UNIVERSIDAD CIENTIFICA DEL SUR FACULTAD DE INGENIERIA DE SISTEMAS EMPRESARIALES

Aplicacin de un modelo de anlisis de riesgo

Informe de Investigacin, para el CursoINGENIERIA DE SOFTWARE

Presentado por:GEAN MARCO DEL AGUILAEDGAR REYESJONATHAN RAMIREZ

LIMA PERU 2015

DEDICATORIA

Dedicamos este trabajo de investigacin a nuestras familias, quienes son el pilar fundamental en nuestras vidas. Sin ellos, no hubiramos podido lograr lo que con mucho esfuerzo y apoyo hemos conseguido hasta ahora.

A Dios, quien est con nosotros en cada paso que damos y nos da la fortaleza de seguir adelante, a pesar de que el camino es duro, l nos gua y nos da sabidura para no claudicar y mantenernos firmes en nuestros objetivos.

A nuestros profesores, quienes nos guan en el aprendizaje y conocimiento para el desarrollo y desenvolvimiento de nuestras habilidades.

PRLOGO

Este trabajo de investigacin ha sido elaborado a partir de los textos relacionados al estudio de Anlisis de Riesgos que es un tema relacionado a la Ingeniera de software.

El objetivo del docente, es hacer que el estudiante domine, entienda como realizar un anlisis de riesgo en el desarrollo de un software.

Mediante este escrito, trataremos de explicar de manera clara y concisa de cmo realizar un buen anlisis de riesgos. Cabe mencionar que ningn concepto es de nuestra autora, simplemente se ha tratado de transmitir, de la forma ms clara posible, todo a lo que anlisis de riesgo se refiere.

INTRODUCCIN

Cada da que pasa va aumentando las incidencias con respecto a la seguridad en los sistemas de informacin y eso compromete a las ganancias de las empresas.

Las amenazas cada vez son mayores a diferencia que en la actualizad los enemigos son mucho ms rpidos y atrevidos y en muchas ocasiones difciles de detectar. Es por esta razn que las empresas deben tomar acciones y estar alertas e implementar sistemas de seguridad basados en un anlisis de riesgos para as evitar daos o situaciones no deseadas para la empresa.

Anlisis de Riesgos

Tambin conocidos como PHA (Process Hazards Analysis) es el encargado de estudiar las causas de las posibles amenazas, daos y consecuencias que se puedan producir.

Este anlisis es bastante utilizados como herramienta de gestin en estudios financieros y de seguridad para identificar riesgos y para evaluar riesgos.

Lo primero que se debe hacer es identificar los activos a proteger o evaluar. La evaluacin de los riesgos es comparar el nivel de riesgo detectado durante el proceso de anlisis con criterios de riesgo establecidos previamente.

La evaluacin consiste en ayudar a alcanzar un nivel razonable de consenso en torno a los objetivos para as asegurar un nivel mnimo que permita desarrollar indicadores operacionales a partir de los cuales medir y evaluar.

Cuando tengamos resultados obtenidos del anlisis nos permitir aplicar algn mtodo para darle tratamiento a los riesgos, que involucra identificar el conjunto de opciones que existen para tratar los riesgos, evaluarlas, disear planes para este tratamiento y ejecutarlos.

QUE ES UN RIESGO? En primer lugar, el riesgo concierne a lo que ocurra en el futuro. El hoy y el ayer no nos conciernen realmente, porque ahora ya estamos recogiendo los frutos de lo que sembramos en el pasado. La cuestin es si podemos, entonces, modificando nuestras acciones en este momento, crear una oportunidad para una situacin diferente y ms esperanzadora de nuestro maana. Esto significa, en segundo lugar, que el riesgo implica un cambio, que puede venir dado por cambio de opiniones, acciones o lugares. En tercer lugar, el riesgo implica una eleccin, y la falta de certeza de que la eleccin sea correcta. As, paradjicamente, el riesgo como la muerte o los impuestos, es una de las pocas cosas inevitables de la vida. [Charette, 1989] Un riesgo es la posibilidad de sufrir una prdida [SEI, 2004], sin embargo, en el entorno de la Ingeniera de Software, se prefiere hablar de la exposicin a una prdida debido a que se pretende considerar no solo la posibilidad de ocurrencia de un riesgo sino tambin su impacto asociado. Suele ser comn el confundir preocupaciones, riesgos y problemas: mientras que una preocupacin es cualquier situacin sobre la cual existen dudas al respecto en algn determinado contexto y que, por lo tanto, ser evaluada como un posible riesgo, un problema es un riesgo que, efectivamente, se ha producido.

