5. Ejecución del proyecto
5.2. Descripción de la adaptación propuesta
5.2.1. MARA.1 Caracterización de los activos
MARA.1. Caracterización de los activos
MARA.1.1. Definir un esquema para la clasificación de la información La norma ISO/IEC 27001 [2], establece que la información se debe clasificar en función de su valor y criticidad con el fin de garantizar que ésta reciba un nivel apropiado de protección de acuerdo con su importancia para la organización43
En relación con lo anterior, la sección 4.1 del documento [23] evidencia que MAGERIT V3 reconoce dos opciones para clasificar la información: el esquema nacional de España44 y el de la Unión Europea45. Sin embargo, por obvias razones,
ninguno estará alineado con la normativa colombiana, por lo cual resultarán inadecuados para gestionar los riesgos de la SI en procedimientos encargados de gestionar proyectos de investigación en la Universidad del Cauca.
Con esta actividad se pretende obtener un esquema que permita una adecuada clasificación de la información de acuerdo con lo establecido por la normativa colombiana y demás particularidades del contexto que rodea al caso de estudio. Objetivo: establecer un esquema para la clasificación de la información que sea
adecuado para el caso de estudio.
Productos de entrada: normativa colombiana relacionada con la clasificación de la información en instituciones públicas.
Productos de salida: esquema para la clasificación de la información. Guía:
43 Ver el control A.8.2 que sugiere la norma ISO/IEC 27001 [2] en su Anexo A.
44 Define 5 categorías: Secreta, Reservada, Confidencial, Difusión Limitada y Sin Clasificar. 45 Define 4 categorías: TRES SECRET UE, SECRET UE, CONFIDENTIEL UE, RESTREINT UE.
86 Ejecución del proyecto
En la sección 5.3.1 de la guía de recomendaciones sobre la adaptación de la metodología MAGERIT V3, se suministra un esquema para la clasificación de la información. Se recomienda usar este aporte o, bien, tomarlo como punto de partida para crear un nuevo esquema que se ajuste a las necesidades y particularidades del procedimiento sobre el cual se vayan a gestionar los riesgos de SI.
MARA.1. Caracterización de los activos
MARA.1.2. Definir la organización para la gestión del riesgo
Según el estándar ISO/IEC 27005 [5], el enfoque definido para la gestión de riesgos debe ser parte integral de todas las actividades de la organización en materia de la SI. Respecto a lo anterior, MAGERIT V3 solamente suministra una matriz de asignación de responsabilidades que, por ser tan genérica, no contempla la estructura organizacional de la Universidad del Cauca, por ende, no será apropiada para operar la gestión de riesgos de la SI en el caso de estudio.
En razón de lo expuesto, con esta actividad se buscara definir los roles y responsabilidades del personal involucrado en la gestión de riesgos, definiendo una organización que sea adecuada y que contemple la estructura de la Universidad del Cauca.
Objetivo: Definir la organización para la gestión de riesgos de la SI.
Productos de entrada: estructura organizacional de la Universidad del Cauca Productos de salida: una organización del personal que asigne claramente los
roles y responsabilidades del personal frente a las actividades de la gestión de riesgos
Guía:
Acoger las sugerencias suministradas por la sección 5.3.2 de la guía de recomendaciones sobre la adaptación de la metodología MAGERIT V3.
MARA.1. Caracterización de los activos
MARA.1.3. Definir los criterios para la valoración de activos
En [22], MAGERIT V3 manifiesta que la valoración no debe centrarse en el costo de adquisición o reposición de los activos, sino más bien en la importancia que estos tienen para la organización y en el nivel de protección que requieren. Respecto a lo anterior, el Centro Criptológico Nacional de España, en el marco del Esquema Nacional de Seguridad, sugiere, mediante la guía CCN-STIC-803 [50], un amplio conjunto de criterios que deberán ser adaptados al contexto normativo establecido por las leyes colombianas con el fin de adecuarlos al caso de estudio.
Tabla 5.2. Descripción de la actividad MARA 1.1
Descripción de la adaptación propuesta 87
En razón de lo expuesto, resulta necesario establecer el conjunto de criterios, que estando alineado con el contexto del caso de estudio, permita valorar los activos en términos de su importancia para la Universidad del Cauca y de las consecuencias que se pueden desencadenar en caso de que éstos se vean comprometidos.
Objetivo: Establecer un conjunto de criterios para la valoración de activos que se ajuste al contexto del caso de estudio.
Productos de entrada: los criterios propuestos por la guía CCN-STIC-803 [50] Productos de salida: un conjunto de criterios que, ajustados al contexto del caso
de estudio, permitan valorar los activos de información en términos de su importancia y de las consecuencias que sufriría la Universidad en caso de que éstos se vean comprometidos
Guía:
En el apartado 5.3.3, de la guía de recomendaciones sobre la adaptación de la metodología MAGERIT V3, se suministra una completa orientación en todo lo relacionado con la valoración de los activos. Así, en la sección 5.3.3 se propone un conjunto de criterios que ya se encuentra alineado con el contexto del caso de estudio. Se recomienda usar este aporte o, bien, tomarlo como punto de partida para ajustarlo a las necesidades y particularidades del procedimiento sobre el cual se vaya a gestionar los riesgos de SI.
Finalmente, en la sección 5.3.3 se describen las instrucciones para cargar PILAR con todos los criterios que aquí se definan y lograr, de esa manera, aprovechar todos los beneficios que se pueden obtener al usar esta herramienta durante la valoración de los activos.
MARA.1. Caracterización de los activos
MARA.1.4. Identificación de los activos
Con esta tarea se pretende identificar los activos vinculados al caso de estudio, determinando sus características y atributos; clasificación la información de acuerdo al esquema obtenido de la tarea MARA.1.1 y agrupando los demás activos según la tipificación suministrada por la metodología MAGERIT V3 en [23].
Objetivo: identificar los activos vinculados al caso de estudio.
Productos de entrada: los criterios propuestos por la guía CCN-STIC-803 [50] Productos de salida: relación de activos a considerar.
Guía:
Examinar, detenidamente, el documento del procedimiento para identificar los activos vinculados al caso de estudio, clasificando la información de acuerdo con el esquema obtenido de la tarea MARA.1.1. Se recomienda que, en lo posible, se complemente esta fuente de información con entrevistas y encuestas dirigidas al personal vinculado, en especial, al jefe de división responsable del caso de estudio.
88 Ejecución del proyecto
En la sección 5.3.1, de la guía de recomendaciones sobre la adaptación de la metodología MAGERIT V3, se expone una detallada guía en todo lo relacionado con la clasificación de activos.
Observaciones:
Cabe mencionar que la versión original de esta tarea define varios productos de entrada que fueron excluidos de la versión adaptada porque ya estaban incluidos en el documento del procedimiento. Dichos productos son: Inventario de información, inventario de servicios prestados, procesos de negocio, diagramas de flujo de datos. De igual manera, la versión original de esta actividad definía 3 salidas:
Relación de activos a considerar
Caracterización de los activos: valor propio y acumulado Relaciones entre activos
Sin embargo, el valor de los activos, y las relaciones o dependencias entre los mismos, sólo podrán ser determinadas una vez se hayan completado las actividades MARA.1.2: Identificación de dependencias entre activos y MARA.1.3:
Valoración de los Activos. Esta es la razón por la cual dichos elementos no fueron considerados como salida de esta tarea en su versión adaptada.
MARA.1. Caracterización de los activos
MARA.1.5. Identificación de dependencias
Con esta actividad se pretende identificar las dependencias existentes entre los activos, es decir la medida en que un activo de orden superior se puede ver perjudicado por una amenaza materializada sobre un activo de orden inferior. Objetivo: identificar las dependencias existentes entre los activos vinculados al caso
de estudio
Productos de entrada: el documento del procedimiento46 y el producto de la tarea
anterior: Relación de activos a considerar.
Productos de salida: diagrama de dependencias entre activos. Guía:
Seguir las orientaciones que MAGERIT V3 suministra en el capítulo 3 y la sección 8.3 del documento [22].
Observaciones:
Cabe mencionar que la versión original de esta tarea define varios productos de entrada que fueron excluidos de la versión adaptada porque ya estaban incluidos
46 incluye el diagrama de flujo del procedimiento, flujo de información y el inventario de información. Tabla 5.5. Descripción de la actividad MARA 1.4
Descripción de la adaptación propuesta 89
en el documento del procedimiento. Dichos productos son: procesos de negocio y diagramas de flujo de datos.
MARA.1. Caracterización de los activos
MARA.1.6. Valoración de los activos.
Con esta actividad se pretende valorar todas las dimensiones de los activos vinculados al caso de estudio. En [22], MAGERIT V3 manifiesta que la valoración no debe centrarse en el costo de adquisición o reposición de los activos, sino más bien en la importancia que estos tienen para la organización y en el nivel de protección que requieren.
Objetivo: valorar los activos vinculados al caso de estudio en términos de su importancia y del nivel de protección que éstos requieren.
Productos de entrada: los criterios para la valoración de activos definidos por la tarea MARA.1.3, y los productos de las tareas previas: “Relación de activos a considerar” y “Diagrama de dependencias entre activos”.
Productos de salida: el Modelo de Valor (informe del valor de los activos). Guía:
En [22] MAGERIT V3 declara que para lograr la valoración de los activos se debería entrevistar al personal vinculado en la ejecución del caso de estudio, en especial, a los directivos como el jefe de división responsable del caso de estudio. También se recomienda seguir las demás orientaciones brindadas por MAGERIT V3 suministra en el capítulo 3 del documento [22].