} {2} {1} [A.18] Destrucción de la información {5} {1} {1} [A.22] Manipulación de programas {5} {2} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {1} {0} [A.28] Indisponibilidad del personal {3} {1} {0}
[IMPR_BEC] Impresión Becarios Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.2] Errores del administrador [2] [1] [0] [E.3] Errores de monitorización (log) [1] [0] [0] [E.4] Errores de configuración [3] [1] [0] [E.24] Caída del sistema por agotamiento de recursos [3] [1] [0] [A.4] Manipulación de la configuración [2] [1] [0] [A.24] Denegación de servicio [1] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [3] [1] [0] [N.2] Daños por agua [2] [0] [0] [N.*] Desastres naturales [3] [1] [0] [I.1] Fuego [3] [1] [0] [I.2] Daños por agua [2] [1] [0] [I.*] Desastres industriales [3] [1] [0] [I.3] Contaminación mecánica [2] [1] [0] [I.5] Avería de origen físico o lógico [3] [1] [0] [I.6] Corte del suministro eléctrico [3] [1] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad [3] [1] [0] [I.8] Fallo de servicios de comunicaciones [3] [1] [0] [I.9] Interrupción de otros servicios y suministros esenciales
[2] [1] [0]
[E.1] Errores de los usuarios [1] [0] [0] [E.2] Errores del administrador [2] [1] [0] [E.3] Errores de monitorización (log) [2] [0] [0] [E.4] Errores de configuración [3] [1] [0] [E.8] Difusión de software dañino [2] [1] [0] [E.9] Errores de [re-]encaminamiento [2] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[2] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [3] [1] [0] [A.4] Manipulación de la configuración [2] [1] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
293
[A.5] Suplantación de la identidad del usuario [2] [1] [0] [A.8] Difusión de software dañino [3] [1] [0] [A.18] Destrucción de la información [2] [0] [0] [A.22] Manipulación de programas [3] [1] [0] [A.24] Denegación de servicio [3] [1] [0] [A.25] Robo de equipos [3] [1] [0] [A.26] Ataque destructivo [3] [1] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.2] Errores del administrador {2} {0} {0} [E.3] Errores de monitorización (log) {1} {0} {0} [E.4] Errores de configuración {2} {0} {0} [E.24] Caída del sistema por agotamiento de recursos {2} {0} {0} [A.4] Manipulación de la configuración {1} {0} {0} [A.24] Denegación de servicio {1} {0} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[N.1] Fuego {1} {0} {0} [N.2] Daños por agua {1} {0} {0} [N.*] Desastres naturales {1} {0} {0} [I.1] Fuego {2} {1} {0} [I.2] Daños por agua {1} {0} {0} [I.*] Desastres industriales {2} {1} {0} [I.3] Contaminación mecánica {1} {0} {0} [I.5] Avería de origen físico o lógico {2} {0} {0} [I.6] Corte del suministro eléctrico {2} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {3} {2} {1} [I.8] Fallo de servicios de comunicaciones {4} {2} {2} [I.9] Interrupción de otros servicios y suministros esenciales {2} {0} {0} [E.1] Errores de los usuarios {3} {2} {2} [E.2] Errores del administrador {2} {2} {1} [E.3] Errores de monitorización (log) {3} {1} {1} [E.4] Errores de configuración {2} {1} {0} [E.8] Difusión de software dañino {3} {2} {2} [E.9] Errores de [re-]encaminamiento {3} {2} {1} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.24] Caída del sistema por agotamiento de recursos {3} {1} {1} [A.4] Manipulación de la configuración {2} {0} {0} [A.5] Suplantación de la identidad del usuario {3} {2} {2} [A.8] Difusión de software dañino {3} {1} {1} [A.18] Destrucción de la información {3} {1} {1} [A.22] Manipulación de programas {3} {2} {1} [A.24] Denegación de servicio {3} {1} {1} [A.25] Robo de equipos {2} {0} {0} [A.26] Ataque destructivo {2} {1} {0}
[I_A] Información Alumnos Impacto acumulado
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
294
amenaza impacto [Presente] [Solución 1]
[E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [0] [E.3] Errores de monitorización (log) [6] [1] [0] [E.4] Errores de configuración [6] [1] [0] [E.18] Destrucción de la información [5] [1] [0] [E.19] Divulgación de información [5] [1] [0] [A.4] Manipulación de la configuración [6] [1] [0] [A.11] Acceso no autorizado [5] [1] [0] [A.16] Introducción de falsa información [1] [0] [0] [A.17] Corrupción de la información [1] [0] [0] [A.18] Destrucción de la información [7] [1] [0] [A.19] Divulgación de información [6] [1] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[E.1] Errores de los usuarios [3] [1] [0] [E.2] Errores del administrador [3] [1] [0] [E.4] Errores de configuración [4] [1] [0] [E.8] Difusión de software dañino [5] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [1] [0] [E.14] Escapes de información [4] [1] [0] [E.19] Divulgación de información [5] [1] [0] [E.20] Vulnerabilidades de los programas (software) [4] [1] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[5] [1] [0]
[A.4] Manipulación de la configuración [5] [1] [1] [A.5] Suplantación de la identidad del usuario [6] [2] [1] [A.6] Abuso de privilegios de acceso [6] [1] [1] [A.8] Difusión de software dañino [6] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [2] [1] [A.11] Acceso no autorizado [6] [1] [1] [A.12] Análisis de tráfico [1] [0] [0] [A.14] Intercepción de información (escucha) [6] [1] [1] [A.19] Divulgación de información [6] [1] [0] [A.22] Manipulación de programas [6] [1] [1] [A.25] Robo de equipos [6] [2] [1] [A.29] Extorsión [6] [3] [1] [A.30] Ingeniería social [6] [3] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.1] Errores de los usuarios {5} {2} {1} [E.2] Errores del administrador {5} {2} {1} [E.3] Errores de monitorización (log) {4} {0} {0} [E.4] Errores de configuración {4} {0} {0} [E.18] Destrucción de la información {4} {1} {0} [E.19] Divulgación de información {3} {0} {0} [A.4] Manipulación de la configuración {3} {0} {0} [A.11] Acceso no autorizado {5} {2} {1} [A.16] Introducción de falsa información {2} {1} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
295
[A.17] Corrupción de la información {2} {1} {0} [A.18] Destrucción de la información {5} {1} {1} [A.19] Divulgación de información {5} {1} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[E.1] Errores de los usuarios {4} {2} {2} [E.2] Errores del administrador {4} {2} {1} [E.4] Errores de configuración {3} {1} {0} [E.8] Difusión de software dañino {5} {3} {2} [E.9] Errores de [re-]encaminamiento {4} {2} {1} [E.14] Escapes de información {3} {0} {0} [E.19] Divulgación de información {3} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{4} {2} {1}
[A.4] Manipulación de la configuración {3} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {5} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.11] Acceso no autorizado {5} {2} {2} [A.12] Análisis de tráfico {1} {0} {0} [A.14] Intercepción de información (escucha) {5} {1} {1} [A.19] Divulgación de información {5} {1} {1} [A.22] Manipulación de programas {5} {2} {1} [A.25] Robo de equipos {4} {1} {0} [A.29] Extorsión {4} {2} {1} [A.30] Ingeniería social {4} {1} {0}
[I_B] Información Becarios Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.2] Errores del administrador [1] [0] [0] [E.4] Errores de configuración [2] [0] [0] [A.4] Manipulación de la configuración [2] [0] [0] [A.18] Destrucción de la información [2] [0] [0] [A.19] Divulgación de información [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.2] Errores del administrador {2} {1} {1} [E.4] Errores de configuración {1} {0} {0} [A.4] Manipulación de la configuración {1} {0} {0} [A.18] Destrucción de la información {3} {1} {0} [A.19] Divulgación de información {2} {1} {0}
[I_ASIG] Información Asignaturas Impacto acumulado amenaza impacto [Presente] [Solución 1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
296
[E.2] Errores del administrador [6] [1] [0] [E.4] Errores de configuración [6] [1] [0] [E.16] Introducción de falsa información [1] [0] [0] [A.11] Acceso no autorizado [2] [0] [0] [A.15] Modificación de información [1] [0] [0] [A.19] Divulgación de información [3] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[E.8] Difusión de software dañino [2] [1] [0] [E.14] Escapes de información [1] [0] [0] [E.20] Vulnerabilidades de los programas (software) [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[2] [0] [0]
[A.4] Manipulación de la configuración [2] [1] [0] [A.5] Suplantación de la identidad del usuario [3] [1] [0] [A.6] Abuso de privilegios de acceso [3] [0] [0] [A.8] Difusión de software dañino [3] [1] [0] [A.9] [Re-]encaminamiento de mensajes [3] [1] [0] [A.11] Acceso no autorizado [3] [1] [0] [A.14] Intercepción de información (escucha) [3] [1] [0] [A.19] Divulgación de información [3] [0] [0] [A.22] Manipulación de programas [3] [1] [0] [A.25] Robo de equipos [3] [1] [0] [A.29] Extorsión [3] [1] [1] [A.30] Ingeniería social [3] [1] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.2] Errores del administrador {4} {0} {0} [E.4] Errores de configuración {4} {0} {0} [E.16] Introducción de falsa información {3} {2} {1} [A.11] Acceso no autorizado {2} {0} {0} [A.15] Modificación de información {3} {2} {1} [A.19] Divulgación de información {3} {1} {1}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[E.8] Difusión de software dañino {3} {2} {2} [E.14] Escapes de información {1} {0} {0} [E.20] Vulnerabilidades de los programas (software) {1} {0} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[A.4] Manipulación de la configuración {2} {0} {0} [A.5] Suplantación de la identidad del usuario {4} {2} {2} [A.6] Abuso de privilegios de acceso {3} {1} {0} [A.8] Difusión de software dañino {3} {1} {1} [A.9] [Re-]encaminamiento de mensajes {1} {0} {0} [A.11] Acceso no autorizado {4} {2} {1} [A.14] Intercepción de información (escucha) {3} {1} {1} [A.19] Divulgación de información {3} {1} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
297
[A.22] Manipulación de programas {3} {2} {1} [A.25] Robo de equipos {2} {1} {0} [A.29] Extorsión {2} {1} {0} [A.30] Ingeniería social {2} {1} {0}
[I_DEP] Información departamentos Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.2] Errores del administrador [5] [1] [0] [E.4] Errores de configuración [6] [1] [0] [A.4] Manipulación de la configuración [6] [1] [0] [A.11] Acceso no autorizado [2] [0] [0] [A.19] Divulgación de información [3] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[E.8] Difusión de software dañino [2] [1] [0] [E.14] Escapes de información [1] [0] [0] [E.20] Vulnerabilidades de los programas (software) [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[2] [0] [0]
[A.4] Manipulación de la configuración [2] [1] [0] [A.5] Suplantación de la identidad del usuario [3] [1] [0] [A.6] Abuso de privilegios de acceso [3] [0] [0] [A.8] Difusión de software dañino [3] [1] [0] [A.9] [Re-]encaminamiento de mensajes [3] [1] [0] [A.11] Acceso no autorizado [3] [1] [0] [A.14] Intercepción de información (escucha) [3] [1] [0] [A.19] Divulgación de información [3] [0] [0] [A.22] Manipulación de programas [3] [1] [0] [A.25] Robo de equipos [3] [1] [0] [A.29] Extorsión [3] [1] [1] [A.30] Ingeniería social [3] [1] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.2] Errores del administrador {3} {0} {0} [E.4] Errores de configuración {4} {0} {0} [A.4] Manipulación de la configuración {3} {0} {0} [A.11] Acceso no autorizado {3} {2} {1} [A.19] Divulgación de información {3} {1} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[E.8] Difusión de software dañino {3} {2} {2} [E.14] Escapes de información {1} {0} {0} [E.20] Vulnerabilidades de los programas (software) {1} {0} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[A.4] Manipulación de la configuración {2} {0} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
298
[A.5] Suplantación de la identidad del usuario {4} {2} {2} [A.6] Abuso de privilegios de acceso {3} {1} {0} [A.8] Difusión de software dañino {3} {1} {1} [A.9] [Re-]encaminamiento de mensajes {1} {0} {0} [A.11] Acceso no autorizado {4} {2} {1} [A.14] Intercepción de información (escucha) {3} {1} {1} [A.19] Divulgación de información {3} {1} {1} [A.22] Manipulación de programas {3} {2} {1} [A.25] Robo de equipos {2} {1} {0} [A.29] Extorsión {2} {1} {0} [A.30] Ingeniería social {2} {1} {0}
[I_STIC] Información STIC Impacto acumulado amenaza impacto [Presente] [Solución 1]
[A.4] Manipulación de la configuración [1] [0] [0] [A.11] Acceso no autorizado [1] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[E.8] Difusión de software dañino [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[A.4] Manipulación de la configuración [1] [0] [0] [A.5] Suplantación de la identidad del usuario [2] [1] [0] [A.6] Abuso de privilegios de acceso [2] [0] [0] [A.8] Difusión de software dañino [2] [1] [0] [A.9] [Re-]encaminamiento de mensajes [2] [1] [0] [A.11] Acceso no autorizado [2] [0] [0] [A.14] Intercepción de información (escucha) [2] [0] [0] [A.19] Divulgación de información [2] [0] [0] [A.22] Manipulación de programas [2] [0] [0] [A.25] Robo de equipos [2] [0] [0] [A.29] Extorsión [2] [1] [0] [A.30] Ingeniería social [2] [1] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[A.4] Manipulación de la configuración {0} {0} {0} [A.11] Acceso no autorizado {3} {2} {1}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[E.8] Difusión de software dañino {3} {2} {1} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[A.4] Manipulación de la configuración {1} {0} {0} [A.5] Suplantación de la identidad del usuario {3} {2} {2} [A.6] Abuso de privilegios de acceso {2} {1} {0} [A.8] Difusión de software dañino {3} {1} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
299
[A.9] [Re-]encaminamiento de mensajes {1} {0} {0} [A.11] Acceso no autorizado {3} {2} {1} [A.14] Intercepción de información (escucha) {3} {1} {1} [A.19] Divulgación de información {3} {1} {0} [A.22] Manipulación de programas {3} {1} {1} [A.25] Robo de equipos {2} {0} {0} [A.29] Extorsión {2} {1} {0} [A.30] Ingeniería social {1} {0} {0}
[I_CONF] Información de configuración Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.2] Errores del administrador [5] [1] [0] [E.4] Errores de configuración [6] [1] [0] [A.4] Manipulación de la configuración [6] [1] [0]
Impacto repercutido amenaza impacto [Presente] [Solución 1]
