Análisis y gestión del riesgo en los sistemas de información: un enfoque borroso

Resumen

Las metodologías oficiales de análisis y gestión de riesgos en sistemas de información (SI), reguladas por las normativas internacionales de la serie ISO/IEC 27000, sugieren definir relaciones entre los activos del sistema, de modo que el ataque sobre uno de ellos se puede transmitir con cierta probabilidad a lo largo de toda la red, llegando a alcanzar a los activos más valiosos para la organización. De este modo, los activos de un SI constituyen los nodos de un grafo dirigido y acíclico en el que cada arco está ponderado por la probabilidad de transmisión de fallos entre dos activos. Por otro lado, deben considerarse el valor de los activos, la probabilidad de materialización de una amenaza y la degradación que ésta puede provocar sobre los activos, y deben establecerse indicadores de impacto y riesgo a partir de estas variables. Sin embargo, los expertos encargados de asignar tales valores a menudo aportan únicamente información imprecisa, de modo que la Lógica Borrosa puede ser muy útil en este ámbito. Es necesario facilitar a los expertos un método con el que puedan expresar de forma imprecisa sus juicios probabilísticos o sus valoraciones sobre los activos, y una vez obtenidos tales valores, hemos de construir algoritmos que nos permitan establecer, bajo este tratamiento borroso, los indicadores de impacto y riesgo para las amenazas que se ciernen sobre los activos de información. Finalmente, debemos encontrar un conjunto óptimo de salvaguardas que evite la materialización de una amenaza o disminuya la degradación provocada sobre los activos, reduciendo así el riesgo asociado al sistema. En esta tesis doctoral proponemos un enfoque borroso del análisis y gestión de riesgos en los SI que toma como base la metodología MAGERIT, establecida para adoptar las normas ISO/IEC 27000 en nuestro país. ABSTRACT Official information system (IS) risk analysis and management methodologies, regulated by the ISO/IEC family of international standards suggest defining relationships between system assets. Consequently, an attack on one asset has a certain probability of being propagated throughout the network and reaching the organization's most valuable assets. Thus, IS assets are the nodes of a directed and acyclic graph in which each edge is weighted by the probability of transmission between two assets. On the other hand, asset values, the threat probabilities and potential asset degradation, and impact and risk indicators should be established based on these variables. However, the experts responsible for assigning these values often provide only vague information. Fuzzy Logic can be very useful in this situation. Experts have need of a method to express their probabilistic judgments or asset valuations. Algorithms then have to be built that can use the resulting values to establish impact and risk indicators for potential threats to assets within this fuzzy environment. Finally, we have identified an optimal set of safeguards to prevent the materialization of a threat or reduce the resulting asset degradation, thereby reducing the risk associated with the system. In this PhD thesis we propose a fuzzy IS risk analysis and management approach that considers all these elements based on ISO / IEC 27000 standards, and particularly the Spanish MAGERIT methodology which is compliant international standards.