El análisis y gestión de riesgos constituye el núcleo de toda actuación en materia de seguridad sobre una organización.

El objetivo del curso es describir la secuencia de pasos necesarios sobre un sistema de información que nos permita:

· Estudiar los riesgos que soporta un sistema de información y el entorno asociable con él,  entendiendo por riesgo la posibilidad de que suceda un daño  o perjuicio.

· Recomendar las medidas apropiadas que deberían adoptarse para conocer, prevenir, impedir, reducir o controlar los riesgos investigados.

Estos pasos han sido descritos de forma genérica, sin entrar en detalles,  ni describir el cómo se desarrollaran. Para contar con una metodología completa, en una segunda fase deberán desarrollarse las guías, modelos, cuestionarios e instrucciones de trabajo necesarios que permitan realizar el trabajo de campo correspondiente a cada uno de los pasos descritos en la presente metodología.

Con el fin de cumplir con tales objetivos, se ha dividido la metodología en cinco fases:

· Fase A: Delimitar el entorno y complejidad del análisis de riesgos

En esta fase estableceremos y definiremos el marco general de referencia para el proyecto. Como resultado final obtendremos las cuestiones a desarrollar para el proyecto concreto así como la planificación del mismo.

· Fase B: Análisis de riesgos

En esta fase recogeremos toda la información necesaria para identificar las llamadas primitivas o conjunto de elementos relativos a la seguridad, las cuales nos permitirán analizar posteriormente  el riesgo. Mayoritariamente la recogida de información se efectuará mediante entrevistas personales, que nos permitirán recabar todos los datos necesarios. Las comprobaciones físicas y muestreos realizados sobre los Sistemas de Información completarán la recogida de información.

· Fase C: Gestión de riesgos

Esta fase tiene por objeto identificar y seleccionas las funciones de salvaguarda apropiadas para reducir el riesgo a un nivel aceptable.

· Fase D: Selección de salvaguardas

La fase tiene como objetivo la selección de los mecanismos de salvaguarda que materialicen las funciones de salvaguarda, respeten las restricciones y reduzcan los riesgos por debajo de los umbrales deseados.

· Fase E: Informes finales

Por último se elaborarán los informes correspondientes, donde se verán recogidos todos los puntos analizados en fases anteriores, así como las medidas de salvaguarda necesarias para la correcta gestión del dominio analizado.

La presente metodología ha utilizado como bibliografía principal a MAGERIT  del Ministerio de Administraciones Públicas de España