[A.5] Suplantación de la identidad del usuario [1] [0] [0] [A.6] Abuso de privilegios de acceso [1] [0] [0] [A.8] Difusión de software dañino [1] [0] [0] [A.9] [Re-]encaminamiento de mensajes [1] [0] [0] [A.11] Acceso no autorizado [1] [0] [0] [A.14] Intercepción de información (escucha) [1] [0] [0] [A.19] Divulgación de información [1] [0] [0] [A.22] Manipulación de programas [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.29] Extorsión [1] [0] [0] [A.30] Ingeniería social [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.2] Errores del administrador {3} {0} {0} [E.4] Errores de configuración {4} {0} {0} [A.4] Manipulación de la configuración {3} {0} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución 1]
[A.5] Suplantación de la identidad del usuario {3} {2} {2} [A.6] Abuso de privilegios de acceso {2} {0} {0} [A.8] Difusión de software dañino {2} {1} {1} [A.9] [Re-]encaminamiento de mensajes {0} {0} {0} [A.11] Acceso no autorizado {3} {2} {1} [A.14] Intercepción de información (escucha) {2} {1} {1} [A.19] Divulgación de información {2} {1} {0} [A.22] Manipulación de programas {2} {1} {1} [A.25] Robo de equipos {1} {0} {0} [A.29] Extorsión {1} {0} {0} [A.30] Ingeniería social {1} {0} {0}
[I_LOG] Información de Log Impacto repercutido
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
300
amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [1] [0] [0] [N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.5] Avería de origen físico o lógico [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[I.8] Fallo de servicios de comunicaciones [1] [0] [0] [E.16] Introducción de falsa información [1] [0] [0] [E.24] Caída del sistema por agotamiento de recursos [1] [0] [0] [A.5] Suplantación de la identidad del usuario [1] [0] [0] [A.6] Abuso de privilegios de acceso [1] [0] [0] [A.8] Difusión de software dañino [1] [0] [0] [A.9] [Re-]encaminamiento de mensajes [1] [0] [0] [A.11] Acceso no autorizado [1] [0] [0] [A.14] Intercepción de información (escucha) [1] [0] [0] [A.15] Modificación de información [1] [0] [0] [A.16] Introducción de falsa información [1] [0] [0] [A.17] Corrupción de la información [1] [0] [0] [A.18] Destrucción de la información [1] [0] [0] [A.19] Divulgación de información [1] [0] [0] [A.22] Manipulación de programas [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0] [A.29] Extorsión [1] [0] [0] [A.30] Ingeniería social [1] [0] [0]
Riesgo repercutido amenaza riesgo [Presente] [Solución 1]
[N.1] Fuego {0} {0} {0} [N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.5] Avería de origen físico o lógico {1} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [I.8] Fallo de servicios de comunicaciones {3} {2} {1} [E.16] Introducción de falsa información {3} {2} {1} [E.24] Caída del sistema por agotamiento de recursos {2} {1} {1} [A.5] Suplantación de la identidad del usuario {3} {2} {2} [A.6] Abuso de privilegios de acceso {2} {0} {0} [A.8] Difusión de software dañino {2} {1} {1} [A.9] [Re-]encaminamiento de mensajes {0} {0} {0} [A.11] Acceso no autorizado {3} {2} {1} [A.14] Intercepción de información (escucha) {2} {1} {1} [A.15] Modificación de información {3} {2} {1} [A.16] Introducción de falsa información {3} {2} {1} [A.17] Corrupción de la información {2} {1} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
301
[A.18] Destrucción de la información {2} {1} {0} [A.19] Divulgación de información {2} {1} {1} [A.22] Manipulación de programas {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {1} {0} {0} [A.26] Ataque destructivo {1} {0} {0} [A.29] Extorsión {1} {0} {0} [A.30] Ingeniería social {1} {0} {0}
[I_COD] Código Fuente
[IMAT] iMat Impacto acumulado amenaza impacto [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico [6] [2] [1] [E.1] Errores de los usuarios [6] [2] [1] [E.2] Errores del administrador [5] [1] [0] [E.3] Errores de monitorización (log) [5] [1] [0] [E.4] Errores de configuración [6] [2] [1] [E.8] Difusión de software dañino [6] [2] [1] [E.9] Errores de [re-]encaminamiento [3] [1] [0] [E.10] Errores de secuencia [4] [1] [0] [E.14] Escapes de información [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[6] [2] [1]
[A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [6] [2] [1] [A.6] Abuso de privilegios de acceso [4] [1] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [2] [1] [A.10] Alteración de secuencia [6] [2] [1] [A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.22] Manipulación de programas [7] [2] [1]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[E.1] Errores de los usuarios [6] [2] [1] [E.2] Errores del administrador [5] [1] [1] [E.4] Errores de configuración [4] [1] [0] [E.8] Difusión de software dañino [6] [2] [1] [E.9] Errores de [re-]encaminamiento [4] [1] [0] [E.10] Errores de secuencia [4] [1] [0] [E.15] Alteración de la información [1] [0] [0] [E.16] Introducción de falsa información [1] [0] [0] [E.17] Degradación de la información [1] [0] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [1] [E.21] Errores de mantenimiento / actualización de [6] [2] [1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
302
programas (software) [A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [7] [2] [1] [A.6] Abuso de privilegios de acceso [4] [1] [1] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [4] [1] [0] [A.10] Alteración de secuencia [6] [2] [1] [A.11] Acceso no autorizado [4] [2] [1] [A.15] Modificación de información [7] [1] [1] [A.16] Introducción de falsa información [7] [1] [1] [A.17] Corrupción de la información [7] [1] [1] [A.22] Manipulación de programas [7] [2] [1] [A.25] Robo de equipos [7] [1] [1] [A.26] Ataque destructivo [7] [2] [1] [A.29] Extorsión [7] [3] [1] [A.30] Ingeniería social [7] [3] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico {4} {1} {0} [E.1] Errores de los usuarios {5} {3} {2} [E.2] Errores del administrador {4} {1} {0} [E.3] Errores de monitorización (log) {3} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {3} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.14] Escapes de información {3} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{5} {2} {1}
[A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {3} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {3} {1} {0} [A.22] Manipulación de programas {5} {2} {1}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[E.1] Errores de los usuarios {5} {3} {2} [E.2] Errores del administrador {5} {2} {1} [E.4] Errores de configuración {3} {1} {0} [E.8] Difusión de software dañino {5} {3} {2} [E.9] Errores de [re-]encaminamiento {4} {2} {1} [E.10] Errores de secuencia {3} {1} {0} [E.15] Alteración de la información {2} {1} {0} [E.16] Introducción de falsa información {3} {2} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
303
[E.17] Degradación de la información {2} {1} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{5} {2} {1}
[A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {3} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {1} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {5} {2} {2} [A.15] Modificación de información {5} {1} {1} [A.16] Introducción de falsa información {5} {2} {2} [A.17] Corrupción de la información {5} {1} {1} [A.22] Manipulación de programas {5} {2} {1} [A.25] Robo de equipos {5} {0} {0} [A.26] Ataque destructivo {4} {1} {0} [A.29] Extorsión {5} {2} {1} [A.30] Ingeniería social {4} {2} {0}
[IMATBEC] iMatbecarios Impacto acumulado amenaza impacto [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico [6] [2] [1] [E.1] Errores de los usuarios [1] [0] [0] [E.2] Errores del administrador [5] [1] [0] [E.4] Errores de configuración [6] [2] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [1] [0] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [2] [1] [0] [A.11] Acceso no autorizado [1] [0] [0] [A.14] Intercepción de información (escucha) [1] [0] [0] [A.22] Manipulación de programas [2] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico {4} {1} {0} [E.1] Errores de los usuarios {3} {2} {2} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.20] Vulnerabilidades de los programas (software) {1} {0} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
304
[A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {2} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {1} {0} {0} [A.11] Acceso no autorizado {2} {1} {0} [A.14] Intercepción de información (escucha) {1} {0} {0} [A.22] Manipulación de programas {3} {1} {1}
[BBDD] SQL Server 2000 Impacto acumulado amenaza impacto [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico [6] [2] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [5] [1] [0] [E.4] Errores de configuración [6] [2] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [1] [0] [E.10] Errores de secuencia [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [7] [2] [1] [A.6] Abuso de privilegios de acceso [4] [1] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [2] [1] [A.10] Alteración de secuencia [6] [2] [1] [A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.22] Manipulación de programas [7] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[I.5] Avería de origen físico o lógico {4} {1} {0} [E.1] Errores de los usuarios {5} {2} {2} [E.2] Errores del administrador {5} {2} {1} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {3} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
305
[A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {3} {1} {0} [A.22] Manipulación de programas {5} {2} {1}
[SO] Sistema Operativo
[AV] Antivirus
[VB] Visual Basic 6.0
[MON_TRANS] Monitor Transaccional
[SERV_BAL] Servidor de balanceo Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [6] [1] [1] [E.10] Errores de secuencia [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [1] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.5] Suplantación de la identidad del usuario [6] [1] [1] [A.6] Abuso de privilegios de acceso [5] [1] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [1] [1] [A.10] Alteración de secuencia [6] [1] [1] [A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.22] Manipulación de programas [7] [1] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [2] [1]
Riesgo acumulado
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
306
amenaza riesgo [Presente] [Solución
1]
[N.*] Desastres naturales {4} {0} {0} [I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [E.1] Errores de los usuarios {4} {2} {1} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {5} {2} {1} [E.10] Errores de secuencia {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {0} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {2} {2} [A.6] Abuso de privilegios de acceso {4} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {3} {0} {0} [A.22] Manipulación de programas {5} {2} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {0} {0}
[SERV_WEB] Servidores Web Impacto acumulado amenaza impacto [Presente] [Solución
1]
[I.1] Fuego [7] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [1] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
307
[E.10] Errores de secuencia [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [1] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.5] Suplantación de la identidad del usuario [7] [2] [1] [A.6] Abuso de privilegios de acceso [5] [1] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [1] [1] [A.10] Alteración de secuencia [6] [1] [1] [A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.22] Manipulación de programas [7] [1] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [2] [1]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [7] [1] [1] [N.2] Daños por agua [6] [1] [1] [N.*] Desastres naturales [7] [3] [1] [I.1] Fuego [7] [3] [1] [I.2] Daños por agua [6] [2] [1] [I.*] Desastres industriales [7] [3] [1] [I.3] Contaminación mecánica [6] [2] [1] [I.4] Contaminación electromagnética [4] [1] [1] [I.5] Avería de origen físico o lógico [7] [2] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [I.8] Fallo de servicios de comunicaciones [7] [1] [1] [I.9] Interrupción de otros servicios y suministros esenciales
[6] [2] [1]
[E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [2] [1] [E.3] Errores de monitorización (log) [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.7] Deficiencias en la organización [4] [2] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [6] [1] [1] [E.18] Destrucción de la información [1] [0] [0] [E.20] Vulnerabilidades de los programas (software) [1] [0] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [1]
[E.24] Caída del sistema por agotamiento de recursos [7] [2] [1] [E.28] Indisponibilidad del personal [1] [0] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
308
[A.4] Manipulación de la configuración [6] [2] [1] [A.5] Suplantación de la identidad del usuario [5] [1] [1] [A.8] Difusión de software dañino [7] [2] [1] [A.18] Destrucción de la información [6] [1] [0] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [3] [1] [A.28] Indisponibilidad del personal [4] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [E.1] Errores de los usuarios {4} {2} {1} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {0} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {4} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {3} {0} {0} [A.22] Manipulación de programas {5} {2} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {0} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución
1]
[N.1] Fuego {4} {0} {0} [N.2] Daños por agua {3} {0} {0} [N.*] Desastres naturales {4} {1} {0} [I.1] Fuego {4} {2} {0} [I.2] Daños por agua {4} {1} {0} [I.*] Desastres industriales {4} {2} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
309
[I.3] Contaminación mecánica {4} {1} {0} [I.4] Contaminación electromagnética {3} {1} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [I.8] Fallo de servicios de comunicaciones {5} {2} {2} [I.9] Interrupción de otros servicios y suministros esenciales {4} {1} {0} [E.1] Errores de los usuarios {4} {1} {1} [E.2] Errores del administrador {4} {1} {0} [E.3] Errores de monitorización (log) {5} {2} {1} [E.4] Errores de configuración {4} {1} {0} [E.7] Deficiencias en la organización {3} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {5} {2} {1} [E.18] Destrucción de la información {2} {1} {0} [E.20] Vulnerabilidades de los programas (software) {1} {0} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {1} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [E.28] Indisponibilidad del personal {1} {0} {0} [A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {2} {2} [A.8] Difusión de software dañino {5} {2} {1} [A.18] Destrucción de la información {5} {1} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {1} {0} [A.28] Indisponibilidad del personal {3} {1} {0}
