Information Risk Management and Compliance Chapter 2
2.10.13 Riesgo residualLos riesgos que permanecen aun despus de
que se han diseado controles y contramedidas se denominan riesgos
residuales.
Copyright 2013 ISACA. Todos los derechos reservados.1Contenidos
a Enfatizar: Los niveles aceptables de riesgo se establecen como
parte del desarrollo de una estrategia de seguridad de la
informacin, como se describi en el captulo 1. Si no se desarrolla
una estrategia, la gerencia debe determinar los niveles de riesgo
aceptables por lo general en trminos de impactos permitidos. Los
riesgos residuales que excedan este nivel deben ser tratados
adicionalmente con la opcin de mitigacin adicional mediante la
implementacin de controles ms estrictos. Los riesgos residuales que
estn por debajo de este nivel debern evaluarse para determinar si
se est aplicando un nivel excesivo de contramedidas o controles y
si es posible ahorrar en los costos mediante su eliminacin o
modificacin.
Pginas de Referencia del Manual de Preparacin al Examen: Pg.
118
2.10.13 Riesgo residual Para la aceptacin definitiva del riesgo
residual debe tenerse en cuenta lo siguiente:Cumplimiento
regulatorio.La poltica organizacional.Sensibilidad y criticidad de
los activos relevantes.Niveles aceptables de los posibles
impactos.Incertidumbre en el enfoque mismo de la valoracin de
riesgos.Costo y eficacia de la implementacin.
Copyright 2013 ISACA. Todos los derechos reservados.2Directivas
para el Instructor: Asegrese de que los candidatos comprendan el
concepto de riesgo residual y porqu podra existir.
Pginas de Referencia del Manual de Preparacin al Examen: Pg.
1182.10.14 Costos y beneficiosCuando se planean los controles o
contramedidas, una organizacin debe considerar los costos y los
beneficios de la implementacin:Si el costo de los controles o
contramedidas (gastos indirectos por controles) excede los
beneficios, una organizacin puede decidir aceptar el riesgo en vez
de incurrir en costos adicionales para proteger sus
sistemas.Copyright 2013 ISACA. Todos los derechos
reservados.3Pginas de Referencia del Manual de Preparacin al
Examen: Pg. 118Cuando se evalan los costos debe tomarse en cuenta
el costo total de propiedad (TCO) para todo el ciclo de vida del
control o de la contramedida. Esto puede incluir elementos
como:Costos por adquisicin.Costos por configuracin e
implementacin.Costos de mantenimiento recurrentes.Costos de
evaluacin y prueba.Monitoreo y realizacin de
cumplimiento.Inconvenientes para los usuarios.Rendimiento reducido
de los procesos controlados.Capacitacin sobre nuevos procedimientos
o tecnologas cuando sea aplicable.Desactivacin del servicio por fin
de la vida til.2.10.14 Costos y beneficiosCopyright 2013 ISACA.
Todos los derechos reservados.4Pginas de Referencia del Manual de
Preparacin al Examen: Pgs. 1192.10.15 Re-evaluacin del riesgo de
eventos que afectan los niveles mnimos de seguridadSe deben
establecer procesos de monitoreo para advertir sobre eventos que
podran impactar el programa de seguridad.
Actualizar los niveles mnimos de seguridad cuando:Un proveedor
identifica algn problema en el software que impacta en el grado de
seguridad requerido por la organizacin.Eventos externos como
protestas o conflictos.Copyright 2013 ISACA. Todos los derechos
reservados.Pginas de Referencia del Manual de Preparacin al Examen:
Pgs. 11952.11.2 Metodologas de valuacin de los recursos de
informacinLa valoracin del activo/recurso puede ser complejo y
consumir tiempo, pero es un compromiso esencial requerido para un
programa efectivo de gestin de riesgos de la informacin.Las
diversas metodologas de valoracin de recursos de la informacin
utilizan diferentes variables.Estas variables pueden incluir el
nivel de complejidad tcnica y el nivel posible de prdida financiera
directa y consecuencial.Emitir un juicio de valoracin incluye una
toma de decisin basada en el conocimiento del negocio, las
directrices de la gerencia ejecutiva, las perspectivas histricas,
las metas del negocio y los factores ambientales.Muchos gerentes de
sistemas de informacin utilizan una combinacin de tcnicas.
Copyright 2013 ISACA. Todos los derechos reservados.6Contenidos
a Enfatizar: La valoracin del activo/recurso puede ser complejo y
consumir tiempo, pero es un compromiso esencial requerido para un
programa efectivo de gestin de riesgos de la informacin. Las
diversas metodologas de valoracin de recursos de la informacin
utilizan diferentes variables. Estas variables pueden incluir el
nivel de complejidad tcnica y el nivel posible de prdida financiera
directa y consecuencial. Por lo general, las evaluaciones
cuantitativas son las ms precisas, pero an pueden resultar bastante
complejas una vez que se han analizado los efectos reales y aguas
abajo. Otra de las formas de evaluacin que a veces se utiliza es de
naturaleza crtica o cualitativa, donde una decisin independiente se
realiza en base al conocimiento del negocio, los directivos de la
gerencia ejecutiva, las perspectivas histricas, las metas del
negocio y los factores ambientales. Hay situaciones en las cuales
los datos cuantitativos no estn disponibles y conviene utilizar
este mtodo alternativo. Muchos gerentes de sistemas de informacin
utilizan una combinacin de tcnicas. En algunos casos, la simple
asignacin de valor basada en una escala subjetiva de valores como
bajo, medio y alto puede ser satisfactoria.
Pginas de Referencia del Manual de Preparacin al Examen: Pg.
120
