3. Relación de las amenazas más frecuentes, los riesgos que implican y las salvaguardas más frecuentes
Las amenazas a las que está expuesto un sistema de información son muy diversas, por lo que, al menos en la fase inicial de la gestión de riesgos, conviene centrarse en las principales. Posteriormente, se podrá mejorar el modelo, aumentando el catálogo de amenazas. Para esa selección inicial, ayudará un amplio y polifacético conocimiento de la empresa: su organigrama, sus procesos productivos, su localización geográfica, su competencia, etc. Por ejemplo, si una empresa tiene dos sucursales, una en una zona de interior, y otra muy próxima al mar, para esta segunda sucursal, puede ser importante analizar el riesgo de exposición a un alto nivel de humedad relativa del aire.
Para determinar las amenazas, o encontrar nuevas, ayudará saber que pueden clasificarse como:
1 Amenazas naturales o artificiales.
2 Amenazas debidas al entorno (ambiente), o debidas al hombre.
3 Amenazas accidentales o intencionadas.
A continuación, se expone un conjunto de amenazas frecuentes, extraído del catálogo de amenazas de MAGERIT, que no pretende ser exhaustivo, aunque probablemente cubrirá la mayoría de situaciones generales, así como algunos de los riesgos principales, y salvaguardas usuales.
Desastres naturales
| Amenaza | Riesgos usuales | Salvaguardas usuales |
| Incendios | Que el fuego acabe con recursos del sistema | Protección de las instalaciones frente a incendios |
| Inundaciones | Que el agua acabe con recursos del sistema | Protección de las instalaciones frente a inundaciones |
| Rayo, tormenta eléctrica | Destrucción de sistemas electrónicos | Protección de las instalaciones frente a descargas eléctricas |
De origen industrial
| Amenaza | Riesgos usuales | Salvaguardas usuales |
| Incendios | Que el fuego acabe con recursos del sistema | Protección de las instalaciones frente a incendios |
| Inundaciones, escapes | Que el agua acabe con recursos del sistema | Protección de las instalaciones frente a inundaciones |
| Otros desastres industriales: sobrecarga eléctrica, fluctuaciones eléctricas | Destrucción de sistemas electrónicos | Protección de las instalaciones frente a descargas eléctricas |
| Contaminación mecánica: vibraciones, polvo, suciedad | Destrucción de sistemas electromecánicos | Mantenimiento preventivo de limpieza, y reposición de componentes electromecánicos |
| Avería de origen físico o lógico: fallos en los equipos, fallos en los programas | Paradas de sistemas y/o pérdida de trazabilidad | Disponer de sistemas de funcionamiento redundante |
| Corte del suministro eléctrico | Paradas de sistemas | Sistemas de alimentación ininterrumpida |
| Condiciones inadecuadas de temperatura y humedad | Destrucción de componentes | Sistemas de aire acondicionado, y alarma por exceso de temperatura y humedad |
| Fallo de servicios de comunicaciones | Parada de sistema | Disponer rutas de comunicación redundantes |
| Degradación de los soportes de almacenamiento | Paradas de sistemas y/o pérdida de trazabilidad | Empleo de soportes redundantes, y realización de copias de seguridad |
Errores y fallos no intencionados
| Amenaza | Riesgos usuales | Salvaguardas usuales |
| Errores de los usuarios | Pérdida de información | Copias de seguridad, incluidos registros de transacciones para deshacer operaciones |
| Errores del administrador | Parada de sistema, ausencia de seguridad y trazabilidad | Disociación de responsabilidades, para reducir daño de los errores |
| Errores de configuración | Parada de sistema, ausencia de seguridad y trazabilidad | Procedimientos de reinstalación y configuración del sistema. Copias de seguridad |
| Deficiencias en la organización: cuando no está claro quién es responsable de hacer qué y cuándo | Paradas de sistemas, causadas por acciones descoordinadas u omisiones | Políticas de seguridad con establecimiento de responsables |
| Difusión de software dañino (virus, spyware, gusanos, troyanos, bombas lógicas, etc.) | Parada de sistema, ausencia de seguridad y trazabilidad | Software de eliminación de virus, y de eliminación de software malicioso. Procedimientos de reinstalación y configuración del sistema. Copias de seguridad. |
| Escapes de información: la información llega a quien no debe | Perdida completa de confidencialidad | Uso de técnicas de encriptación |
| Alteración de la información: alteración accidental de la información | Pérdida completa de integridad | Sistemas de revisión y validación de transacciones (mediante totales, revisión por otra persona u otras vías). |
| Vulnerabilidades de los programas (defectos en el código que producen errores) | Paradas del sistema y/o perdida de integridad | Entornos de prueba y sistemas de revisión |
| Errores de mantenimiento o actualización de programas (software) | Paradas del sistema | Plan de mantenimiento preventivo, para revisar fecha de actualización aplicada a las aplicaciones |
| Caída del sistema por agotamiento de recursos | Paradas del sistema | Aplicaciones de monitorización de recursos disponibles con alarmas |
| Indisponibilidad del personal: ausencia accidental del puesto de trabajo por enfermedad, alteraciones de orden público, guerra, etc. | Paradas del sistema | Política de seguridad con establecimiento de responsables, y designación de suplentes de responsables |
Ataques intencionados
| Amenaza | Riesgo | Salvaguarda |
| Manipulación de la configuración | Parada de sistema, ausencia de seguridad y trazabilidad | Copias impresas de procedimientos de reinstalación, y configuración del sistema |
| Suplantación de la identidad del usuario | Pérdida completa de confidencialidad e integridad | Sistemas de autenticación fuertes, que incluyan medidas biométricas |
| Uso no previsto: típicamente en interés personal, juegos, etc. | Paradas del sistema | Impedir ejecución de procesos no autorizados |
| Difusión de software dañino: virus, spyware, gusanos, troyanos, bombas lógicas, etc. | Parada de sistema, ausencia de seguridad y trazabilidad | Software de eliminación de virus y de eliminación de software malicioso. Procedimientos de reinstalación y configuración del sistema. Copias de seguridad. |
| Análisis de tráfico | Conocimiento de las pautas de actividad de la empresa | Aleatorización de las rutas de comunicaciones, y encapsulamiento de protocolos |
| Repudio | Pérdida de trazabilidad de las operaciones | Empleo de firmas digitales |
| Interceptación de información (escucha) | Pérdida de confidencialidad | Empleo de técnicas de criptografía |
| Destrucción de la información | Paradas de sistema | Copias de seguridad |
| Divulgación de la información | Pérdida de confidencialidad | Empleo de técnicas de criptografía |
| Denegación de servicio | Paradas de sistema | Penalización a solicitudes recurrentes. Monitorización de recursos disponibles y alarma |
| Robo de equipos o soportes | Paradas de sistema y perdida de confidencialidad | Alarmas antirrobo, sistemas de anclaje de equipos, técnicas de criptografía |
| Ataque destructivo (vandalismo, terrorismo, etc.) | Paradas de sistema | Copias de seguridad fuera de las instalaciones, acuerdos de alquiler de equipos para casos de emergencia, copias impresas de procedimientos de reinstalación y configuración del sistema |
| Ingeniería social | Parada de sistema, ausencia de seguridad y trazabilidad | Formación,
|