[SERV_FICH] Servidor de Ficheros Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [1] [1] [I.1] Fuego [7] [1] [1] [I.*] Desastres industriales [7] [1] [1] [I.3] Contaminación mecánica [6] [1] [0] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [7] [1] [1] [I.6] Corte del suministro eléctrico [7] [1] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [1] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [0] [E.4] Errores de configuración [6] [1] [0] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [0] [0] [E.10] Errores de secuencia [4] [1] [0] [E.15] Alteración de la información [1] [0] [0] [E.16] Introducción de falsa información [1] [0] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
310
[E.17] Degradación de la información [1] [0] [0] [E.18] Destrucción de la información [1] [0] [0] [E.19] Divulgación de información [3] [0] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [0] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [7] [1] [1] [A.4] Manipulación de la configuración [6] [1] [0] [A.5] Suplantación de la identidad del usuario [7] [1] [1] [A.6] Abuso de privilegios de acceso [6] [1] [0] [A.8] Difusión de software dañino [7] [1] [1] [A.9] [Re-]encaminamiento de mensajes [6] [1] [0] [A.10] Alteración de secuencia [6] [1] [0] [A.11] Acceso no autorizado [6] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.15] Modificación de información [7] [1] [1] [A.16] Introducción de falsa información [7] [1] [1] [A.17] Corrupción de la información [7] [1] [1] [A.18] Destrucción de la información [6] [1] [0] [A.19] Divulgación de información [6] [1] [0] [A.22] Manipulación de programas [7] [1] [1] [A.24] Denegación de servicio [7] [1] [1] [A.25] Robo de equipos [7] [1] [1] [A.26] Ataque destructivo [7] [1] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[N.*] Desastres naturales {4} {0} {0} [I.1] Fuego {4} {0} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {0} {0} [I.6] Corte del suministro eléctrico {5} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {1} {1} [E.1] Errores de los usuarios {4} {1} {1} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.15] Alteración de la información {2} {1} {0} [E.16] Introducción de falsa información {3} {2} {1} [E.17] Degradación de la información {2} {1} {0} [E.18] Destrucción de la información {2} {1} {0} [E.19] Divulgación de información {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {0} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
311
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {0} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {1} {1} [A.4] Manipulación de la configuración {4} {0} {0} [A.5] Suplantación de la identidad del usuario {5} {2} {2} [A.6] Abuso de privilegios de acceso {5} {1} {0} [A.8] Difusión de software dañino {5} {1} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {5} {2} {2} [A.14] Intercepción de información (escucha) {4} {1} {1} [A.15] Modificación de información {5} {1} {1} [A.16] Introducción de falsa información {5} {2} {2} [A.17] Corrupción de la información {5} {1} {1} [A.18] Destrucción de la información {5} {1} {1} [A.19] Divulgación de información {5} {1} {1} [A.22] Manipulación de programas {5} {1} {1} [A.24] Denegación de servicio {5} {1} {1} [A.25] Robo de equipos {5} {0} {0} [A.26] Ataque destructivo {4} {0} {0}
[SERV_DAT] Servidor de Datos Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [1] [0] [E.10] Errores de secuencia [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [1] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.5] Suplantación de la identidad del usuario [7] [2] [1] [A.6] Abuso de privilegios de acceso [5] [1] [0] [A.8] Difusión de software dañino [7] [2] [1] [A.9] [Re-]encaminamiento de mensajes [6] [1] [1] [A.10] Alteración de secuencia [6] [1] [1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
312
[A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [6] [1] [1] [A.22] Manipulación de programas [7] [1] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[N.*] Desastres naturales {4} {0} {0} [I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [E.1] Errores de los usuarios {4} {2} {1} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {0} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [A.4] Manipulación de la configuración {4} {1} {0} [A.5] Suplantación de la identidad del usuario {5} {3} {2} [A.6] Abuso de privilegios de acceso {4} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {4} {0} {0} [A.22] Manipulación de programas {5} {2} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {0} {0}
[SERV_BACK] Servidor de back-up Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
313
[I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[A.4] Manipulación de la configuración [1] [0] [0] [A.8] Difusión de software dañino [2] [0] [0] [A.10] Alteración de secuencia [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [1] [0] [0] [N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[I.8] Fallo de servicios de comunicaciones [1] [0] [0] [E.24] Caída del sistema por agotamiento de recursos [1] [0] [0] [A.4] Manipulación de la configuración [1] [0] [0] [A.5] Suplantación de la identidad del usuario [2] [0] [0] [A.8] Difusión de software dañino [2] [0] [0] [A.10] Alteración de secuencia [1] [0] [0] [A.22] Manipulación de programas [2] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0] [A.29] Extorsión [2] [1] [0] [A.30] Ingeniería social [2] [1] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [A.4] Manipulación de la configuración {1} {0} {0} [A.8] Difusión de software dañino {3} {1} {1} [A.10] Alteración de secuencia {0} {0} {0} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {1} {0} {0} [A.26] Ataque destructivo {0} {0} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución 1]
[N.1] Fuego {0} {0} {0} [N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
314
[I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [I.8] Fallo de servicios de comunicaciones {3} {2} {1} [E.24] Caída del sistema por agotamiento de recursos {2} {1} {1} [A.4] Manipulación de la configuración {1} {0} {0} [A.5] Suplantación de la identidad del usuario {3} {2} {2} [A.8] Difusión de software dañino {3} {1} {1} [A.10] Alteración de secuencia {0} {0} {0} [A.22] Manipulación de programas {3} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {1} {0} {0} [A.26] Ataque destructivo {1} {0} {0} [A.29] Extorsión {2} {1} {0} [A.30] Ingeniería social {1} {0} {0}
[IMP_BEC] Impresora becarios Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [1] [0] [0] [N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[I.8] Fallo de servicios de comunicaciones [1] [0] [0] [A.8] Difusión de software dañino [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {1} {0} {0}
Riesgo repercutido
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
315
amenaza riesgo [Presente] [Solución 1]
[N.1] Fuego {0} {0} {0} [N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [I.8] Fallo de servicios de comunicaciones {3} {1} {1} [A.8] Difusión de software dañino {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {2} {1} {0} [A.26] Ataque destructivo {0} {0} {0}
[PC_BEC] PC Becarios Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[A.8] Difusión de software dañino [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [A.8] Difusión de software dañino {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {2} {1} {0}
[PC_MAT] PC Matriculación Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[A.8] Difusión de software dañino [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
316
Impacto repercutido amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [1] [0] [0] [N.*] Desastres naturales [1] [0] [0] [I.1] Fuego [1] [0] [0] [I.*] Desastres industriales [1] [0] [0] [I.6] Corte del suministro eléctrico [1] [0] [0] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[1] [0] [0]
[I.8] Fallo de servicios de comunicaciones [1] [0] [0] [A.8] Difusión de software dañino [1] [0] [0] [A.24] Denegación de servicio [1] [0] [0] [A.25] Robo de equipos [1] [0] [0] [A.26] Ataque destructivo [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [A.8] Difusión de software dañino {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {2} {1} {0} [A.26] Ataque destructivo {3} {2} {2}
Riesgo repercutido amenaza riesgo [Presente] [Solución 1]
[N.1] Fuego {0} {0} {0} [N.*] Desastres naturales {0} {0} {0} [I.1] Fuego {1} {0} {0} [I.*] Desastres industriales {0} {0} {0} [I.6] Corte del suministro eléctrico {1} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {2} {1} {1} [I.8] Fallo de servicios de comunicaciones {3} {1} {1} [A.8] Difusión de software dañino {2} {1} {1} [A.24] Denegación de servicio {2} {1} {1} [A.25] Robo de equipos {2} {1} {0} [A.26] Ataque destructivo {3} {2} {2}
[SWITCH] Switch Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [1] [I.5] Avería de origen físico o lógico [6] [1] [1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
317
[I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [E.2] Errores del administrador [6] [2] [1] [E.4] Errores de configuración [6] [1] [1] [E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [1]
[E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [2] [1] [A.6] Abuso de privilegios de acceso [5] [1] [1] [A.11] Acceso no autorizado [5] [1] [1] [A.14] Intercepción de información (escucha) [4] [1] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[N.*] Desastres naturales {4} {0} {0} [I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {1} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [E.2] Errores del administrador {4} {1} {0} [E.4] Errores de configuración {4} {1} {0} [E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {1} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [A.4] Manipulación de la configuración {4} {1} {0} [A.6] Abuso de privilegios de acceso {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {2} {0} {0} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {0} {0}
[CAJ_SEG] Caja de Seguridad Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.19] Divulgación de información [1] [0] [0] [A.11] Acceso no autorizado [3] [0] [0] [A.19] Divulgación de información [4] [0] [0] [A.25] Robo de equipos [3] [0] [0]
Impacto repercutido amenaza impacto [Presente] [Solución 1]
[E.19] Divulgación de información [1] [0] [0] [A.11] Acceso no autorizado [3] [0] [0] [A.19] Divulgación de información [4] [0] [0]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
318
[A.25] Robo de equipos [3] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.19] Divulgación de información {1} {0} {0} [A.11] Acceso no autorizado {4} {2} {1} [A.19] Divulgación de información {4} {1} {0} [A.25] Robo de equipos {2} {0} {0}
Riesgo repercutido amenaza riesgo [Presente] [Solución 1]
[E.19] Divulgación de información {1} {0} {0} [A.11] Acceso no autorizado {4} {2} {1} [A.19] Divulgación de información {4} {1} {0} [A.25] Robo de equipos {2} {0} {0}
[LAN] Red de área local Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [7] [1] [1] [N.2] Daños por agua [6] [1] [1] [N.*] Desastres naturales [7] [1] [1] [I.*] Desastres industriales [7] [1] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [1] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[7] [1] [1]
[I.8] Fallo de servicios de comunicaciones [7] [1] [1] [E.2] Errores del administrador [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.9] Errores de [re-]encaminamiento [1] [0] [0] [E.10] Errores de secuencia [4] [1] [0] [E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.5] Suplantación de la identidad del usuario [5] [1] [1] [A.6] Abuso de privilegios de acceso [5] [1] [1] [A.9] [Re-]encaminamiento de mensajes [4] [1] [0] [A.10] Alteración de secuencia [4] [1] [0] [A.11] Acceso no autorizado [5] [1] [1] [A.12] Análisis de tráfico [1] [0] [0] [A.14] Intercepción de información (escucha) [6] [1] [1] [A.24] Denegación de servicio [6] [1] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.1] Fuego {4} {0} {0} [N.2] Daños por agua {3} {0} {0} [N.*] Desastres naturales {4} {0} {0} [I.*] Desastres industriales {4} {0} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
319
[I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {0} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {1} {1} [I.8] Fallo de servicios de comunicaciones {5} {2} {2} [E.2] Errores del administrador {4} {0} {0} [E.4] Errores de configuración {4} {0} {0} [E.9] Errores de [re-]encaminamiento {2} {1} {0} [E.10] Errores de secuencia {3} {1} {0} [E.24] Caída del sistema por agotamiento de recursos {4} {0} {0} [A.4] Manipulación de la configuración {4} {0} {0} [A.5] Suplantación de la identidad del usuario {4} {1} {0} [A.6] Abuso de privilegios de acceso {3} {0} {0} [A.9] [Re-]encaminamiento de mensajes {3} {1} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.12] Análisis de tráfico {1} {0} {0} [A.14] Intercepción de información (escucha) {5} {1} {1} [A.24] Denegación de servicio {5} {1} {1}
[INT] Internet Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.1] Fuego [7] [1] [1] [N.2] Daños por agua [6] [1] [1] [N.*] Desastres naturales [7] [1] [1] [I.*] Desastres industriales [7] [1] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [1] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[7] [1] [1]
[I.8] Fallo de servicios de comunicaciones [7] [1] [1] [E.2] Errores del administrador [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.9] Errores de [re-]encaminamiento [1] [0] [0] [E.10] Errores de secuencia [4] [1] [0] [E.24] Caída del sistema por agotamiento de recursos [6] [1] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.6] Abuso de privilegios de acceso [5] [1] [1] [A.9] [Re-]encaminamiento de mensajes [4] [1] [0] [A.11] Acceso no autorizado [5] [1] [1] [A.12] Análisis de tráfico [1] [0] [0] [A.14] Intercepción de información (escucha) [4] [1] [0] [A.24] Denegación de servicio [6] [1] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
320
[N.1] Fuego {4} {0} {0} [N.2] Daños por agua {3} {0} {0} [N.*] Desastres naturales {4} {0} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {0} {0} [I.6] Corte del suministro eléctrico {5} {0} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {1} {1} [I.8] Fallo de servicios de comunicaciones {5} {2} {2} [E.2] Errores del administrador {4} {0} {0} [E.4] Errores de configuración {4} {0} {0} [E.9] Errores de [re-]encaminamiento {2} {1} {0} [E.10] Errores de secuencia {3} {0} {0} [E.24] Caída del sistema por agotamiento de recursos {4} {0} {0} [A.4] Manipulación de la configuración {4} {0} {0} [A.6] Abuso de privilegios de acceso {3} {0} {0} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.12] Análisis de tráfico {1} {0} {0} [A.14] Intercepción de información (escucha) {3} {1} {1} [A.24] Denegación de servicio {5} {1} {1}
