Gestión de activos de información y sus riesgos
El propósito de este módulo es la gestión de los activos de información y la gestión del ciclo de vida de sus riesgos asociados.
Respecto de la gestión del ciclo de vida de los activos:
- Establecemos uno o más Mapas de Activos: que consisten en sistemas de activos específicos con diferentes capas para representar agrupaciones de los activos según su gestión: capa de activos esenciales, capa de infraestructuras, capa de elementos de red, ....
- Configuramos tipos de activo: de acuerdo con su naturaleza. El tipo de activo nos permite especificar campos clave para un buen inventario de activos, características de clasificación del activo vinculado a medidas de seguridad, dimensiones de valor / riesgo que afectan a los activos encuadrados dentro de estos tipos, catálogos de medidas y de riesgos por defecto de los activos comprendidos dentro de estos tipos.
- Dimensiones de los activos: configuramos la dimensiones de los activos, sus criterios y tablas de valor y criterios y tablas de riesgo.
- Fichas de activo: con la información detallada según pertinencia al tipo de activos y sus relaciones entre activos para transmisión del valor derivado y del riesgo derivado.
- Disponemos de las correspondientes funciones para su alta / baja y actualización en el inventario de activos.
- Mantenemos registros de su valoración histórica y actual.
- Mantenemos registros de sus riesgos históricos y actuales.
- Disponemos de asignación de roles para los activos, entre ellos, su propietario.
Respecto a la gestión de los riesgos de los activos:
- Catálogos de amenazas: disponemos de catálogos de amenazas con su impacto en en las diferentes dimensiones para asignar a los tipos de activos y a los activos en concreto.
- Catálogos de medidas: vinculados a controles normativos, elementos de la organización (organigrama, procesos, actividades, indicadores, conceptos de gestión, ...) o al sistema documental (procedimientos, políticas, ...) que podemos asignar a los tipos de activos y a los activos en concreto.
- Análisis de madurez de las medidas: registro periódico de la evolución de la madurez de las medidas implementadas.
- Agrupación de activos: para el tratamiento de los riesgos como grupo y no como elementos individuales.
- Mapas de amenazas: mapas de amenazas por activo, amenaza, medidas tomadas para paliar la amenaza e histórico de riesgo.
- Abrimos evaluaciones de riesgo cada cierto tiempo. Para cada evaluación tenemos:
- La información asociada a la amenaza: medidas preventivas, vulnerabilidad, contramedidas (las medidas asociadas con su nivel de madurez)
- Por cada dimensión una valoración de la probabilidad y el impacto, que combinadas con el valor del activo para la dimensión, nos proporcionan el nivel de RIESGO.
- Planes de acción: que nos permiten abrir:
- Actuaciones, vinculadas con:
- Indicaciones
- Expedientes para coordinar actuaciones
- Acciones sobre medidas ya desplegadas para su maduración.
- Con planes de acción del módulo de espacios de trabajo
- Y con impacto de mejora esperado:
- Con una o más amenazas / dimensiones, estableciendo la mitigación esperada sobre probabilidad o impacto y la realmente obtenida.
- Actuaciones, vinculadas con:
