Resultados del análisis de riesgos EBIOS

Introducción

Este apéndice es la continuación del capítulo Análisis de riesgos con EBIOS.

Módulo 2: estudio de los acontecimientos temidos

1. Evaluación de los acontecimientos temidos

Análisis de todos los acontecimientos temidos

Cada línea de la siguiente tabla representa un evento temido por Cloud.es (activo esencial, criterio de seguridad, necesidad de seguridad según la escala de necesidades, fuentes de amenazas e impactos). La gravedad de cada evento crítico se estima (véase la escala de gravedad) sin tener en cuenta las medidas de seguridad existentes.

Evento temido	Necesidades de seguridad	Fuentes de amenazas	Impactos	Gravedad
Utilización de la infraestructura CLOUD-Infra
Indisponibilidad de la infraestructura CLOUD-INFRA	8-24h	Avería eléctrica Incendios de locales Virus no dirigidos Ataques Error de software Problema de hardware	Imposibilidad de disponer de la base técnica para hacer funcionar los servicios CLOUD-IAAS No hay solución APS disponible	3-Importante
Alteración de la infraestructura CLOUD-INFRA	Masterizado	Error de software Error humano	Avería parcial Pérdida de credibilidad	2-Limitado
Compromiso de la infraestructura CLOUD- INFRA	Reservado	Ataques	Divulgación de información confidencial Avería parcial o total Pérdida de credibilidad	3-Importante
Imposibilidad de auditar la infraestructura CLOUD-INFRA	Grabación	Error humano o material	Imposibilidad de identificar al responsable del tratamiento o del acceso a los datos, riesgo de ataque	3-Importante
Explotar el acceso a Internet
Falta de acceso a Internet	8-24h	Avería eléctrica Incendios de locales Virus no dirigidos Ataques Error de software Problema de hardware	No se pueden conectar clientes de Internet a CLOUD-INFRA Acceso remoto imposible	3-Importante
Alteración de la plataforma de Internet BGP	Masterizado	Error de software Error humano Ataques	Avería parcial Pérdida de credibilidad	3-Importante
Compromiso de la plataforma de Internet BGP	Reservado	Ataques	Divulgación de información confidencial Avería parcial o total Pérdida de credibilidad	2-Limitado
Imposibilidad de auditar la red de Internet	Registro	Error humano o material	Imposibilidad de identificar al responsable del tratamiento o del acceso a los datos, riesgo de ataque	2-Limitado
Utilización de los servicios de CLOUD-IAAS
Indisponibilidad de los servicios CLOUD-IAAS	8-24h	Avería eléctrica...

Módulo 3: estudio de escenarios de amenazas

El objetivo de este módulo es identificar sistemáticamente los modos de funcionamiento genéricos que pueden socavar la seguridad de la información en el ámbito del estudio: los escenarios de amenaza. La atención se centra en los activos de apoyo y no en los activos esenciales.

Análisis del escenario de amenazas

Se identifican las fuentes de amenazas que pueden dar lugar a los escenarios de amenaza y se estima la probabilidad de cada escenario de amenaza utilizando la escala de probabilidad.

Escenarios de amenaza	Fuentes de amenazas	Verosimilitud
SYS - Red CLOUD-INFRA
Amenazas a la red CLOUD-INFRA que causan tiempos de inactividad	Error humano Ataques Fallo de hardware Incendio de locales Un fenómeno natural Virus no dirigidos Mantenimiento informático	3 - Fuerte
Amenazas a la red CLOUD-INFRA que causan daños	Error humano Fallo de hardware Error de software	2 - Significativo
Amenazas a la red CLOUD-INFRA que provocan un compromiso	Error humano Ataque Error de software	2 - Significativo
Amenazas a la red CLOUD-INFRA que causan problemas de auditabilidad	Error humano Error material	2 - Significativo
SYS - Red CLOUD-IAAS
Amenazas a la red CLOUD-IAAS que causan tiempos de inactividad	Error humano Ataques Fallo de hardware Incendio de locales Fenómeno natural Virus no dirigidos Mantenimiento informático	3 - Fuerte
Amenazas a la red CLOUD-IAAS que causan daños	Error humano Fallo de hardware Error de software	2 - Significativo
Amenazas a la red CLOUD-IAAS que provocan un compromiso	Error humano Ataque Error de software	2 - Significativo
Amenazas a la red CLOUD-IAAS que provocan la imposibilidad de auditoría	Error humano Error material	2 - Significativo
SYS - Red de Internet
Amenazas a la red de Internet que causan indisponibilidad	Error humano Ataques Fallo de hardware Incendio de locales Un fenómeno natural Virus no dirigidos Mantenimiento informático	3 - Fuerte
Amenazas a la red de Internet que causan daños	Error humano Fallo de hardware Error de software	2 - Significativo
Amenazas a la red de Internet que ponen en peligro la seguridad	Error humano Ataque Error de software	2 - Significativo
Amenazas a la red de Internet que causan problemas de auditabilidad	Error humano...