[FIRE] Firewall Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [1] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [1] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad [7] [2] [1] [E.1] Errores de los usuarios [4] [1] [0] [E.2] Errores del administrador [6] [1] [1] [E.3] Errores de monitorización (log) [6] [1] [1] [E.4] Errores de configuración [6] [1] [1] [E.8] Difusión de software dañino [4] [1] [0] [E.9] Errores de [re-]encaminamiento [3] [1] [0] [E.10] Errores de secuencia [4] [1] [0] [E.20] Vulnerabilidades de los programas (software) [5] [1] [1] [E.21] Errores de mantenimiento / actualización de programas (software)
[1] [0] [0]
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
[4] [1] [0]
[E.24] Caída del sistema por agotamiento de recursos [7] [2] [1] [A.4] Manipulación de la configuración [6] [1] [1] [A.6] Abuso de privilegios de acceso [5] [1] [0] [A.8] Difusión de software dañino [7] [2] [1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
321
[A.9] [Re-]encaminamiento de mensajes [6] [1] [1] [A.10] Alteración de secuencia [6] [1] [1] [A.11] Acceso no autorizado [5] [1] [0] [A.14] Intercepción de información (escucha) [5] [1] [0] [A.22] Manipulación de programas [7] [1] [1] [A.24] Denegación de servicio [7] [2] [1] [A.25] Robo de equipos [7] [2] [1] [A.26] Ataque destructivo [7] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución
1]
[N.*] Desastres naturales {4} {0} {0} [I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {0} {0} [I.3] Contaminación mecánica {3} {0} {0} [I.4] Contaminación electromagnética {3} {0} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [E.1] Errores de los usuarios {4} {2} {1} [E.2] Errores del administrador {4} {1} {0} [E.3] Errores de monitorización (log) {5} {2} {1} [E.4] Errores de configuración {4} {1} {0} [E.8] Difusión de software dañino {5} {2} {2} [E.9] Errores de [re-]encaminamiento {2} {0} {0} [E.10] Errores de secuencia {2} {0} {0} [E.20] Vulnerabilidades de los programas (software) {3} {1} {0} [E.21] Errores de mantenimiento / actualización de programas (software)
{2} {1} {1}
[E.23] Errores de mantenimiento / actualización de equipos (hardware)
{3} {0} {0}
[E.24] Caída del sistema por agotamiento de recursos {5} {2} {1} [A.4] Manipulación de la configuración {4} {1} {0} [A.6] Abuso de privilegios de acceso {4} {1} {1} [A.8] Difusión de software dañino {5} {2} {1} [A.9] [Re-]encaminamiento de mensajes {3} {0} {0} [A.10] Alteración de secuencia {3} {0} {0} [A.11] Acceso no autorizado {4} {1} {1} [A.14] Intercepción de información (escucha) {3} {0} {0} [A.22] Manipulación de programas {5} {2} {1} [A.24] Denegación de servicio {5} {2} {1} [A.25] Robo de equipos {5} {1} {0} [A.26] Ataque destructivo {4} {0} {0}
[POWER_AA23] Sistema de Alimentación sala servidores Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1]
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
322
[I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [2] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [2] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[7] [2] [1]
[I.9] Interrupción de otros servicios y suministros esenciales
[6] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {4} {1} {0} [I.1] Fuego {4} {1} {0} [I.*] Desastres industriales {4} {1} {0} [I.3] Contaminación mecánica {4} {1} {0} [I.4] Contaminación electromagnética {3} {1} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0} [I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [I.9] Interrupción de otros servicios y suministros esenciales {4} {1} {0}
[POWER_AA25] Sistema alimentación sala auxiliar
[TEMP_AA23] Sistema de climatización sala servidores Impacto acumulado amenaza impacto [Presente] [Solución
1]
[N.*] Desastres naturales [7] [2] [1] [I.1] Fuego [7] [2] [1] [I.2] Daños por agua [6] [2] [1] [I.*] Desastres industriales [7] [2] [1] [I.3] Contaminación mecánica [6] [2] [1] [I.4] Contaminación electromagnética [4] [1] [0] [I.5] Avería de origen físico o lógico [6] [2] [1] [I.6] Corte del suministro eléctrico [7] [2] [1] [I.7] Condiciones inadecuadas de temperatura y/o humedad
[7] [2] [1]
[I.9] Interrupción de otros servicios y suministros esenciales
[6] [2] [1]
[A.25] Robo de equipos [5] [2] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {4} {1} {0} [I.1] Fuego {4} {1} {0} [I.2] Daños por agua {4} {1} {0} [I.*] Desastres industriales {4} {1} {0} [I.3] Contaminación mecánica {4} {1} {0} [I.4] Contaminación electromagnética {3} {1} {0} [I.5] Avería de origen físico o lógico {4} {1} {0} [I.6] Corte del suministro eléctrico {5} {1} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
323
[I.7] Condiciones inadecuadas de temperatura y/o humedad {5} {2} {1} [I.9] Interrupción de otros servicios y suministros esenciales {4} {1} {0} [A.25] Robo de equipos {3} {1} {0}
[TEMP_AA25] sistema climatización sala auxiliar
[SERV_AA23] Servidores Impacto acumulado amenaza impacto [Presente] [Solución 1]
[N.*] Desastres naturales [6] [3] [1] [I.1] Fuego [6] [3] [1] [I.*] Desastres industriales [6] [3] [1] [A.11] Acceso no autorizado [4] [2] [1] [A.26] Ataque destructivo [7] [3] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[N.*] Desastres naturales {4} {1} {0} [I.1] Fuego {4} {2} {0} [I.*] Desastres industriales {4} {2} {0} [A.11] Acceso no autorizado {3} {1} {0} [A.26] Ataque destructivo {4} {1} {0}
[SERV_AA25] Servidor auxiliar Impacto acumulado amenaza impacto [Presente] [Solución 1]
[A.26] Ataque destructivo [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[A.26] Ataque destructivo {0} {0} {0}
[BEC_AA21] Emplazamiento becarios Impacto acumulado amenaza impacto [Presente] [Solución 1]
[A.26] Ataque destructivo [1] [0] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[A.26] Ataque destructivo {0} {0} {0}
[ADM] Administradores Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.7] Deficiencias en la organización [4] [2] [1] [E.28] Indisponibilidad del personal [1] [0] [0] [A.28] Indisponibilidad del personal [4] [2] [1] [A.29] Extorsión [7] [3] [1] [A.30] Ingeniería social [7] [3] [1]
Riesgo acumulado
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
324
amenaza riesgo [Presente] [Solución 1]
[E.7] Deficiencias en la organización {3} {1} {0} [E.28] Indisponibilidad del personal {1} {0} {0} [A.28] Indisponibilidad del personal {3} {1} {0} [A.29] Extorsión {5} {2} {1} [A.30] Ingeniería social {4} {2} {0}
[SG] Secretaría General Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.7] Deficiencias en la organización [4] [2] [1] [E.28] Indisponibilidad del personal [1] [0] [0] [A.28] Indisponibilidad del personal [4] [2] [1] [A.29] Extorsión [6] [3] [1] [A.30] Ingeniería social [6] [3] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.7] Deficiencias en la organización {3} {1} {0} [E.28] Indisponibilidad del personal {1} {0} {0} [A.28] Indisponibilidad del personal {3} {1} {0} [A.29] Extorsión {4} {2} {1} [A.30] Ingeniería social {4} {1} {0}
[BEC] Becarios Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.7] Deficiencias en la organización [4] [2] [1] [E.28] Indisponibilidad del personal [1] [0] [0] [A.28] Indisponibilidad del personal [4] [2] [1] [A.29] Extorsión [2] [1] [0] [A.30] Ingeniería social [2] [1] [0]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.7] Deficiencias en la organización {3} {1} {0} [E.28] Indisponibilidad del personal {1} {0} {0} [A.28] Indisponibilidad del personal {3} {1} {0} [A.29] Extorsión {2} {1} {0} [A.30] Ingeniería social {1} {0} {0}
[ALUM] Alumnos Impacto acumulado amenaza impacto [Presente] [Solución 1]
[E.28] Indisponibilidad del personal [1] [0] [0] [A.29] Extorsión [7] [3] [1] [A.30] Ingeniería social [7] [3] [1]
Riesgo acumulado amenaza riesgo [Presente] [Solución 1]
[E.28] Indisponibilidad del personal {1} {0} {0}
Anexo: Estado de Riesgo [IMAT] Sistema de Matriculación
325
[A.29] Extorsión {5} {2} {1} [A.30] Ingeniería social {4} {2} {0}
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
326
Informe de Insuficiencias (50%)
Proyecto: IMAT
Sistema de Matriculación
Fase: [Presente] Situación actual
Nivel: experto
1. Datos del proyecto .............................................................................. 326
2. Planos................................................................................................... 326
3. Fases..................................................................................................... 326
4. Plano: [base] Matriculación .............................................................. 327
4.1. Marco de gestión..............................................................................................327
4.2. Servicios...........................................................................................................330
4.3. Datos / Información .........................................................................................330
4.4. Aplicaciones informáticas (SW) ......................................................................331
4.5. Equipos informáticos (HW).............................................................................332
4.6. Comunicaciones...............................................................................................332
4.7. Elementos auxiliares ........................................................................................333
4.8. Seguridad física................................................................................................333
4.9. Personal............................................................................................................334
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Planos o [base] Matriculación
Fases o [Presente] Situación actual
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
327
o [Solución 1] Posible situación futura
Plano: [base] Matriculación Relación de salvaguardas que adolecen de un nivel de eficacia inferior al 50%.
Detalle: nivel experto.
Marco de gestión salvaguarda [Presente] [Solución
1]
Organización 55% 83% Comité de gestión de seguridad de la información (forum) 40% 83% Está respaldado por la dirección 50% 100% Define claramente las funciones de seguridad 30% 90% Aprueba las designaciones de responsables de seguridad 30% 30% Revisa, evalúa y aprueba la política de seguridad 40% 100% Asegura la coordinación en materia de seguridad dentro de la organización
20% 100%
Asignación de responsabilidades para la seguridad de la información 63% 92% Se documentan los detalles de cada responsabilidad 50% 100% Roles identificados 85% 100% Responsable de seguridad del sistema (RSS) (autoridad delegada) 40% 100% Se dispone de asesoramiento especializado en seguridad 0% 50% Cooperación entre organizaciones 55% 55% Se mantienen contactos con las autoridades 50% 50% Se mantienen contactos con los organismos reguladores 50% 50% Se mantienen contactos con los operadores de telecomunicaciones 50% 50% Normativa de seguridad 25% 88% Política de Seguridad (documento) 21% 73% Política derivada de la Política de Seguridad Global de la Organización
30% 100%
Está aprobado y respaldado por el responsable de la organización 30% 100% Todo el personal de la organización tiene acceso al documento 30% 70% Conocido y aceptado por los afectados 10% 70% Referencia normativa y procedimientos específicos 30% 30% Revisión periódica 10% 50% Documentación de seguridad del sistema 0% 96% Documento de seguridad 0% 100% Documenación acreditación 0% n.a. Concepto de Operación del Sistema 0% n.a. POS 0% n.a. DRES 0% n.a. Documento de seguridad (LOPD) 0% 100% Procedimientos operativos 30% 92% Guías para todas las funciones ordinarias 50% 100% Guías para situaciones excepcionales 10% 70% Revisión periódica 10% 100% Criterios de aceptación para versiones o sistemas nuevos 45% 88% Documentación 50% 80% Documentación de seguridad 0% 80%
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
328
Definición y prueba de los procedimientos de operación del sistema
0% 80%
Definición de procedimientos de recuperación ante errores y de reinicio
30% 100%
Definición de un plan de contingencia 0% 100% Certificación independiente 0% 50% Acreditación de sistemas 26% 91% Plan de inspección 20% 80% Revisión Seguridad Física 20% 100% Revisión Seguridad de Documentos 0% 100% Revisión Seguridad Criptográfica 30% 60% Identificación y autenticación 89% 96% Herramientas de Identificación y Autenticación de usuario 79% 93% Compromiso escrito de mantener la confidencialidad del autenticador
0% 100%
{or} Mecanismo de autenticación 75% 75% Contraseñas 75% 75% Gestión de contraseñas 50% 50% Las contraseñas iniciales serán temporales con una duración limitada (mínima y máxima)
0% 0%
Las contraseñas de administración se custodian en sobre lacrados convenientemente guardados en cajas de seguridad
50% 50%
{xor} Token Generador de contraseñas de un sólo uso Token implementado en SW, con generador de números pseudoaleatorio según FIPS 140-2 o equivalente
Token implementado en HW, con generador de números pseudoaleatorio según FIPS 140-2 o equivalente
Token implementado en HW FIPS 140-2 de nivel 4 o equivalente
{xor} Biometría Huella dactilar Geometría de la mano Iris Retina Tecleo Voz Texto manuscrito Otros ... Control de acceso lógico 78% 94% Segregación de tareas 66% 93% Segregación de tareas en roles 87% 93% Auditoría de seguridad 0% 60% Monitorización de todas las operaciones 50% 80% Registro de las operaciones 50% 100% Registro de usuario 75% 100% Comunicación por escrito de sus derechos de acceso a los usuarios, y confirmación de éstos de su conocimiento
0% 100%
Conexión en terminales (logon) 57% 86% Número limitado de intentos fallidos 0% 100% Tras un intento fallido existe un retardo hasta que el siguiente intento sea posible
0% 0%
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
329
Las contraseñas no podrán ser almacenadas en ningún proceso automático (macros, teclas de función, etc.)
0% 100%
Desconexión automática de terminales 50% 100% Activación automática del protector de pantalla con contraseña tras un período de inactividad
0% n.a.
Gestión de incidencias 42% 89% Procedimientos de gestión de incidentes 54% 87% Definición de procedimientos a seguir para todos los tipos potenciales de incidencias
20% 92%
Procedimiento para fallos del sistema y pérdidas de servicio 20% 100% Procedimiento en caso de denegación de servicio 20% 100% Procedimiento ante errores que resultan de datos del negocio inexactos o incompletos
20% 100%
Procedimiento ante violaciones de la confidencialidad 20% 70% Esquema de gestión 52% 77% Planificación e implantación de medidas 50% 70% Comunicación con los afectados e implicados en la recuperación de la incidencia
50% 70%
Recogida de pistas de auditoría, atendiendo a su validez, calidad y completitud
0% 50%
Evidencias en documentos en papel 0% 87% Registro de la persona que encontró el documento, lugar y fecha
0% 100%
Testigos del descubrimiento 0% 100% Comprobación de que el documento no ha sido modificado 0% 60% Evidencias en medios electrónicos 50% 100% Realización de copias de los medios electrónicos en medios de alta fiabilidad
50% 100%
Registro de todas las acciones del proceso de copia 50% 100% Testigos del proceso de copia 50% 100% Comunicación de las incidencias de seguridad 0% 85% Procedimiento para la comunicación de las incidencias 0% 100% Procedimiento para la respuesta ante las incidencias 0% 100% Registro 0% 100% Tipo de incidencia 0% 100% Momento en que se ha producido 0% 100% Persona que realiza la notificación 0% 100% A quién se le comunica 0% 100% Efectos derivados de la misma 0% 100% Acciones tomadas 0% 100% Prueba y revisión de los procedimientos 0% 70% Mecanismos para cuantificación y monitorización (indicadores) de las incidencias
0% 70%
Revisión de la seguridad de los sistemas de información 30% 79% Se realiza regularmente un análisis de riesgos 10% 70% Se revisan periódicamente las amenazas y las vulnerabilidades 0% 70% Se evalúa periódicamente la idoneidad de los controles implantados 30% 70% {or} Revisión del cumplimiento de los requisitos técnicos de los sistemas de información
40% 70%
Revisión por un equipo de auditoría interna 40% 70% Revisión por un auditor/empresa especializado e independiente Registro de revisiones 50% 100%
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
330
Revisión y análisis periódicos 30% 70% Revisión al menos cada dos años 50% 100% Continuidad del negocio (contingencia) 50% 75% Plan de gestión de crisis 0% 50%
Servicios salvaguarda [Presente] [Solución
1]
Disponibilidad 63% 100% Protección frente a DoS 63% 100% Dimensionamiento adecuado de la capacidad de almacenamiento de los dispositivos de registro (logs) de la actividad
50% 100%
Proveedor de servicios alternativo 0% 100% Desarrollo 95% 95% Planificación de capacidades 90% 90% Dependencia de otros servicios 75% 75% Dependencia de servicios internos 50% 50% Explotacion 92% 92% EDI 80% 80% Integridad y autenticidad 60% 60% Firma electrónica 0% 0% Norma sobre firma electrónica 0% 0% Procedimiento de firma y verificación 0% 0% Certificado electrónico 0% 0% {xor} Formato del certificado 0% 0% X.509 de identidad 0% 0% X.509 de atributos 0% 0% PGP 0% 0% Otro 0% 0% {xor} Sujeto del certificado 0% 0% {xor} Identifica persona 0% 0% Reconocido 0% 0% No reconocido 0% 0% Dispositivo Físico 0% 0% Dispositivo Lógico 0% 0% {xor} Mecanismo de hash 0% 0% "Hash" según FIPS 140-2, SHA-1 o superior 0% 0% Otros 0% 0% {xor} Mecanismo de firma digital 0% 0% Basado en algoritmo asimétrico según FIPS 140-2 0% 0% RSA (Rivest-Shamir-Adleman) 1024 o superior 0% 0% DSA (Digital Signature Algorithm) 1024 o superior 0% 0% ECDSA (Elliptic Curve Digital Signature Algorithm) 256 o superior
0% 0%
Otro 0% 0% Terminación 87% 93% Terminación de Servicio 87% 93% Estudio de los efectos 20% 60%
Datos / Información
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
331
salvaguarda [Presente] [Solución 1]
Disponibilidad 99% 99% Copias de seguridad de los datos 99% 99% {xor} Mecanismo de back-up 100% 100% Copias de seguridad en soportes 100% 100% {or} Soporte 100% 100% Papel 0% 0% {xor} Microfilm 0% 0% Poliéster 0% 0% Halógeno de plata 0% 0% {xor} Soporte óptico 0% 0% CD ROM, CD-R, CD-RW 0% 0% DVD-ROM, DVD-RAM, DVD-R, DVD-RW 0% 0% Mediante replicación de discos síncrona o asíncrona 0% 0%
Aplicaciones informáticas (SW) salvaguarda [Presente] [Solución
1]
Inventario de aplicaciones 37% 90% Registro de aplicaciones 50% 100% Registro de sistemas operativos y software de base 50% 100% Revisión periódica del inventario 10% 70% Copias de seguridad 66% 86% Copias de seguridad 66% 86% Identificación del SW crítico para el negocio 10% 80% Procedimiento de restauración 50% 80% Prueba periódica de las copias de seguridad y de los procedimientos de restauración
50% 70%
Desarrollo 91% 98% Entorno de desarrollo 82% 100% Metodología de desarrollo 30% 100% {or} Protección de los datos de prueba del sistema 100% 100% Las pruebas usan datos de producción Eliminación de la información de producción del sistema de pruebas
Registro de las copias y uso de la información de producción a efectos de auditoría
Autorización previa cada vez que se copie datos de producción a un entorno de pruebas
Explotación 80% 82% Seguridad de los mecanismos de comunicación entre procesos 0% 0% Confidencialidad 0% 0% Integridad 0% 0% Autenticidad 0% 0% Cambios (actualizaciones y mantenimiento) 73% 80% Evaluacion del impacto potencial del cambio 50% 100% Impacto en la prestación de los servicios 50% 100% Impacto en la confidencialidad de los datos 50% 100% Impacto en la integridad de los datos 50% 100% Impacto en los controles de monitorización 50% 100% Actualización de todos los procedimientos de explotación afectados 0% 0%
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
332
Actualización de los planes de contingencia 0% 0%
Equipos informáticos (HW) salvaguarda [Presente] [Solución
1]
Disponibilidad 100% 100% {xor} Redundancia 100% 100% Equipo de alta disponibilidad con sistema de almacenamiento RAID
Equipo alternativo preconfigurado con replicación de discos síncrona o asíncrona
Cluster con sistema de almacenamiento RAID Redundancia de los elementos críticos del "host" Sistema redundante propio en centro alternativo Contrato de prestación de servicio con el proveedor del sistema, de acuerdo a los requisitos del negocio
Adquisición de HW 83% 83% Identificación de los requisitos de seguridad de acuerdo a los condicionantes del negocio
48% 48%
Política de seguridad de la organización 50% 50% Certificaciones y/o acreditaciones 0% 0% Certificación de la calidad y exactitud del trabajo realizado según estándares requeridos
50% 50%
Desarrollo de HW 73% 73% Metodología de desarrollo 80% 80% Plan de Documentación 50% 50% Documento de Requititos 50% 50% Protocolo de pruebas 70% 70% Diario de Pruebas 50% 50% Operación 91% 91% Protección de los dispositivos de red 90% 90% Desconexión automática de sesiones inactivas 20% 20% {xor} Administración remota 100% 100% Se restringe la administración remota Cambios (actualizaciones y mantenimiento) 68% 68% Pruebas de regresión 50% 50% Documentación 63% 63% Archivo o destrucción de la documentación anterior 50% 50% Actualización de los planes de contingencia 0% 0%
Comunicaciones salvaguarda [Presente] [Solución
1]
Disponibilidad 93% 93% Protección de la disponibilidad 93% 93% {xor} Garantías de disponibilidad 100% 100% Redundancia de los enlaces con esquema activo-pasivo, incluyendo los dispositivos de red
Redundancia de los enlaces, con dispositivos de red tolerantes a fallos (doble CPU, doble fuente de alimentación, y doble interfaz de red)
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
333
Dispositivos de red tolerantes a fallos (doble CPU, doble fuente de alimentación)
Cambios (actualizaciones y mantenimiento) 63% 63% Pruebas de regresión 50% 50% Procedimientos de control de cambios 40% 40% Procedimiento formal de aprobación de cambios 40% 40% Comunicación de los detalles del cambio al personal relacionado 40% 40% Procedimientos y asignación de responsabilidades para abortar y, en su caso recuperar, la situación inicial antes de un cambio
40% 40%
Registro de toda actuación 40% 40% Documentación 45% 45% Documentación de todos los cambios 30% 30%
Elementos auxiliares salvaguarda [Presente] [Solución
1]
Suministro eléctrico 94% 94% Alimentación de respaldo 72% 72% Procedimiento de emergencia 50% 50% Revisión y mantenimiento periódicos 40% 40% {or} Redundancia 100% 100% Sistema de alimentación ininterrumpida (SAI) que permite el funcionamiento de los equipos críticos, hasta su correcto cierre y apagado
Sistema de alimentación redundante que garantiza el funcionamiento de los equipos críticos, y la continuidad de las operaciones
Climatización 85% 85% Revisión y mantenimiento periódicos 40% 40% Protección del cableado 90% 90% Procedimiento para la modificación del cableado 30% 30%
Seguridad física salvaguarda [Presente] [Solución
1]
Normativa 0% 100% Normas de conducta (prohibición de fumar, beber, comer, ...) 0% 100% Prohibición de equipos de registro (fotografía, video, audio, telefonía, etc.) salvo autorización especial
0% 100%
Procedimientos 63% 63% Plan de seguridad 40% 40% Plan de emergencia 52% 52% Procedimientos escritos para el acceso físico a las instalaciones en caso de emergencia
20% 20%
Diseño 37% 73% Diseño observando reglas y normas relevantes sobre salud y sanidad 0% 100% Situar equipos sensibles en áreas separadas 50% 80% Separación de áreas de seguridad y de acceso público 30% 50% Acceso a través de un área de recepción 0% 50% Control de los accesos físicos 87% 87% Control de los accesos 96% 96%
Anexo: Informe de insuficiencias [IMAT] Sistema de Matriculación
334
Sistema automático de control de accesos 83% 83% {xor} Mecanismo de identificación 100% 100% Basado en tarjeta y PIN Basado en biometría Basado en biometría y tarjeta Revisión y mantenimiento periódicos 50% 50% Sistema de Detección de Intrusión centralizado 85% 85% Comprobación periódica 50% 50% Control de las visitas 75% 75% Registro de entrada/salida (nombre, empresa, fecha y horas de entrada y salida, objeto del acceso, y persona que recibe)
0% 0%
Control de llaves, combinaciones o dispositivos de seguridad 75% 75% Las combinaciones se cambian o modifican cuando haya cambios de personal que haya tenido acceso a las mismas
0% 0%
Protección del perímetro 100% 100% {xor} Puertas de acceso 100% 100% Puertas de acceso blindadas Puertas de acceso acorazadas Protección frente a desastres 89% 89% Protección frente a incendios 72% 72% Vías de evacuación 50% 50% Sistema automático de extinción de incendios (sprinkler, etc.) 0% 0% Señalización (planos de evacuación, de planta, etc.) 0% 0%
Personal salvaguarda [Presente] [Solución 1]
Formación 55% 55% Evaluación y revisión del plan de formación 40% 40%
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
335
Calificación [17799_2005] ISO/IEC 17799:2005
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 335
3. Fases..................................................................................................... 335
4. Plano: [base] Matriculación .............................................................. 336
4.1. [5] Política de seguridad ..................................................................................336
4.2. [6] Organización de la seguridad de la información........................................336
4.3. [7] Gestión de activos ......................................................................................336
4.4. [8] Seguridad relacionada con los recursos humanos ......................................336
4.5. [9] Seguridad física y del entorno....................................................................337
4.6. [10] Gestión de comunicaciones y operaciones...............................................337
4.7. [11] Control de acceso .....................................................................................338
4.8. [12] Adquisición, desarrollo y mantenimiento de sistemas .............................339
4.9. [13] Gestión de incidentes ...............................................................................339
4.10. [14] Gestión de la continuidad del negocio ...................................................339
4.11. [15] Conformidad...........................................................................................339
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
2. Planos o [base] Matriculación
Fases o [Presente] Situación actual o [Solución 1] Posible situación futura
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
336
Plano: [base] Matriculación
[5] Política de seguridad control [Presente] [Solución 1]
[1] Política de seguridad de la información 18% 86% [1] Documento de política de seguridad de la información 25% 88% [2] Revisión de la política de seguridad 10% 83%
[6] Organización de la seguridad de la información control [Presente] [Solución
1]
[1] Organización interna [1] Compromiso de la dirección con la seguridad de la información 40% 100% [2] Coordinación para la seguridad de la información n.a. 100% [3] Asignación de responsabilidades para la seguridad de la información
63% 92%
[4] Proceso de autorización de recursos para el tratamiento de la información
n.a. n.a.
[5] Acuerdos de confidencialidad n.a. n.a. [6] Colaboración con las autoridades 50% 50% [7] Colaboración con grupos de específicos de interés 60% 60% [8] Revisión independiente de la seguridad de la información [2] Terceras partes n.a. n.a. [1] Identificación riesgos relacionados con terceras partes n.a. n.a. [2] Consideración de la seguridad en las relaciones con clientes n.a. n.a. [3] Consideración de la seguridad en los acuerdos con terceras partes
n.a. n.a.
[7] Gestión de activos control [Presente] [Solución 1]
[1] Identificación de responsables de los activos 86% 89% [1] Inventario de activos 78% 88% [2] Propiedad de los activos 100% 100% [3] Condiciones de uso de los activos 80% 80% [2] Clasificación de la información 100% 100% [1] Guía de clasificación 100% 100% [2] Etiquetado y tratamiento de la información n.a. n.a.
[8] Seguridad relacionada con los recursos humanos control [Presente] [Solución 1]
[1] Previa a la contratación 100% 100% [1] Perfiles, cargos y responsabilidades 100% 100% [2] Selección de personal n.a. n.a. [3] Condiciones laborales n.a. n.a. [2] Mientras dure la contratación 55% 55% [1] Responsabilidades de gestión n.a. n.a. [2] Concienciación, formación y entrenamiento 55% 55% [3] Medidas disciplinarias n.a. n.a. [3] Fin de la contratación o cambio de puesto n.a. n.a.
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
337
[1] Responsabilidades en la terminación n.a. n.a. [2] Devolución de activos n.a. n.a. [3] Eliminación de derechos de acceso n.a. n.a.
[9] Seguridad física y del entorno control [Presente] [Solución 1]
[1] Áreas seguras 56% 81% [1] Perímetro de seguridad física 67% 83% [2] Controles de entrada 87% 87% [3] Aseguramiento de oficinas, salas, etc. 15% 75% [4] Protección frente a amenazas externas 89% 89% [5] Reglamentación del trabajo en áreas seguras 50% 100% [6] Áreas abiertas al público, zonas de entrega, carga y descarga 30% 50% [2] Seguridad del equipamiento 82% 86% [1] Ubicación y protección de los equipos 75% 91% [2] Servicios auxiliares 93% 93% [3] Seguridad del cableado 92% 92% [4] Mantenimiento de equipos 68% 68% [5] Seguridad de los equipos fuera de las instalaciones n.a. n.a. [6] Liberación o reutilización de equipos (pasan a otras manos) n.a. n.a. [7] Mudanza de equipos (salen de su ubicación habitual) n.a. n.a.