Un riesgo se describe mediante una expresin en lenguaje natural que expresa la relacin entre una situacin real de proyecto y otra situacin no realizada. La primera parte de la definicin se denomina condicin y representa una situacin existente en el proyecto que el equipo prev que puede resultar en una prdida o en una reduccin de beneficios; mientras que la segunda parte de la declaracin se denomina consecuencia y describe la situacin no deseable para el proyecto que puede derivarse de la ocurrencia de la condicin. Las dos oraciones deben unirse a travs de algn indicador de relacin que d idea de incertidumbre y que a su vez implique una relacin de tipo causal, tales como por lo tanto o como consecuencia.

La Gestin de RiesgosUn efectivo proceso de gestin de riesgos es un importante componente en todo proyecto de desarrollo de software exitoso; el principal objetivo de dicho proceso lo constituye el posibilitar tanto al proyecto como a las organizaciones a las cules afecta el cumplimiento de su misin y de sus propsitos. La gestin de riesgos permite definir en forma estructurada, operacional y organizacional, una serie de actividades para gestionar los riesgos de los proyectos a lo largo de todas las fases de su ciclo de vida de desarrollo de software. En la mayor parte de los casos, esto se traduce en la creacin de planes tendientes a impedir que los riesgos se transformen en problemas o a minimizar su probabilidad de ocurrencia o impacto. [Wideman, 1998] destaca la importancia de la realizacin de una gestin de riesgos durante todo el ciclo de vida mediante el siguiente grfico que ilustra la relacin existente entre los riesgos y las diferentes fases del desarrollo.

