Existen diferentes métodos para el análisis de riesgos de la seguridad informática. Algunos de los métodos o metodologías son:
- Metodología MAGERIT.
- Metodología OCTAVE.
- Metodología NIST SP 800-30.
Cual es la diferencias entre dichas metodologías ?
"
La metodología MAGERIT es una de las mas utilizadas ya que se encuentra en español. MAGERIT esta basado en tres submodelos. Los submodelos son:
- Submodelo de elementos: Es este submodelo se clasifican 6 elementos básicos que son: activos, amenazas, vulnerabilidades, impacto, riesgo, salvaguarda.
- Submodelo de eventos: Aquí se clasifican los elementos anteriores en tres formas: dinámico físico, dinámico organizativo y estático.
- Submodelo de procesos: Se definen en 4 etapas: análisis de riesgo, planificación, gestion de riesgo y selección de salvaguardas.
La metodología OCTAVE esta compuesta en tres fases:
- Visión de organización: Donde se definen los siguientes elementos: activos, vulnerabilidades de organización, amenazas, exigencias de seguridad y normas existentes.
- Visión tecnológica: se clasifican en dos componentes o elementos: componentes claves y vulnerabilidades técnicas.
- Planificación de las medidas y reducción de los riesgos: se clasifican en los siguientes elementos: evaluación de los riesgos, estrategia de proteccion, ponderacion de los riesgos y plano de reduccion de los riesgos.
La Metodología NIST SP 800-30 esta compuesta por 9 pasos basicos para el analisis de riesgo:
- Caracterización del sistema.
- Identificación de amenazas.
- Identificación de vulnerabilidades.
- Control de análisis.
- Determinación del riesgo.
- Análisis de impacto.
- Determinación del riesgo.
- Recomendaciones de control.
- Resultado de la implementacion o documentacion.
Como podemos ver en los enunciados anteriores de las metodologías, podemos sacar varias conclusiones. Una de ellas es que todas las metodologías para el análisis de riesgo siempre esta en busca de realizar un buen análisis de riesgo. Pero la diferencia es que cada metodología maneja sus propios conceptos y una forma diferente de adquirir un análisis de riesgo. En si todas las metodologías hacen lo mismo pero con diferente estructura a la hota de realizar un análisis de riesgo.
Enlaces de interés:
