Estudio para el desarrollo de un modelo de gestión de riesgos y seguridad de la información para instituciones militares

Abstract

Resumen .- Esta tesis propone un modelo de gestión de riesgos y seguridad de la información para instituciones militares. Para elaborar el marco de trabajo del modelo propuesto se partió de la norma ISO: 31000, con la fusión de los mejores elementos de dos metodologías de gestión de riesgos, MAGERIT v.3 y OCTAVE v.1, conformando las seis fases siguientes: Contexto Organizacional, Identificación de los Riesgos, Evaluación de los Riesgos, Tratamiento de los Riesgos, Comunicación, y Monitoreo y Revisión. Estas fases guiaran el análisis y administración de los riesgos en los siguientes ámbitos: evaluación de activos informáticos sujetos a riesgos, evaluación de servicios de seguridad o controles existentes, evaluación de vulnerabilidades ante amenazas identificadas, evaluación de amenazas o causas de riesgos, determinación y valoración del daño causado, estimación del nivel del riesgo y determinación de controles. Finalmente se evalúa el modelo de gestión de riesgos y seguridad de la información para instituciones militares en un caso de estudio. Abstract .- This thesis proposes a model of risk management and information security for military institutions. The development the framework of the proposed model was based on the ISO Standard 31000, with the fusion of the best elements of both methodologies of risk management MAGERIT v.3 and OCTAVE v.1, forming the following six phases: Organizational Context, Risk Identification, Risk Assessment, Risk Treatment, Communication, and Monitoring and Review. These steps will guide the analysis and management of risks in the following areas: evaluation of IT assets subject to risk, evaluation of safety services or existing controls, evaluation of vulnerabilities in front of identified threats, threat assessment or risk causes, determination and assessment of the damage caused, estimate the level of risk and determining controls. Model risk management and information security for military institutions is finally evaluated in a case study.