Selección de salvaguardas en gestión del riesgo en sistemas de la información: un enfoque borroso

Abstract

Resumen: En este trabajo nos centramos en la fase de selección de salvaguardas dentro del proceso de análisis y gestión del riesgo en sistemas de la información (SI) bajo un enfoque borroso. Para reducir el riesgo asociado a posibles amenazas en SI se pueden implementar salvaguardas preventivas, paliativas o salvaguardas que disminuyan la probabilidad de transmisión de fallos a través de la red de activos asociada al SI. Sin embargo, las salvaguardas tienen asociadas costes por lo que se debe realizar un proceso de selección de las mismas. En este trabajo describimos problemas de optimización asociados a distintas perspectivas en la selección de salvaguardas y proponemos técnicas de solución basadas en programación dinámica y el uso de metaheurísticas. Palabras-clave:Análisis y gestión del riesgo; sistemas de información; selección de salvaguardas; lógica borrosa; optimización. Safeguard selection for risk management in information systems: a fuzzy approachAbstract: In this paper we focus on the safeguard selection within the risk analysis and management in information systems (IS) under a fuzzy perspective. Preventive safeguards can be implemented to reduce the risk associated with potential threats in IS, whereas palliative safeguards reduce the probability of failure transmission through the assets network. However, safeguards have associated costs and a selection process has then to be carried out. We describe optimization problems associated with different perspectives on the selection of safeguards and propose solution techniques based on dynamic programming and the use of metaheuristics.

Metodología para la implementación de un Sistema de Gestión de Seguridad de la Información basado en la familia de normas ISO/IEC 27000

“…Identificar los activos dentro del alcance del SGSI: Las organizaciones cuentan con una gran cantidad y variedad de activos tecnológicos, y tratar de establecer y clasificar estos activos puede ser una tarea de grandes proporciones, sobre todo en aquellas grandes organizaciones, ya que es probable que existan terabytes de datos electrónicos, almacenes de documentos y miles de personas y dispositivos que hacen parte de los activos tecnológicos (ISACA, 2012 Es necesario tener en cuenta que el valor de los activos se concentra generalmente en unos pocos, en especial en aquellos activos terminales (información, servicios, procesos) dadas las relaciones de dependencia que existen entre los activos primarios o terminales y los activos de soporte (Jiménez-martín, Vicente, & Mateos, 2015).…”