Aun cuando la gestin de riesgos es fundamental para proyectos de cualquier tipo, para los proyectos de desarrollo de software, la gestin de riesgos constituye una actividad fundamental debido a que dichos emprendimientos se ven caracterizados por una serie de aspectos particulares que incrementan la presin sobre el proyecto a medida que dificultan la toma de decisiones de los responsables por la administracin, entre ellos: Las constantes presiones internas y externas. Los cambios normativos y la evolucin de las tcnicas que pueden derivar en una alteracin de los planes y de las estrategias. Los continuos y comunes cambios en los requerimientos de los usuarios. Las nuevas herramientas y tecnologas existentes en el mercado. Las peridicas amenazas de seguridad. La variabilidad de los equipos de proyecto. A nivel organizacional, una poltica de gestin de riesgos debera considerar, al menos, los siguientes aspectos [Motorola LMPS, 1999]: Todos los riesgos relacionados con los proyectos de desarrollo de software deben ser identificados, analizados, priorizados y revisados siguiendo un Plan de Gestin de Riesgos. El Plan de Gestin de Riesgos debe ser documentado apropiadamente, ya sea como un documento independiente o formando parte del Plan de Proyecto. Como consecuencia de los constantes cambios, la lista de los riesgos y la informacin relacionada con su estado actual e historia reciente, deben ser mantenidos en una Base de Datos de Riesgos de Proyecto separada. La informacin contenida en la Base de Datos de Riesgos debe ser utilizada para acrecentar la informacin contenida en una Base de Datos de Riesgos Organizacional. Segn American Systems Corporation [ASC, 2003], existen un conjunto de reglas bsicas relacionadas con la Gestin de Riesgos, las mismas se enumeran a continuacin: Regla #1: Los proyectos que no hacen gestin de riesgos se encuentran progresando a riesgo. Regla #2: La gestin de riesgos no es gratuita, es necesario comprometer recursos, establecer planes y procesos y disponer de reservas. Regla #3: Centralice las responsabilidades de gestin de riesgos porque la responsabilidad de administracin distribuida debe ser coordinada. Regla #4: Priorice los riesgos y concntrese en aquellos que sean ms crticos; a pesar de esto, todos los dems riesgos deberan contar con una estrategia de mitigacin. Regla #5: Los administradores de un proyecto son responsables por las acciones mientras que los administradores de los riesgos del proyecto son responsables por la identificacin y seguimiento de los riesgos. Regla #6: El proceso de gestin de riesgos debe definirse y seguirse de forma consistente en toda la organizacin. Todas las actividades deben ser tendientes a cumplimentar los requisitos de una poltica organizacional de gestin de riesgos. Finalmente, [Microsoft, 2002] ha definido una serie de principios bsicos sobre los cuales se debera basar un proceso de gestin de riesgos: Agilidad: La agilidad exige que los equipos de proyectos valoren ininterrumpidamente y administren de manera proactiva los riesgos durante todas las fases del ciclo de vida porque los continuos cambios en todas las facetas del proyecto implican, adems, cambios a nivel de los riesgos. Un enfoque proactivo permite que un equipo acepte los cambios y los transforme en una oportunidad. Potenciar la comunicacin: Los riesgos deberan discutirse de forma abierta, tanto dentro como fuera del equipo de proyecto. Todos los integrantes del equipo deben participar, en mayor o menor medida, de las diferentes tareas relacionadas con la gestin de riesgos. Los miembros de un equipo no deberan tener reservas de ningn tipo en comunicar sus opiniones con libertad para, de esta forma, evaluar con mayor precisin el estado del proyecto y tomar decisiones consensuadas. Aprender de todas las experiencias: Ya que el aprendizaje slo puede ayudar a mejorar los resultados, el conocimiento obtenido en un proyecto puede reducir la incertidumbre de la toma de decisiones en otros proyectos cuando la informacin es poco fiable. El anlisis directo de los resultados de proyectos anteriores fomenta el aprendizaje dentro del equipo mediante el intercambio de opiniones entre sus miembros. Participacin necesaria: La participacin activa en el proceso de gestin de riesgos es responsabilidad de todos los integrantes del equipo, aun cuando la responsabilidad por la administracin de los riesgos deba ser centralizada. Asimismo, los diferentes miembros del equipo de proyecto reciben asignaciones de tareas especficas de las cuales son responsables. El riesgo es inherente en cualquier proyecto o proceso: Aunque un proyecto puede tener ms o menos riesgos que otro, no existe ningn proyecto que no se vea amenazado por algn riesgo. Proactividad: La gestin de riesgos proactiva es la forma ms eficaz de hacer gestin de riesgos ya que posibilita: 1. Anticiparse a los problemas en lugar de reaccionar ante ellos. 2. Tratar la raz de un problema y no sus sntomas. 3. Reducir los tiempos de respuestas y minimizar el dao ocasionado por un problema en momentos de crisis La identificacin de un riesgo es algo positivo: Para llevar a cabo una gestin de riesgos de forma efectiva es preciso comprender los riesgos a los que se enfrenta el equipo del proyecto. Cuando la diversidad de los retos y la magnitud de las prdidas potenciales son muy evidentes, las actividades relacionadas con la identificacin de riesgos pueden influir negativamente en la moral de los miembros del equipo, algunos de los cuales pueden, incluso, tener la impresin de que dicha tarea agrega mayor complejidad a la consecucin final del proyecto. En realidad, el proceso de identificacin de riesgos permite al equipo gestionar los riesgos de forma ms eficaz ya que posibilita el ponerlos de manifiesto y de este modo poder tratarlos. Esto implica considerar los riesgos como la nica forma de crear la oportunidad adecuada para conseguir los objetivos del proyecto. Valoracin continua: Los cambios continuos en los proyectos y en los entornos operativos obligan a los equipos a realizar valoraciones frecuentes del estado de los riesgos existentes y a valorar o a actualizar los planes para prevenir o actuar ante ellos. Se debe buscar, adems, y de forma constante, la posible aparicin de nuevos riesgos. Las actividades de gestin de riesgos deben integrarse en el ciclo de vida general del proyecto. Primero especificar y luego administrar: El punto de conjuncin entre la gestin de riesgos y la toma de decisiones lo constituye la incertidumbre. Las definiciones genricas de un riesgo no hacen desaparecer la incertidumbre y dan lugar a distintas interpretaciones del mismo. Las definiciones que no dejan lugar a dudas permiten:1. Asegurar que todos los participantes comprenden el riesgo de la misma forma. 2. Comprender la causa o causas de los riesgos y la relacin con los problemas que puedan derivarse. 3. Disponer de una base para realizar un anlisis formal y cuantitativo y planear los esfuerzos asociados a las acciones relacionadas con el proceso de administracin del riesgo. 4. Aumentar la confianza que los patrocinadores tienen depositada en la capacidad del equipo.

