Análisis y valoración de riesgo de la infraestructura tecnológica en el segundo local del Gobierno Regional Piura usando la metodología Magerit

Abstract

Un análisis de riesgo consiste en identificar los peligros que afectan a la seguridad de la información, determinar su magnitud y determinar las áreas que necesitan salvaguardas. No todos los activos tecnológicos son vulnerables a las mismas amenazas, es por ello que se opta por realizar un análisis de riesgo para determinar la probabilidad de la materialización de una amenaza sobre un activo, las cuales pueden manifestarse de dos formas, intencionales o accidentales. Para llevar a cabo esta investigación se hizo uso de la metodología española MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información de las Administraciones Públicas) la cual establece una serie de pasos para desarrollar fase a fase el análisis de riesgo. Se optó por seleccionar una muestra de 348 activos. La selección de ordenadores fue de la siguiente forma, se hizo uso el software Nessus herramienta Nessus v6.4.3 y se escaneo las 130 primeras IP de la subred (172.16.11.1 - 172.16.11.130) y 30 de la subred perteneciente a servidores (172.16.8.1 - 172.16.8.30), dando un total de 160 ordenadores analizados, los otros activos de Comunicación, Soporte de Información, Equipos Auxiliares, etc. se tomaron en su totalidad. Los instrumentos y técnicas que se utilizaron en la recolección de datos fueron guías de observación (hoja de registro), donde se anotaron los activos de información, las amenazas, el escaneo de vulnerabilidades y salvaguardas. Entre los principales resultados obtenidos en las distintas fases de la metodología tenemos que el 66% de los activos relevantes se encuentran en un nivel de criticidad de riesgo Muy Alto (nivel 4), debido a que las amenazas evaluadas en las distintas dimensiones de seguridad varían en un nivel de degradación de valor, Alto y Muy Alto por ende su nivel de probabilidad e impacto es mucho mayor. La amenaza con mayor nivel de degradación de valor (Muy Alta) es la de fuego en las capas de equipos y comunicaciones, es decir la posibilidad de que el fuego acabe con los recursos informáticos.