[10] Gestión de comunicaciones y operaciones control [Presente] [Solución 1]
[1] Procedimientos operativos y responsabilidades 71% 88% [1] Procedimientos operativos documentados 30% 92% [2] Gestión de cambios 68% 70% [3] Segregación de tareas 90% 90% [4] Separación de entornos de desarrollo, prueba y operación 96% 100% [2] Gestión de servicios proporcionados por terceros n.a. n.a. [1] Prestación del servicio n.a. n.a. [2] Monitorización y revisión de los servicios de terceros n.a. n.a. [3] Gestión de cambios en servicios de terceros n.a. n.a. [3] Planificación y aceptación de sistemas 81% 83% [1] Gestión de capacidad 72% 76% [2] Aceptación de nuevos sistemas 90% 90% [4] Protección frente a código dañino n.a. n.a. [1] Protección frente a programas dañinos n.a. n.a. [2] Protección frente a programas descargados sobre la marcha n.a. n.a. [5] Copias de respaldo 99% 99% [1] Copias de respaldo 99% 99% [6] Gestión de la seguridad de la red 91% 91% [1] Controles de red 87% 87% [2] Seguridad de los servicios de red 95% 95% [7] Tratamiento de soportes de información n.a. n.a. [1] Gestión de soportes n.a. n.a. [2] Destrucción de soportes n.a. n.a. [3] Procedimientos de manejo de la información n.a. n.a. [4] Seguridad de la documentación del sistema n.a. n.a. [8] Intercambios de información 99% 99%
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
338
[1] Normas y procedimientos 99% 99% [2] Acuerdos de intercambio n.a. n.a. [3] Medios físicos en tránsito n.a. n.a. [4] Mensajería electrónica n.a. n.a. [5] Intercambios entre sistemas de información n.a. n.a. [9] Servicios de comercio electrónico 97% 97% [1] Comercio electrónico n.a. n.a. [2] Transacciones en línea n.a. n.a. [3] Información a disposición del público 97% 97% [10] Monitorización n.a. n.a. [1] Pistas de auditoría n.a. n.a. [2] Monitorización de uso de los sistemas n.a. n.a. [3] Protección de registros (logs) n.a. n.a. [4] Registros de administración y operación n.a. n.a. [5] Registro de fallos n.a. n.a. [6] Sincronización de relojes n.a. n.a.
[11] Control de acceso control [Presente] [Solución 1]
[1] Requisitos del servicio 85% 85% [1] Política 85% 85% [2] Gestión de usuarios 76% 82% [1] Registro de usuarios 75% 100% [2] Gestión de privilegios 90% 90% [3] Gestión de contraseñas 50% 50% [4] Revisión de derechos de acceso 90% 90% [3] Responsabiliades de los usuarios 100% 100% [1] Uso de contraseñas 100% 100% [2] Equipo desatendido n.a. n.a. [3] Puesto de trabajo limpio y pantalla en blanco n.a. n.a. [4] Control de acceso a la red 100% 100% [1] Política de uso de los servicios de red 100% 100% [2] Autenticación de usuarios en acceso remoto 100% 100% [3] Identificación de equipos en la red 100% 100% [4] Puertas de diagnóstico y configuración remota 100% 100% [5] Segregación de redes 100% 100% [6] Control de conexión a la red 100% 100% [7] Control de encaminamiento 100% 100% [5] Control del acceso a sistemas en operación 71% 90% [1] Procedimientos de entrada (log-on) n.a. n.a. [2] Identificación y autorización de usuarios 89% 96% [3] Gestión de contraseñas 75% 75% [4] Uso de herramientas del sistema n.a. n.a. [5] Terminación temporizada de la sesión 50% 100% [6] Limitación del tiempo de conexión n.a. n.a. [6] Control de acceso a datos y aplicaciones 75% 90% [1] Restricción del acceso a la información 100% 100% [2] Aislamiento de sistemas críticos 50% 80% [7] Equipos y móviles y tele-trabajo 100% 100% [1] Equipos móviles n.a. n.a. [2] Tele-trabajo 100% 100%
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
339
[12] Adquisición, desarrollo y mantenimiento de sistemas control [Presente] [Solución 1]
[1] Requisitos de seguridad 74% 74% [1] Análisis y especificación de requisitos 74% 74% [2] Garantías de procesamiento de información 75% 75% [1] Validación de datos de entrada 100% 100% [2] Control de tratamiento interno 100% 100% [3] Integridad de los mensajes 0% 0% [4] Validación de la salida 100% 100% [3] Controles criptográficos 100% 100% [1] Política de uso 100% 100% [2] Gestión de claves 100% 100% [4] Seguridad de los sistemas de ficheros 100% 100% [1] Control de programas en producción 100% 100% [2] Protección de los datos de prueba 100% 100% [3] Acceso al código fuente n.a. n.a. [5] Seguridad en los procesos de desarrollo y soporte 84% 87% [1] Procedimientos de control de cambios n.a. n.a. [2] Revisión técnica de las aplicaciones tras cambios del S.O. 80% 80% [3] Control de cambios en paquetes software 73% 80% [4] Fugas de información 100% 100% [5] Desarrollo externalizado (outsourcing) n.a. n.a. [6] Gestión de vulnerabilidades 100% 100% [1] Control de vulnerabilidades 100% 100%
[13] Gestión de incidentes control [Presente] [Solución 1]
[1] Comunicación de incidencias y debilidades 0% 85% [1] Comunicación de incidencias 0% 85% [2] Comunicación de debilidades n.a. n.a. [2] Gestión de incidentes y mejoras 51% 79% [1] Responsabilidades y procedimientos 54% 87% [2] Aprendiendo del pasado 100% 100% [3] Retención de evidencias 0% 50%
[14] Gestión de la continuidad del negocio control [Presente] [Solución
1]
[1] Seguridad de la información en relación a la gestión de contingencias
0% 50%
[1] Inclusión de la seguridad de la información en los planes de contingencia
n.a. n.a.
[2] Continuidad y reconocimiento de riesgos n.a. n.a. [3] Desarrollo e implantación de planes de continuidad incluyendo la seguridad de la información
n.a. n.a.
[4] Marco de planificación de la continuidad 0% 50% [5] Prueba, mantenimiento y consolidación de los planes de contingencia
n.a. n.a.
[15] Conformidad
Anexo: Calificación ISO/IEC 17799:2005 [IMAT] Sistema de Matriculación
340
control [Presente] [Solución
1]
[1] Requisitos legales 83% 100% [1] Identificación de legislación aplicable n.a. n.a. [2] Derechos de propiedad intelectual n.a. n.a. [3] Protección de los registros de la organización n.a. n.a. [4] Protección de datos e información de carácter personal 67% 100% [5] Prevención frente al mal uso de los medios de tratamiento de la información
n.a. n.a.
[6] Regulación de controles criptográficos 100% 100% [2] Satisfacción de políticas, normas y reglamentos técnicos n.a. n.a. [1] Satisfacción de políticas y normas n.a. n.a. [2] Verificación de la satisfacción de reglamentos técnicos n.a. n.a. [3] Consideraciones sobre auditoría de sistemas n.a. n.a. [1] Controles de auditoría n.a. n.a. [2] Protección de las herramientas de auditoría n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
341
Calificación [csnc] Criterios de seguridad,
normalización y conservación
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 342
2. Planos................................................................................................... 342
3. Fases..................................................................................................... 342
4. Plano: [base] Matriculación .............................................................. 342
4.2. [4] Organización y planificación de la seguridad ............................................342
4.3. [5] Análisis y gestión de riesgos ......................................................................342
4.4. [6] Identificación y clasificación de activos a proteger ...................................343
4.5. [7] Salvaguardas ligadas al personal................................................................343
4.6. [8] Seguridad física ..........................................................................................343
4.7. [9] Autenticación .............................................................................................345
4.8. [10] Confidencialidad ......................................................................................345
4.9. [11] Integridad .................................................................................................346
4.10. [12] Disponibilidad ........................................................................................347
4.11. [13] Control de acceso ...................................................................................347
4.12. [14] Acceso a través de redes.........................................................................348
4.13. [15] Firma electrónica....................................................................................348
4.14. [16] Protección de soportes de información y copias de respaldo.................349
4.15. [17] Desarrollo y explotación de sistemas .....................................................350
4.16. [18] Gestión y registro de incidencias ...........................................................350
4.17. [19] Plan de contingencias .............................................................................351
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
342
4.18. [20] Auditoría y control de la seguridad ........................................................351
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
Planos o [base] Matriculación
Fases o [Presente] Situación actual o [Solución 1] Posible situación futura
Plano: [base] Matriculación
1.1. [3] Política de seguridad control [Presente] [Solución
1]
[1] Se deben definir y documentar los requisitos y los objetivos de seguridad.
21% 73%
[2] Se deben definir y documentar las estrategias, normas, pautas y procedimientos para satisfacer los requisitos de seguridad y alcanzar los mencionados objetivos.
30% 92%
[3] Se debe basar la política de seguridad en los resultados del análisis y gestión de riesgos.
30% 79%
[4] Organización y planificación de la seguridad control [Presente] [Solución
1]
[1] Se debe identificar el papel de los diversos actores en relación con los activos a proteger.
66% 93%
[2] Se deben definir con claridad las responsabilidades. 63% 92% [3] Se deben definir y documentar procedimientos de seguridad. 30% 92%
[5] Análisis y gestión de riesgos control [Presente] [Solución
1]
[1] Se debe realizar el análisis y la gestión de riesgos aplicando MAGERIT, Metodología de análisis y gestión de riesgos de los sistemas de información, para determinar las medidas organizativas y técnicas adecuadas que salvaguardan la autenticidad, confidencialidad, integridad y disponibilidad de acuerdo con la proporcionalidad entre la naturaleza de los datos y los tratamientos, los riesgos a que están expuestos y el estado de la tecnología.
30% 79%
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
343
[2] Se debe informar al propietario de la aplicación y de los ficheros de los riesgos detectados al objeto de que pueda tomar decisiones sobre la política de seguridad a seguir.
30% 79%
[3] Los riesgos y las salvaguardas de la aplicación se deben revisar periódicamente, así como siempre que las circunstancias lo aconsejen, como una parte más de la gestión de la seguridad.
50% 100%
[6] Identificación y clasificación de activos a proteger control [Presente] [Solución
1]
[1] Se debe realizar y mantener un inventario de los activos a proteger (información, equipamiento del sistema, soportes e información, otros equipos -climatización, alimentación, etc.-).
63% 90%
[2] Para cada activo se debe identificar a su propietario, así como su valor e importancia en términos cuantitativos o cualitativos, en función de los requisitos de autenticidad, integridad, confidencialidad y disponibilidad que le son aplicables. Esta información es crucial, pues facilita el análisis y gestión de riesgos y, por tanto sirve, para determinar las medidas de seguridad proporcionadas.
30% 79%
[3] En relación con los activos de tipo información, se debe documentar a qué usuarios se autoriza el acceso y los atributos relacionados con el referido acceso.
78% 94%
[7] Salvaguardas ligadas al personal control [Presente] [Solución
1]
[1] Se deben definir y documentar las funciones y obligaciones del personal (Véase "Organización y planificación de la seguridad").
100% 100%
[2] Dar a conocer al personal las medidas de seguridad que afecten al desarrollo de sus funciones y que en su caso deban aplicar, así como las consecuencias en que pudiera incurrir en caso de incumplimiento.
55% 55%
[3] Dependiendo de los requisitos de la aplicación, se deben tener en cuenta los aspectos de seguridad en el proceso de asignación de puestos.
n.a. n.a.
[4] Se debe suministrar al personal que maneje datos de carácter personal u otra información cuya protección sea necesaria, el mobiliario adecuado para guardar la información (en soporte papel o electrónico).
n.a. n.a.
[5] Se debe controlar periódicamente la forma en que el personal que disponga algún tipo de obligación en relación con la seguridad de la información de la Organización, cumple este tipo de obligaciones.
n.a. n.a.
[6] Establecer obligaciones de confidencialidad en los casos de personal con contratos temporales o personal perteneciente a empresas subcontratadas, cuando la información que puedan manejar en el desempeño de sus obligaciones temporales sean datos de carácter personal, u otra información sensible. El personal temporal o subcontratado deberá aceptar expresamente las prescripciones de confidencialidad.
n.a. n.a.
[8] Seguridad física control [Presente] [Solución
1]
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
344
[1] Se debe situar el equipamiento que soporta a la aplicación así como los soportes de información en áreas seguras y protegidas adecuadamente.
n.a. n.a.
[2] Se debe definir de forma proporcionada las medidas que garanticen la seguridad de los locales a proteger en relación con los requisitos de seguridad de la información que se almacene o procese.
72% 86%
[3] Se debe construir barreras físicas del suelo al techo para prevenir entradas no autorizadas o contaminación del entorno. Las ventanas y puertas de las áreas seguras deben estar cerradas y controlarse periódicamente. Las ventanas deben protegerse externamente. Se pueden necesitar barreras adicionales y perimetrales entre áreas con diferentes requisitos de seguridad dentro del perímetro global de seguridad.
37% 73%
[4] Se debe construir las instalaciones de forma discreta y minimizar las indicaciones sobre su propósito, evitando signos obvios (fuera o dentro del edificio) que identifiquen la presencia de las actividades cuya seguridad se desea. No informar al personal que no esté directamente implicado de las actividades que se hacen dentro de las áreas seguras.
37% 73%
[5] No se debe identificar en directorios telefónicos y de los vestíbulos de la organización las localizaciones informáticas (excepto las oficinas y áreas de recepción).
37% 73%
[6] Se debe proteger los locales de amenazas potenciales: eléctricas, incendios, clima, agua, interferencias, agentes químicos y otros.
78% 78%
[7] Se debe documentar debidamente los procedimientos de emergencia y revisar esta documentación de forma regular.
52% 52%
[8] Se debe formar al personal en el funcionamiento de todos los sistemas instalados, realizando simulaciones de contingencias.