Las situaciones no deben juzgarse slo por el nmero de riesgos: A pesar de que los miembros del equipo y los patrocinadores suelen percibir los elementos de riesgo como algo negativo, los proyectos nunca deben juzgarse por el nmero de riesgos detectados. Es importante recordar que, un riesgo es slo una posibilidad, no la certeza de una prdida ni un resultado por debajo de lo esperado.

La siguiente figura [Walker, 1998] ilustra la relacin existente entre un enfoque proactivo y un enfoque tradicional para el desarrollo de actividades de gestin de riesgos a lo largo del ciclo de vida de un proyecto de desarrollo de software.

En resumen, la gestin de riesgos se basa en la nocin de que los mismos deben tratarse de forma proactiva y de que dicha administracin forma parte de un proceso formal y sistemtico que debe considerarse como una iniciativa positiva.

Mtodos de anlisis de riesgosEn la actualidad existen 3 tipologas de mtodos que se emplean para determinar el nivel de riesgos de nuestro negocio, los mtodos son: Mtodos Cuantitativos Mtodos cualitativos. Mtodos Semicuantitativos.Mtodos cualitativos:- Se utiliza cuando el nivel de riesgo sea bajo y no justifica el tiempo y los recursos necesarios para hacer un anlisis completo.- Tambin cuando los datos numricos son inadecuados para un anlisis ms cuantitativo que sirva de base para un anlisis posterior y ms detallado del riesgo global del emprendedor.- Este mtodo de anlisis de riesgo es el ms utilizado para la toma de decisiones en proyectos empresariales, los emprendedores se apoyan en su juicio, experiencia e intuicin para la toma de decisiones.- Los mtodos Cualitativos Incluyen: Brainstorming (Aportacin de ideas) Evaluacin para grupos multidisciplinarios Cuestionario y entrevistas estructuradas. Juicio de especialistas y expertos (Tcnica Delphi)

Mtodos Semicuantitativos:- Se utilizan clasificaciones de palabra como alto, medio, o bajo, o descripciones ms detalladas de la probabilidad y la consecuencia.- Estas clasificaciones se demuestran en relacin con una escala apropiada para calcular el nivel de riesgo. Se debe poner atencin en la escala utilizada a fin de evitar malos entendidos o malas interpretaciones de los resultados del clculo.Mtodos Cuantitativos:Permiten asignar valores de ocurrencia a los diferentes riesgos identificados, en otras palabras calcular el nivel de riesgo del proyecto.Los mtodos cuantitativos incluyen: Anlisis de probabilidad Anlisis de consecuencias Simulacin computacional.Para desarrollar dichas medidas puede ser realizado mediante diferentes mecanismos, de cual destacamos el Mtodo Montecarlo y se caracteriza por: Sencillez para llevarlo a la prctica. Amplia visin para mostrar mltiples posibles escenarios. Computarizables para la realizacin de simulaciones.

