Analisis De Matriz De Riesgo Grupo 3.docx

ANALISIS DE MATRIZ DE RIESGO GRUPO 3.

SERVICIO NACIONAL DE APRENDIZAJE - SENA SANTIAGO DE CALI. 2018 ANALISIS DE MATRIZ DE RIESGO.

RIESGO 1. Versión obsoleta de sistema operativo Windows. Soporte hasta 08 de abril de 2014. Complementar la descripción del riesgo ya que el origen de este es el uso de una aplicación que sólo corre sobre la versión de Windows XP. Como el riesgo no está bien redactado, entonces la mitigación y el plan de contingencia no corresponden a un plan adecuado para solucionar el riesgo.

RIESGO 2. Uso compartido de las contraseñas por parte de los usuarios. No se define un plan de contingencia para este riesgo y que el propietario de la mitigación no debe ser solamente el usuario final, sino que esta responsabilidad debe ser compartida con el administrador de la red.

RIESGO 3. Copias de seguridad en disco duro extraíble expuesto. El plan de contingencia que definieron, debería ser tomado como la mitigación; por lo que un plan de contingencia ideal sería tener un segundo disco de Backups y que tanto el disco principal como el de respaldo estén en un lugar seguro y bajo algún mecanismo de acceso.

RIESGO 4. Explosión o incendio debido a fallas eléctricas o recalentamiento de los dispositivos. El plan de contingencia definido no se ajusta al riesgo ni a su mitigación. En cuanto al propietario del riesgo y la mitigación no debería asignarse simplemente al administrador de red, sino que debería compartirse la responsabilidad con el área de mantenimiento. En cuanto a la decisión con el riesgo, además de reducir se debe tener en cuenta la opción evitar.

RIESGO 5. Falla de equipos de cómputo. Complementar la descripción del riesgo ya que no especifica el tipo de falla presentada.

La mitigación y la contingencia abarcan el mismo plan de acción, pensamos que como mitigación debería establecerse el mantenimiento de equipos y como contingencia la reparación inmediata de la falla como tal.

RIESGO 6. Hurto de información. Complementar la descripción del riesgo. En cuanto a la mitigación, al revisar las políticas se tuvo que encontrar el punto vulnerado para acceder a la red y robar información, ya habiendo detectado esto el plan de contingencia tendría que enfocarse hacia esta vulnerabilidad.

RIESGO 7. Cableado de red defectuoso La mitigación y la contingencia abarcan el mismo plan de acción, pensamos que como mitigación deberían reparar el cableado y como contingencia se haría el reemplazo.

RIESGO 8. Mal estado de los equipos. Básicamente es similar al riesgo 5. Nuevamente la mitigación y la contingencia abarcan el mismo plan de acción, pensamos que como mitigación deberían reparar equipos en lo posible y como contingencia se haría el reemplazo.

RIESGO 9. Falta de normas y /o reglas claras. Habla de normas y reglas, pero no define el contexto de las mismas. Carecer de normas y reglas en una compañía, significa un riesgo elevado para la información lo que supone una probabilidad y un impacto altos, lo cual no coincide con lo expresado en la matriz elaborada por los compañeros. No se estableció plan de contingencia para el riesgo. RIESGO 10. Equipos de red expuestos. No definen a qué tipo de exposición están sujetos los equipos de red.

La mitigación no es clara y concisa, además se carece de contingencia. Tanto el propietario de la mitigación y la contingencia sería el administrador de red. RIESGO 11. Equipos sin cifrar fuera de las instalaciones. La descripción es muy general y no tipifica los equipos que están sin cifrar. No se estableció plan de contingencia para el riesgo. Tanto el propietario de la mitigación y la contingencia sería el administrador de red.

CONCLUSIÓN. Se han detectado riesgos relevantes, pero se han quedado cortos en la descripción de estos para diligenciar correctamente la matriz, pues algunos carecen de contingencia que es un factor crucial al materializarse el riesgo, pues define las acciones a tomar y en este caso simplemente terminan aceptando el riesgo en vez de evitarlo, reducirlo o transferirlo. Por otro lado, el campo calificación está sin diligenciar y la matriz también carece de los campos controles del progreso de la mitigación como de informes mensuales de estado, aspectos claves para llevar a cabo una correcta y completa administración del riesgo.