55% 55%
[9] Se deben implantar medidas para proteger los cables de líneas de datos contra escuchas no autorizadas, contra daños (por ejemplo, evitando rutas a través de áreas públicas o fácilmente accesibles), o interferencias (por ejemplo, evitando recorridos paralelos y cercanos a líneas eléctricas). Instalar las líneas de suministro y telecomunicaciones para servicios de los sistemas de información en instalaciones comunes, subterráneas cuando sea posible, o tener medidas alternativas de protección adecuada.
90% 90%
[10] Se debe ubicar los terminales que manejen información y datos sensibles en lugares donde se reduzca el riesgo de que aquellos estén a la vista.
90% 90%
[11] Se debe almacenar los materiales peligrosos y/o combustibles a una distancia de seguridad del emplazamiento de los ordenadores. Por ejemplo, los suministros informáticos como el papel no se deben almacenar en la sala de ordenadores (hasta que se necesiten). Inspeccionar el material entrante, para evitar amenazas potenciales, antes de llevarlo al punto de uso o almacenamiento.
n.a. n.a.
[12] Se debe ubicar el equipamiento alternativo y copias de respaldo en sitios diferentes y a una distancia conveniente de seguridad. Estas copias de respaldo se almacenarán en armarios ignífugos (véase el Capítulo Protección de soportes de información y copias de respaldo).
n.a. n.a.
[13] Se debe controlar la entrada en exclusiva al personal autorizado a las áreas que se hayan definido como áreas a ser protegidas. Autorizar sólo con propósitos específicos y controlados los accesos a estas áreas, registrando los datos y tiempos de entrada y salida. Obligar a todo el personal que lleve una identificación visible dentro del área segura y
n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
345
que observe e informe de la presencia de personal extraño al área. En éstas se deben prohibir los trabajos no autorizados en solitario para evitar la oportunidad de acción maliciosa. Cerrar la puerta externa del área, cuando la interna esté abierta. [14] Se debe restringir el acceso a las áreas seguras del personal de los proveedores o de mantenimiento a los casos en que sea requerido y autorizado. Aun con acceso autorizado deben restringirse sus accesos y controlarse sus actividades (especialmente en zonas de datos sensibles).
n.a. n.a.
[15] Se deben definir normas y controles relativos a la posible salida/entrada física de soportes de información (impresos, cintas y disquetes, CDs, etc.), así como de los responsables de cada operación.
n.a. n.a.
[9] Autenticación control [Presente] [Solución
1]
[1] Se deben adoptar medidas de identificación y autenticación proporcionadas a la naturaleza de la información y de los tratamientos, de los riesgos a los que están expuestos y del estado del arte de la tecnología.
89% 96%
[2] Se debe elaborar y mantener una lista de usuarios autorizados; éstos deben tener un conjunto de atributos de seguridad que puedan ser mantenidos individualmente.
82% 95%
[3] Se debe asignar a cada usuario un identificador único para su uso exclusivo y personal, de forma que cualquier actuación suya pueda ser trazada. Con el identificador de usuario el administrador de seguridad debe poder identificar al usuario específico.
100% 100%
[4] El sistema debe exigir que cada usuario se identifique y autentifique su identidad, antes de que se le permita realizar cualquier acción, para acceder a la aplicación y a otros recursos (también al puesto local, al servidor, al dominio de red, etc.).
79% 93%
[5] La identificación y autenticación fuerte, se realizará mediante al menos un par de claves complementarias, una pública y otra privada, generadas con algoritmos de cifrado asimétrico RSA-1024 o equivalente, acompañadas del correspondiente certificado reconocido de autenticidad que cumplirá las especificaciones x.509 v3 o superiores.
[6] La autenticación basada en identificador de usuario y contraseña fija sólo es adecuada en el ámbito donde haya datos a los que haya que aplicar las medidas denominadas de nivel básico.
75% 75%
[10] Confidencialidad control [Presente] [Solución
1]
[1] Se debe cifrar la información cuando la naturaleza de los datos y de los tratamientos y los riesgos a los que estén expuestos lo requiera, tanto en transacciones o comunicaciones como en almacenamiento, en particular cuando se trate de datos de carácter personal a los que haya que aplicar las medidas de nivel alto. Información dinámica: En los intercambios entre puestos, servidores y otros dispositivos, así como en transacciones electrónicas y transmisiones a través de redes de telecomunicaciones. Información estática: En servidores, en soportes electrónicos de información o en ordenadores personales o estaciones de trabajo de los usuarios.
100% 100%
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
346
[2] Los algoritmos deben permitir una longitud mínima de claves de 128 bits, y se utilizarán preferentemente 3DES, IDEA, RC4, RC5, AES, o equivalentes.
100% 100%
[3] Para el establecimiento de sesión web cifrada se debe utilizar el protocolo SSL v3/TLS v1 o superior con cifrado simétrico de, al menos, 128 bits.
n.a. n.a.
[4] En correo electrónico seguro se debe utilizar el estándar S/MIME v2 o superior.
n.a. n.a.
[5] En sesiones de administración remota se debe utilizar SSH. n.a. n.a. [6] Se deben implantar procedimientos de apoyo a los mecanismos de cifrado (control de acceso físico y lógico, autenticación, gestión de claves, etc.) para evitar la divulgación no autorizada de la información almacenada en dispositivos y soportes electrónicos o en tránsito a través de redes de telecomunicaciones.
100% 100%
[7] El borrado de los datos debe realizarse mediante mecanismos adecuados, como por ejemplo los basados en ciclos de reescritura de los ficheros. El procedimiento de borrado tendrá en cuenta la naturaleza de los datos o al riesgo aparejado a su desvelamiento.
n.a. n.a.
[8] Para salvaguarda de la confidencialidad se debe tener en cuenta también lo previsto en los capítulos "Seguridad física", "Autenticación", "Control de acceso", "Acceso a través de redes" y "Protección de los soportes de información y copias de respaldo".
n.a. n.a.
[9] Cuando el mecanismo de protección de la confidencialidad en las comunicaciones de la Administración con el ciudadano utilice algoritmos de clave pública, además de los de clave simétrica, el par de claves complementarias, pública y privada han de ser independientes de los utilizados para autenticidad. Serán de RSA-1024 o equivalente y certificado reconocido conforme con la norma UIT X.509 v3 o versiones posteriores. La Administración deberá informar al ciudadano de las medidas que permitan descifrar la información.
n.a. n.a.
[11] Integridad control [Presente] [Solución
1]
[1] Se deben implantar procedimientos de explotación de la aplicación y de los sistemas adecuados a la protección de la integridad.
n.a. n.a.
[2] Se deben implantar procedimientos de copias de respaldo de ficheros y bases de datos, y de protección y conservación de soportes de información.
99% 99%
[3] Se deben generar copias de los documentos emitidos en soportes no reescribibles de tipo "múltiple lectura única escritura" (WORM), como, por ejemplo, CD-ROM o DVD (Véase en "Criterios de Conservación", en el capítulo "Soportes" el apartado "Tipos de soportes de almacenamiento de la información").
n.a. n.a.
[4] Se deben aplicar técnicas de comprobación de la integridad de la información: funciones resumen o hash, firma electrónica, etc. (en particular a documentos y mensajes) para verificar la integridad de la misma y, en su caso, de fechado electrónico.
100% 100%
[5] Se deben proteger los archivos de información mediante el atributo de solo lectura.
100% 100%
[6] En las aplicaciones que ejecuten transacciones o procesos donde se produzcan múltiples actualizaciones de datos que se encuentren
n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
347
relacionados entre sí, se deben adoptar herramientas o procedimientos que aseguren la integridad de estos datos en el caso de que se produzca un fallo de proceso y no se pueda completar la transacción. [7] Se debe realizar un análisis periódico de los accesos y de los recursos utilizados.
n.a. n.a.
[8] Se deben adoptar medidas de protección frente a código dañino en los servidores de aplicación, en los equipos de los usuarios y en los soportes circulantes (disquetes, CD's, otros):
n.a. n.a.
[9] Se debe aplicar el fechado electrónico a los documentos o información cuya fecha y hora se desea acreditar. La sincronización de la fecha y la hora se deberá realizar con el Real Instituto y Observatorio de la Armada, de conformidad con lo previsto sobre la hora legal en el Real Decreto 1308/1992 de 23 de octubre y según las condiciones técnicas y protocolos que el citado Organismo establezca. En particular los registros telemáticos y los servicios de notificación electrónica deben adoptar servicios de fechado electrónico para la acreditación de fecha y hora.
100% 100%
[12] Disponibilidad control [Presente] [Solución
1]
[1] Se deben adoptar los procedimientos de explotación que garanticen la fiabilidad de la aplicación y de los soportes en los que resida la información.
82% 82%
[2] Los equipos que soporten la aplicación y cuya interrupción accidental pueda provocar alteración o pérdida de datos o documentos administrativos, deben estar protegidos contra fallos de suministro eléctrico mediante sistemas de alimentación ininterrumpida.
n.a. n.a.
[3] Si la naturaleza de los tratamientos y de los datos lo hacen apropiado, se deben implantar equipos dotados de mecanismos tolerantes a fallos.
100% 100%
[4] Los equipos deben mantenerse de acuerdo con las especificaciones de los suministradores respectivos.
100% 100%
[5] Se deben adoptar las medidas apropiadas de seguridad física en el entorno donde se encuentren los equipos que den soporte a la aplicación. (Véase capítulo "Seguridad física")
72% 86%
[6] Se deben proteger los sistemas y las aplicaciones contra el código dañino. Cabe adoptar las siguientes medidas:
n.a. n.a.
[7] Se deben proteger los sistemas y las aplicaciones contra los ataques de denegación de servicio.
63% 100%
[8] Se deberá preparar y mantener operativo un plan de contingencias. (Véase capítulo "Plan de contingencias").
50% 75%
[13] Control de acceso control [Presente] [Solución
1]
[1] Se deben adoptar procedimientos en relación con la identificación y autenticación de usuarios, la gestión y revisión de derechos y privilegios de acceso de los usuarios, la comprobación de los accesos.
89% 97%
[2] Se debe asociar el control de acceso con los requisitos de autenticidad, confidencialidad, integridad y disponibilidad exigidos por el recurso al cual se intenta acceder.
78% 94%
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
348
[3] Se debe limitar el acceso a los recursos según la función o la necesidad de conocer.
100% 100%
[4] Se deben revisar periódicamente y mediante procedimiento formal los derechos de acceso de los usuarios
90% 90%
[5] Se debe formar a los usuarios en relación con el control de acceso a los recursos protegidos.
55% 55%
[6] Se deben adoptar medidas en relación con el trabajo desde fuera de las instalaciones de la organización.
100% 100%
[7] Se deben adoptar medidas adicionales específicas para los equipos portátiles.
n.a. n.a.
[8] Se deben adoptar medidas adicionales específicas para el control de acceso de terceras partes
n.a. n.a.
[14] Acceso a través de redes control [Presente] [Solución
1]
[1] Se debe establecer un proceso de gestión de las redes para garantizar la seguridad de la información transmitida y el acceso a la información remota. La responsabilidad de la gestión y explotación de la red debe ser explícita.
98% 98%
[2] Se deben proteger los sistemas o servidores de la aplicación mediante cortafuegos que restrinjan los accesos a los estrictamente necesarios.
100% 100%
[3] Se debe cifrar la información transmitida a través de redes, para evitar su modificación y divulgación no autorizadas.
100% 100%
[4] Se debe autentificar el acceso del usuario a los distintos recursos de la red.
100% 100%
[5] Se debe definir en cada sistema y aplicación los usuarios que pueden acceder a través de conexiones externas.
100% 100%
[6] El acceso a los sistemas de forma remota se debe realizar, siempre que sea técnicamente factible, mediante redes privadas virtuales.
n.a. n.a.
[15] Firma electrónica control [Presente] [Solución
1]
[1] La firma electrónica en las comunicaciones administrativas será al menos firma electrónica avanzada, con certificado reconocido, cuyos requisitos mínimos son:
100% 100%
[2] La creación de la firma debe contar con mecanismos de protección que únicamente conozca o estén en posesión del firmante, por ejemplo mediante una contraseña.
100% 100%
[3] Se deben emplear listas de revocación del tipo CRL V2, o versiones posteriores.
n.a. n.a.
[4] Las tarjetas criptográficas y los lectores de tarjetas se ajustarán a los siguientes estándares: PC/SC e ISO 7816.
90% 90%
[5] Los servicios de sellado de tiempo proporcionados por la autoridad de certificación cumplirán los estándares definidos, en particular, la norma ISO/IEC 18014 para este tipo de servicios [RFC3161].
100% 100%
[6] Los protocolos de acceso a las listas de revocación serán del tipo HTTP u OCSP.
n.a. n.a.
[7] Los módulos criptográficos habrán de ser conformes con la norma 90% 90%
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
349
FIPS 140-2.
[16] Protección de soportes de información y copias de respaldo control [Presente] [Solución
1]
[1] Se debe aplicar lo previsto en el documento "Criterios de Conservación" en los capítulos de "Seguridad de la información" y "Protección frente al deterioro físico" (Desarrollar y aplicar procedimientos de seguridad que contemplen la autenticidad, confidencialidad, integridad y disponibilidad, el tratamiento de datos de carácter personal, la gestión de soportes removibles, la eliminación y destrucción de soportes y la documentación del sistema de conservación.).
n.a. n.a.
[2] Se deben establecer procedimientos de realización, recuperación y pruebas de las copias de respaldo que contemplen copias de los programas, aplicaciones, documentación, bases de datos, sistemas operativos, logs, etc.; debe definirse la periodicidad con que se realizan las copias (diaria, semanal, mensual), número de copias que se realizan y versiones distintas que se conservan. Los procedimientos de realización de copias serán automáticos y periódicos.
83% 93%
[3] Se debe elegir un lugar de almacenamiento adecuado para los soportes de información. Se debe tener en cuenta lo previsto en el capítulo "Seguridad física".
n.a. n.a.