Etapas del Anlisis de riesgo

Planificacin Identificacin de los activos Identificacin de las amenazas Anlisis de riesgos Determinacin de las polticas

Etapa 1: Planificacin: El objetivo principal de este proceso es establecer el marco general de referencia para todo el anlisis. Esta etapa incluye la estimacin de: Definir los objetivos del proceso de anlisis de riesgos. Personal tcnico: Personal cuya funcin es recabar la informacin y establecer las medidas necesarias para cumplir con el anlisis Usuarios: Son aquellas de quienes se recoger la informacin dentro de la organizacin. Tiempo estimado para realizar el anlisis y elaborar las polticas. Podra ser un diagrama de Gantt.

Etapa 2: Identificacin de los activos. Se denomina activos a los recursos del sistema de informacin o relacionados con este, necesarios para que la organizacin funcione correctamente y alcncelos objetivos propuestos por su direccin Cmo identificarlos?Conviene repetir que slo interesan los recursos de los sistemas de informacin que tienen un valor para la organizacin. A ttulo de ejemplo, un servidor donde se encuentre almacenada toda la informacin es un activo de mucho valor. Todo su valor es imputado: La indisponibilidad, la interrupcin del servicio es el valor de disponibilidad que se le imputara al servidor. El acceso no controlado al servidor pone en riesgo el proceso de los datos que presenta. El coste que suponga la prdida de confidencialidad de los datos es el valor de confidencialidad que se le imputara al servidor.

Tal vez la mejor forma de identificarlos los activos sea preguntar directamente. Qu activos son fundamentales para que la organizacin consiga sus objetivos? Hay ms activos que tengan que proteger por obligacin? Hay activos relacionados con los anteriores?

Etapa3: Identificacin de Amenazas.Proceso sistemtico: Para estimar la magnitud de los riesgos a que est expuestos un sistema de informacin.Activos asociados: Para el anlisis de los riesgos es necesario cumplir con: Identificacin de las amenazas, que acechan a los distintos componentes pertenecientes o relacionados con el sistema de informacin ms conocidos como activos.Dimensiones, son caractersticas o atributos que hacen valioso un activo. Las dimensiones se utilizan para valorar las consecuencias de la materializacin de una amenaza. La Valoracin que recibe un activo en una cierta dimensin es la medida del perjuicio para la organizacin si el activo se ve daado en dicha dimensin. Ejemplo sobre determinacin de Amenazas:Tipo de Amenaza: Fuego

Tipos de activos: Computadoras.Redes de comunicacin.Soportes de informacin.Equipamiento auxiliar.Instalaciones.Dimensiones:Disponibilidad

Descripcin: Incendio: Posibilidad de que el fuego acabe con los recursos del sistema

Etapa 4: Anlisis de riesgosEstimacin de riesgos: Estimacin de riesgo es determinante en este proceso ya que ellos por un lado se refieren a la concrecin de una amenaza sobre un activo y, por el otro de ellos se desprendern las polticas necesarias para intentar mitigar esos riesgos.Tomando en cuenta la dimensin en la que se ve afectado un activo, podemos describir el riesgo y el valor que tiene para la organizacin la prdida de un activo.Ejemplo de estimacin de los riesgos:Amenaza: Fallas no intencionales causados por los usuarios

Tipos de activos

Datos / Informacin Aplicaciones

Dimensiones

DisponibilidadIntegridadRiesgos

- Prdida de la informacin.

- Modificacin de los datos a ser procesados.

- Des configuracin de alguna aplicacin.

Descripcin: Equivocaciones de las Personas cuando usan los servicios, datos, etc.

BIBLIOGRAFIAhttp://www2.itba.edu.ar/archivos/secciones/maniasi-tesisdemagister.pdfhttp://www.amicus.udesa.edu.ar/documentos/6jornada/documentos/pdf/PONENCIA%20MISIONES%20RIESGOS%20Web2.0.pdf