Módulo 4: análisis de riesgos

1. Evaluación de riesgos

Cloud.es ha elaborado una lista de riesgos basada en los acontecimientos temidos y los escenarios de amenazas evaluados previamente.

Como los riesgos están vinculados al temido acontecimiento, hay un riesgo por cada línea del cuadro siguiente:

Evento temido	Gravedad	Escenarios de amenaza	Verosimilitud
Indisponibilidad de la infraestructura CLOUD- INFRA	3-Importante	Amenazas a la red CLOUD-INFRA que causan tiempos de inactividad	3 - Fuerte
Alteración de la infraestructura CLOUD-INFRA	2-Limitado	Amenazas a la red CLOUD-INFRA que causan daños	2 - Significativo
Compromiso de la infraestructura CLOUD-INFRA	3-Importante	Amenazas a la red CLOUD-INFRA que provocan un compromiso	2 - Significativo
Imposibilidad de auditar la infraestructura CLOUD-INFRA	3-Importante	Amenazas a la red CLOUD-INFRA que imposibilitan la auditoría	2 - Significativo
Indisponibilidad de la red de Internet en la explotación	3-Importante	Amenazas a la red INTERNET que causan indisponibilidad	3 - Fuerte
Cambios en la plataforma de Internet	3-Importante	Amenazas a la red INTERNET que causan daños	2 - Significativo
Compromiso de la plataforma de Internet	2-Limitado	Amenazas a la red INTERNET que ponen en peligro la seguridad	2 - Significativo
Imposible auditar la plataforma de Internet	2-Limitado	Amenazas a la red INTERNET que imposibilitan la auditoría	2 - Significativo
Indisponibilidad de la infraestructura CLOUD-IAAS en las operaciones	3-Importante	Amenazas a la red CLOUD-IAAS que causan tiempos de inactividad	3 - Fuerte
Alteración de la infraestructura CLOUD-IAAS	2-Críticas	Amenazas a la red CLOUD-IAAS que causan daños	2 - Significativo
Compromiso de la infraestructura CLOUD-IAAS	3-Críticas	Amenazas a la red CLOUD-IAAS causantes de un compromiso	2 - Significativo
Imposibilidad de auditar la infraestructura CLOUD-IAAS	3-importante	Amenazas a la red CLOUD-IAAS que imposibilitan la auditoría	2 - Significativo
Indisponibilidad de la red central TFC	2-Limitado	Amenazas a la red cental de TFC que causan indisponibilidad	2 - Significativo
Alteración de la red cental de TFC	2-Limitado	Amenazas a la red cental de TFC que causan daños	2 - Significativo
Compromiso de la red cental de TFC	2-Limitado	Amenazas a la red cental de TFC causantes de un compromiso	2 - Significativo
Imposible auditar la red cental de TFC	2-Limitado	Amenazas...

Módulo 5: estudio de las medidas de seguridad

Formalización de las medidas de seguridad que deben aplicarse

Determinar las medidas de seguridad

Riesgos prioritarios

Puede descargar un cuadro con la lista de medidas de seguridad destinadas a reducir o transferir los riesgos prioritarios.

Riesgos no prioritarios (excluida la auditabilidad)

El cuadro siguiente enumera las medidas de seguridad destinadas a reducir o transferir los riesgos no prioritarios.

Medidas de seguridad	R 15	R 16	R 17	R 18	R 19	R 20	R 21	R 22	R 23	R 24	R 25	Prevención	Protección	Recuperación
Sistema de intervención de enlaces de Internet BGP (intervención de proveedores 24/24)	x				x							x		x
Activación de una alarma de intrusión durante las horas de cierre del edificio	x	x	x	x	x	x	x	x				x
Dispositivo para proteger el acceso a los locales informáticos	x	x	x	x	x	x	x	x					x
Instrucciones de cierre para las oficinas de TFC	x	x	x	x	x	x	x	x	x	x	x		x
Sistema contra incendios	x	x	x	x	x	x	x	x					x
Aire acondicionado	x	x	x	x	x	x	x	x				x
Sistema de alimentación ininterrumpida	x	x	x	x	x								x
Instalación de sistemas cortafuegos	x	x	x	x	x	x	x						x
Instalación de software antivirus en estaciones de trabajo con W10	x	x	x	x	x	x	x	x				x
Instalación de software antivirus en los servidores Windows de los clientes	x	x	x	x	x							x
Sistema de detección de intrusos	x	x	x	x	x	x	x	x				x
Dispositivo para seguir y guardar las acciones de la sesión	x	x	x	x	x	x	x	x				x	x
Control de acceso mediante contraseña a través de un proxy de autenticación	x	x	x	x	x	x	x	x				x	x
Centralización en tiempo real de los registros en un servidor de registros	x	x	x	x	x	x	x	x						x
Copia de seguridad de los registros en un servidor de copia de seguridad	x	x	x	x	x	x	x	x						x
Archivado de registros en un servidor de archivo	x	x	x	x	x	x	x	x						x
Almacenamiento...