[4] Para ficheros a los que haya que aplicar medidas de nivel alto se debe recurrir a dos copias distintas una de las cuales debe guardarse en una ubicación diferente de donde se encuentren los equipos informáticos que las tratan.
99% 99%
[5] Se debe mantener un registro de entrada y salida de los soportes de información. Permitirá conocer: el tipo de soporte, la fecha y hora, el emisor, el número de soportes, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada. Cabe recoger asimismo el número de serie del soporte y marca de clasificación.
n.a. n.a.
[6] Los soportes de información enviados o distribuidos al exterior que contengan datos de nivel alto deberán ser cifrados.
n.a. n.a.
[7] Verificar la definición y correcta aplicación de las medidas de protección de los soportes de información.
n.a. n.a.
[8] Se debe incluir entre las prácticas de protección de los soportes de información medidas básicas como las siguientes, dentro y fuera del horario normal de trabajo, para evitar su pérdida o destrucción: armarios, llaves, contraseñas, etc.
n.a. n.a.
[9] Se debe verificar que los usuarios cumplen las recomendaciones relativas a que los equipos no atendidos queden convenientemente protegidos.
n.a. n.a.
[10] Realizar periódicamente pruebas para verificar que la recuperación de la información a partir de las copias de respaldo funciona correctamente. Estas pruebas se pueden basar en inspecciones periódicas de forma aleatoria o exhaustiva para comprobar su presencia física y contenido.
100% 100%
[11] El borrado de los datos debe realizarse mediante mecanismos adecuados, como por ejemplo los basados en ciclos de reescritura de los
n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
350
ficheros. El procedimiento de borrado tendrá en cuenta la naturaleza de los datos o al riesgo aparejado a su desvelamiento.
[17] Desarrollo y explotación de sistemas control [Presente] [Solución
1]
[1] Se deben adoptar procedimientos de explotación adecuados para salvaguardar la disponibilidad, integridad y confidencialidad de la información.
90% 90%
[2] Se deben definir procedimientos para el paso de aplicaciones a explotación, ya sean nuevas o actualizaciones de las existentes, que recojan los requisitos que estas deben cumplir y las pruebas a realizar antes de su aceptación.
45% 88%
[3] Se deben asegurar por medio de la gestión de configuración y de cambios que las modificaciones en el sistema no reducen la efectividad de las salvaguardas ni la seguridad general del mismo, que se identifican nuevos requisitos de seguridad o impacto en la seguridad de los posibles cambios y que los mismos tienen reflejo en el plan de contingencias.
n.a. n.a.
[4] Se deben realizar mantenimientos preventivos, como la instalación de las actualizaciones de seguridad recomendadas por los fabricantes, o el aumento de capacidad para evitar saturaciones.
80% 90%
[5] Se debe documentar en la política de seguridad los requisitos con relación a licencias de programas y la prohibición de uso e instalación de software no autorizado. Establecer controles periódicos que revisen el software instalado e implantar mecanismos de protección para evitar la instalación de software no autorizado.
45% 88%
[6] Se debe formar a los usuarios en el uso adecuado de la aplicación y en los procedimientos de reacción ante incidentes.
55% 71%
[7] Se debe aplicar el análisis y gestión de riesgos para determinar las necesidades de seguridad de la aplicación antes de su desarrollo e incorporar las funciones de salvaguarda antes de completarla (más barato y efectivo).
n.a. n.a.
[8] Se deben tener en cuenta los aspectos de seguridad de la aplicación en todas las fases de su ciclo de desarrollo, desde la planificación hasta la implantación y el mantenimiento e incorporando las funciones de salvaguarda antes de su puesta en explotación.
n.a. n.a.
[18] Gestión y registro de incidencias control [Presente] [Solución
1]
[1] Se debe definir el procedimiento de gestión de incidencias, que establezca las formas de comunicación, el diagrama de estados por los que pasará hasta su conclusión, la clasificación según su gravedad, las condiciones para el escalado de la incidencia a los responsables de la organización, la forma de comunicación a proveedores externos, consulta del estado de las incidencias, etc.
42% 89%
[2] Se debe formar y concienciar a los usuarios en relación con los procedimientos de comunicación, consulta y reacción ante incidencias. Se deben establecer canales para informar lo más rápidamente posible de las incidencias y el mal funcionamiento de los sistemas.
0% 85%
[3] Se debe implantar un registro incidencias acorde al procedimiento y n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
351
a los datos manejados con el tipo de incidencia, momento, persona que realiza la notificación, a quién lo notifica y los efectos de la misma. Esta información junto con otra relativa a la seguridad se debe conservar para aprender de estas experiencias, con objeto de minimizar los posibles daños y consecuencias, para investigaciones futuras y para el control de los accesos. [4] Si sospecha que el mal funcionamiento es debido a problemas de software (por ejemplo un virus), el usuario debe: observar los síntomas, dejar de usar la aplicación e informar inmediatamente.
42% 89%
[19] Plan de contingencias control [Presente] [Solución
1]
[1] Se debe desarrollar un plan de contingencias, basado en los resultados del análisis y gestión de riesgos, que mantenga o restaure el servicio en el menor tiempo posible tras un incidente accidental o deliberado.
0% 50%
[2] El plan de contingencias que, de forma fundamental, debe identificar personas de contacto y acciones concretas, debe comprender las acciones organizativas y/o técnicas necesarias para garantizar la continuidad de la aplicación, con el fin de limitar al máximo la necesidad de tomar decisiones durante el período de recuperación y de recuperar los servicios imprescindibles en el menor tiempo posible reduciendo al máximo su impacto económico, estratégico y político.
0% 50%
[3] Se debe activar el plan de contingencias como reacción ante un incidente que afecte a la continuidad del servicio proporcionado por la aplicación.
50% 75%
[20] Auditoría y control de la seguridad control [Presente] [Solución
1]
[1] La situación y actividades de seguridad se deben revisar de forma independiente (auditoria) y periódicamente para asegurar que las prácticas de la organización siguen estas normas y que además son efectivas.
n.a. n.a.
[2] En relación con la protección de datos de carácter personal a los que haya que aplicar las denominadas medidas de nivel medio o alto, se deben someter a auditoria los sistemas de información e instalaciones de tratamiento de datos al menos cada dos años.
30% 79%
[3] La aplicación debe estar dotada de un registro de eventos o pista de auditoria que registre al menos el identificador de usuario, fecha, hora, y proceso mediante el que se ha realizado un alta, modificación o baja de cualquier información que substancie el ejercicio de una potestad, afecte a datos de carácter personal o pueda ser considerada como sensible.
n.a. n.a.
[4] Se deben proteger los ficheros de recogida de eventos así como las herramientas de auditoria y control, a fin de evitar su alteración o destrucción por medios no autorizados y para salvaguardar su integridad y su disponibilidad, especialmente los del registro telemático y el servicio de dirección electrónica única.
n.a. n.a.
[5] Se deben sincronizar los relojes de los distintos sistemas para facilitar un archivo fiable de eventos.
n.a. n.a.
Anexo: Calificación CSNC [IMAT] Sistema de Matriculación
352
[6] Se debe controlar periódicamente la utilización de los distintos componentes del sistema.
n.a. n.a.
[7] Se debe asegurar que la función de auditoria accede en su caso a la información relativa a las medidas de seguridad, pero no a los datos.
n.a. n.a.
[8] En las aplicaciones que se citan a continuación, el registro de eventos guardará al menos traza: en el servicio de dirección electrónica única y en el registro telemático.
n.a. n.a.
Anexo: RD994 [IMAT] Sistema de Matriculación
353
Calificación [rd994] Reglamento de medidas de
seguridad
Proyecto: IMAT
Sistema de Matriculación
1. Datos del proyecto .............................................................................. 353
2. Planos................................................................................................... 353
3. Fases..................................................................................................... 353
4. Plano: [base] Matriculación .............................................................. 353
4.1. [B] Medidas de seguridad de nivel básico .......................................................353
4.2. [M] Medidas de seguridad de nivel medio ......................................................354
4.3. [A] Medidas de seguridad de nivel alto ...........................................................354
1. Datos del proyecto IMAT Sistema de Matriculación descripción Sistema de matriculación de la Universidad Pontifica de Comillas. propietario Eduardo Ferrero Recaséns organización Universidad Pontificia de Comillas versión v1 biblioteca [std] Biblioteca estándar (23.4.2006)
2. Planos o [base] Matriculación
3. Fases o [Presente] Situación actual o [Solución 1] Posible situación futura
4. Plano: [base] Matriculación
4.1. [B] Medidas de seguridad de nivel básico control [Presente] [Solución 1]
[8] Documento de seguridad 31% 97% [1] Documento de seguridad 0% 96% [2] Contenido del documento 62% 94% [a] ámbito 65% 80% [b] medidas, normas, procedimientos, reglas y estándares n.a. n.a.
Anexo: RD994 [IMAT] Sistema de Matriculación
354
[c] personal n.a. n.a. [d] estructura de los ficheros y sistemas 75% 100% [e] procedimiento de notificación 7% 98% [f] copias de respaldo 100% 100% [3] Revisión y actualizaoión n.a. 100% [4] Ajuste a normativa n.a. n.a. [9] Funciones y obligaciones del personal n.a. n.a. [1] Definición n.a. n.a. [2] Difusión n.a. n.a. [10] Registro de incidencias 0% 100% [11] Identificación y autenticación 100% 100% [1] Relación y procedimientos 100% 100% [2] Gestión de contraseñas 100% 100% [3] Cambio de contraseñas 100% 100% [12] Control de acceso 89% 89% [1] Control de acceso 92% 92% [2] Gestión de derechos de acceso 100% 100% [3] Registro de usuarios 70% 70% [4] Gestión de privilegios 92% 92% [13] Gestión de soportes n.a. n.a. [1] Gestión interna n.a. n.a. [2] Gestión de soportes en tránsito n.a. n.a. [14] Copias de respaldo y recuperación 92% 92% [1] Gestión de backups 98% 98% [2] Procedimientos de backup 98% 98% [3] Periodicidad 80% 80%
4.2. [M] Medidas de seguridad de nivel medio control [Presente] [Solución 1]
[15] Documento de seguridad 46% 96% [16] Responsable de seguridad 70% 70% [17] Auditoría 30% 79% [18] Identificación y autenticación 50% 100% [1] Mecanismos de dentificación y autenticación 100% 100% [2] Limitación de reintentos 0% 100% [19] Control de acceso físico 100% 100% [20] Gestión de soportes n.a. n.a. [1] Registro de entrada n.a. n.a. [2] Registro de salida n.a. n.a. [3] Desechado de soportes n.a. n.a. [4] Salida de ficheros n.a. n.a. [21] Registro de incidencias 90% 90% [1] Recuperación de datos 80% 80% [2] Autorización del responsable 100% 100% [22] Pruebas con datos reales 100% 100%
4.3. [A] Medidas de seguridad de nivel alto control [Presente] [Solución 1]
[23] Distribución de soportes n.a. n.a. [24] Registro de accesos 0% 60%
Anexo: RD994 [IMAT] Sistema de Matriculación
355
[1] Datos registrados n.a. n.a. [2] Identificación del registro accedido n.a. n.a. [3] Control del responsable 0% 60% [4] Periodo de conservación n.a. n.a. [5] Revisión periódica n.a. n.a. [25] Copias de respaldo y recuperación 100% 100% [26] Telecomunicaciones 100% 100%
356
Bibliografía
Bibliografía
357
AENOR; Información obtenida de Internet (13 de Junio de 2006).
http://www.aenor.es/desarrollo/centroinformacion/faqs/faqs2.asp
[ARIA05] ARIAS RUIZ DE SOMAVIA, RAMÓN; Análisis de Riesgos del Sistema de
Información clasificado de Isdefe. Informe interno de la empresa. 2005.
[ARIAS05]ARIAS RUIZ DE SOMAVIA, RAMÓN; Gestión de la Seguridad del Sistema
de Información clasificado de Isdefe. Informe interno de la empresa. 2005.
Arquitectura en tres capas. Obtenido de Internet (21 de Febrero de 2006).
http://es.wikipedia.org/wiki/Programaci%C3%B3n_por_capas.
La información mostrada en iMAt en relación a la arquitectura en tres capas
ha sido obtenida de esta dirección y los enlaces que contiene.
[BARR01] BARRANCO DE AREBA, JESÚS; Metodología del análisis estructurado de
sistemas. Publicaciones de la Universidad Pontifica de Comillas, Segunda
Edición. 2001.
[HUIT01] HUITEMA, CHRISTIAN; Routing in the Internet; Second Edition. Prentice
Hall, 2000.
ISO/IEC 17799:2005; Information Technology – Security techniques – Code
of practice for information security management. Second Edition, 15/06/2005.
[MAGE05] MINISTERIO DE ADMINISTRACIONES PÚBLICAS; MAGERIT-versión
2 (Metodología de Análisis y Gestión de Riesgos de los Sistemas de
Información). Madrid, 2005.
[MAÑA06] MAÑAS, JOSÉ A.; Magerit, Metodología de Análisis y Gestión de Riesgos.
Diapositivas. Madrid, 2006.
[MAÑA04 ]MAÑAS, JOSÉ A; PILAR. Herramientas para el Análisis y la Gestión de
Riesgos.2004.
Manual para EAR (Entorno de análisis de riesgos). Obtenido de Internet (23
de Enero de 2006) de la página http://ar-tools.com/index.html. Página usada
para obtener información acerca de la herramienta EAR.
Bibliografía
358
[UNE01] UNE 71501 – 1 IN; Tecnología de la información, guía para la gestión de la
seguridad de TI. Noviembre 200154.
Parte 1: Conceptos y modelos para la seguridad de TI.
Parte 2: Gestión para la planificación de la seguridad de TI
Parte 3: Técnicas para la Gestión de la Seguridad de TI.
Seguridad Informática. Obtenido de Internet (21 de Febrero de 2006).
http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica. Usado a lo largo
del trabajo para la explicación de iMat y la evaluación de riesgos.
54 Este informe es equivalente al informe técnico ISO/IEC TR 13335-1:1996