Modelos y marcos de referencia de gestión de riesgos en entornos digitales

Introducción 17

Capítulo 1 Una visión general de los riesgos digitales en la sociedad contemporánea 21

El convenio de Budapest y la lucha trasnacional contra los delitos informáticos 23

El Foro Económico Mundial y los reportes de riesgos 24

La ocde y sus recomendaciones para la gestión de riesgos de seguridad digital para la prosperidad económica y social 25

Principios generales 26

La Unión Internacional de Telecomunicaciones (itu) y el Índice Global de Ciberseguridad 28

El Índice Nacional de Seguridad Cibernética (ncsi) 29

Observatorio de Ciberseguridad de América Latina y el Caribe 32

El termómetro del avance del riesgo digital 32

Panorama general de los riesgos de tecnologías de información 35

Tipificación de los principales ataques y amenazas tecnológicas 36

La gestión de riesgos digitales en el contexto colombiano 41

Indicadores clave de riesgo (kri) en la gestión de riesgos digitales 43

Capítulo 2 La gestión de riesgos de tecnologías de información como disciplina 45

El itrm como parte del gobierno corporativo de las tecnologías de información 47

Principios, procesos y prácticas de gestión de riesgos de ti (grti) 48

Aspectos diferenciadores de un proceso de itrm frente a una gestión de riesgos genérica 49

La información, los servicios y la infraestructura tic como recursos objeto de protección del itrm 49

Los catálogos de amenazas 50

Los parámetros de evaluación del impacto del riesgo digital 50

La certificación crisc como impulsor de las competencias de riesgos de tecnologías de información 55

coso, gestión del riesgo empresarial: marco integrado 56

Responsabilidad social y gestión de riesgos 57

Análisis comparativo de los principales marcos de gestión de riesgos de tecnologías de información 58

Perfiles y roles ocupacionales de gestión de riesgos 59

Analista de riesgos de ti 59

Director de riesgos cibernéticos 61

Gestor de riesgos 64

Capítulo 3 Principales marcos de referencia y metodologías de gestión de riesgos de tecnologías de información 67

Riesgos de tecnologías de información y comunicaciones basados en cobit 68

Metodología de riesgos del nist 72

Alcances 72

Metodología 74

Metodología de riesgos de la iso/iec 27005 76

Metodología de riesgos magerit 79

Metodología 79

Metodología octave (Operationally Critical Threat, Asset and Vulnerability Evaluation) 86

Fases del método 88

Metodología mehari 89

Metodología de riesgos 90

Metodología 91

Metodología de evaluación del riesgo de la información (iram2) 98

etsi, método y proforma para el análisis de amenazas, vulnerabilidad, análisis de riesgos (tvra) 98

ebios Risk Manager (expresión de necesidades e identificación de objetivos de seguridad) 100

Marcos de gestión de riesgos en el sector público 101

Manual de seguridad de la acsc australiana 102

Marco interoperable de gestión de riesgos de la Unión Europea 103

Guía para la administración del riesgo y el diseño de controles en entidades públicas de Colombia 104

Gestión del conocimiento en la gestión de riesgos 105

Capítulo 4 Gestión de riesgos de ciberseguridad 111

Marco de ciberseguridad del nist 112

Identificar 113

Proteger 114

Detectar 115

Responder 115

Recuperar 116

Riesgos y controles de la iso 27032 116

Controles del centro para la seguridad de internet 117

Prácticas de ciberseguridad de isaca 118 Metodología fair (Factor Analysis of Information Risks) 119

Etapa 1: identificación de los componentes inherentes al (los) escenario(s) de riesgo 119

Etapa 2: evaluación de la frecuencia de eventos de pérdida 120

Etapa 3: evaluación de la magnitud de pérdida probable (plm) 121

Etapa 4: derivación y articulación del riesgo 121

Metodologías de riesgos de computación en la nube 122

Método coras Open Group 123

iso 31000 para gestión de riesgos 124

Guía para realizar la evaluación de riesgos de ciberseguridad para la infraestructura de información crítica en Singapur 124

Herramientas de apoyo para la adecuada identificación y valoración de riesgos 126

Metodologías ágiles para la gestión de riesgos 128

Capítulo 5 Modelo multipropósito de gestión de riesgos de tecnologías de información y comunicaciones 131

Definición del contexto 133

Definición del entorno objeto de análisis de riesgos 133

Identificación de activos 134

Modelado de amenazas 141

Catálogos de amenazas 142

Valoración de controles 145

Riesgos relacionados con tecnologías digitales emergentes 146

Big data 146

Inteligencia artificial (ia) 147

BlockChain (bc) 148

IoT - Seguridad para los sistemas de control y automatización industrial 149

Bibliografía 151

Anexos 157

Anexo 1. Catálogo de amenazas magerit 3.0 con estimación de vulnerabilidades 157

Anexo 2. Catálogo de amenazas iso 27005 163

Anexo 3. Guía para la administración del riesgo y el diseño de controles en entidades públicas 165

Anexo 4. Glosario de términos 166

Anexo 5. Análisis de cumplimiento de controles y riesgos de ti entre nist, cobit, cis, isa, iso 170 Índice temático 187