¿Existe una lista genérica de riesgos de TI que se pueda usar como referencia para preparar un informe de evaluación de riesgos de TI? [cerrado]

0

Estoy trabajando en mi primera asignación de Evaluación de riesgos de TI y, aunque tengo los pasos necesarios y la comprensión del sistema en el que estoy trabajando, me preguntaba si había una lista de riesgos de TI genéricos asociados con diferentes sistemas de TI. Esto se debe a que uno no tiene que comenzar desde cero para cada evaluación que comience. Dado que las evaluaciones de riesgos de TI se han realizado durante mucho tiempo, es lógico que haya una lista compilada por alguien que pueda utilizarse como referencia. Por ejemplo, si estoy trabajando en un tipo de servidor cliente de evaluación de aplicaciones, puedo consultar todos los riesgos asociados con el cliente y el servidor.

La búsqueda en Google no produjo ningún resultado en el que estuviera interesado, pero podría estar buscando el término incorrecto. Le agradecería que alguien me refiriera a tal recurso.

Gracias.

    
pregunta AdnanG 11.08.2013 - 05:36
fuente

3 respuestas

1

try estas guías de BSI que brindan una descripción casi completa de lo que una empresa puede hacer / tiene que hacer cuando la ejecuta de cualquier manera.

y luego querrá consultar SANS Reading Room y NIST; Sé que publicaron lo siguiente:

  • Guía técnica para pruebas y evaluaciones de seguridad de la información
  • Seguridad de la información de la pequeña empresa: los fundamentos
  • Guía de seguridad general del servidor

y muchos más, pero no encuentro ninguna referencia en el cajero automático (y su sitio web es una mierda :)

    
respondido por el that guy from over there 12.08.2013 - 08:19
fuente
2

Como usted sospecha, este es un problema de terminología. Probablemente estés buscando listas de vulnerabilidades, pero para estar seguro, me gustaría explicar un poco más.

Me temo que todo es bastante complicado, ¡pero al final merece la pena!

Antes de comenzar, debo señalar que hay muchos enfoques diferentes para la seguridad de la información que pueden tener su propia terminología (yo también soy un hombre ISO 27000). Por lo tanto, otras respuestas pueden usar una redacción diferente.

Por lo tanto, tiene su sistema en el que está trabajando y desea protegerlo de los daños: eso es la Seguridad de la información, la protección sistemática de la información de los daños.

Para que ocurra un daño, tiene que haber dos cosas. Una "amenaza", que es alguien que causará daño (ya sea deliberadamente o por accidente), y una "vulnerabilidad" que es una forma en que la amenaza puede hacer daño.

Dos ejemplos: Su competidor ("amenaza") accede a su sistema a través de una inyección SQL ("vulnerabilidad") para robar su lista de clientes ("daño", específicamente una "pérdida de confidencialidad")

Joe en el envío ("amenaza") no puede descubrir cómo funciona su sistema ("vulnerabilidad") y siempre pone el valor incorrecto para la configuración de la manivela del widget. ("daño" - específicamente "pérdida de integridad").

Puede encontrar listas de amenazas y listas de vulnerabilidades en línea.

Sin embargo, las amenazas tienden a ser más fáciles de descubrir, ¿quién podría querer dañar tu sistema de manera realista? ¿Quién podría dañar accidentalmente tu sistema?

Por lo general, encuentras listas de vulnerabilidades. El top ten de OWASP es un excelente lugar para comenzar.

¿Dónde entra el riesgo en esto, entonces? El riesgo es una medida que combina la probabilidad de que una amenaza explote una vulnerabilidad con el daño que se produciría si lo hicieran.

La evaluación de riesgos se utiliza para determinar qué combinaciones de amenazas y vulnerabilidades tienen un riesgo mayor que el que usted quiere aceptar, por lo que sabe que necesita "tratarlas", hacer algo al respecto.

Por ejemplo, si todos sus competidores son honestos, y usted está manejando cuidadosamente su entrada de SQL, y todos saben quiénes son sus clientes de todas formas, entonces el riesgo en el ejemplo uno es muy bajo y por lo tanto no vale la pena preocuparse. (Bueno, al menos no vale la pena gastar dinero).

Alternativamente, si Joe es descuidado y la configuración incorrecta de la manivela del widget hará que su producto se incendie, entonces el riesgo es alto, y usted debe hacer algo sobre el Ejemplo 2 lo antes posible.

Esta es la cuestión, sin embargo, cada evaluación de riesgo es bastante única porque las amenazas y vulnerabilidades que enfrenta están en una combinación única. Algo así como la lista OWASP no es un atajo. Es más una lista de cosas que debe revisar para asegurarse de que no se haya perdido ninguna de ellas.

    
respondido por el Graham Hill 11.08.2013 - 17:19
fuente
1

Si está trabajando para una organización mediana a grande, he tenido mucha suerte con los Estándares de Buenas Prácticas ISF ( enlace ). El ISF SoGP proporciona un "marco de control" mediante el cual puede medir y evaluar su organización y el rastreo de SoGP a las normas ISO, COBIT, etc. relevantes.

La dificultad de pedir "lista de riesgos de TI" es que las amenazas a las que se enfrenta su organización serán completamente diferentes a las mías. Por lo tanto, mi respuesta sería un consejo en cuanto a los controles que tiene establecidos y los riesgos a los que se enfrenta su organización cuando los controles no estén en su lugar.

    
respondido por el Callum Wilson 12.08.2013 - 13:43
fuente

Lea otras preguntas en las etiquetas