ANLISIS DE RIESGOS

Para realizar el proceso de anlisis y evaluacin de riesgos, se debe proceder de

la siguiente manera:

Primero tener en cuenta la tabla consolidada de las vulnerabilidades, amenazas y

riesgos que fueron detectados inicialmente.
Como cada estudiante est trabajando en un proceso CobIT que ha seleccionado,
deber tomar en cuenta esta lista de riesgos consolidada y de ella debe extraer los
riesgos que aplican para el proceso que est evaluando. Para este caso del
ejemplo se han enumerado algunos riesgos de diferentes procesos para que no
sean copiados directamente y se analice de la lista de riesgos que estn en el
trabajo colaborativo 1, los que estn dentro de cada proceso que trabaja el
estudiante.

RIESGOS:
1.
2.
3.
4.
5.
6.
7.
8.
9.

Instalacin de programas sin fines acadmicos

Equipos con bajo rendimiento
Dao en el sistema elctrico de los equipos de computo
Insatisfaccin por parte de estudiantes que hacen uso del servicio internet
de la universidad
No hay una hoja de vida de la existencia de los equipos
La ventilacin del aula no es la adecuada
No existe monitorio continuo de software instalado en los equipos de
computo
Robo de partes de los equipos de computo
No es posible detectar movimientos fraudulentos a los equipos de cmputo

Una vez se tiene identificados los riesgos en cada proceso, se hace una lista para
su posterior anlisis y evaluacin, para ello hay que tener en cuenta que la
evaluacin se hace por probabilidad de que llegue a ocurrir el riesgo o la
frecuencia con que est sucediendo el problema y por otro lado el impacto que
puede ocurrir de llegar a suceder ese evento o en caso de concretarse la falla.
La probabilidad tiene su escala de medicin y se refiere a la frecuencia con se
presenta el problema en un periodo de tiempo determinado, es decir el nmero de
veces que el problema se presenta en un ao, mes o semana de acuerdo a la
escala de tiempo elegida. Por ejemplo la frecuencia de que se presente un virus
en los computadores puede llegar a darse una o varias veces en la semana, un

corte de energa puede presentarse una vez cada dos meses, el dao de un
equipo puede presentarse cada seis meses. De acuerdo a estas escalas se debe
hacer la medicin teniendo la escala de valoracin cualitativa (alto, medio, bajo)
El impacto se refiere a lo que puede llegar a suceder en la empresa o un rea
especfica si la falla se presenta y que consecuencias traera a toda la
organizacin o a determinados procesos. Para este caso hay que analizar si el
problema una vez se ha concretado afecta a toda la organizacin, a un macro
proceso o un rea de la empresa, o si por el contrario solo afecta a una persona o
proceso en la empresa.
Para este caso la escala definida es leve si solamente afecta a una persona o
proceso, moderado si afecta a un grupo de personas o un macro proceso o un
rea funcional, o puede ser catastrfico si afecta a toda la empresa.

MATRIZ DE PROBABILIDAD DE IMPACTO

PROBABILIDAD

Matriz de probabilidad de ocurrencia e impacto segn relevancia del proceso

Alto
61-100%
Medio
31-60%
Bajo
0-30%

Zona de Riesgo
Moderado

Zona de riesgo
Importante

Zona de riesgo
Inaceptable

Zona de riesgo
Tolerable

Zona de riesgo
Moderado

Zona de riesgo
Importante

Zona de riesgo
Aceptable
Leve

Zona de riesgo
Tolerable
Moderado

Zona de riesgo Moderado

IMPACTO

Catastrfico

ANALISIS Y EVALUACIN DE RIESGOS

N

Descripcin

Probabilidad
Impacto
Baja Media Alta Leve Moderado Catastrfico
X
X

R1 Instalacin de
programas sin fines
acadmicos
R2 Equipos con bajo
rendimiento
R3 Dao en el sistema X
elctrico de los
equipos de computo
R4 Insatisfaccin por
parte de
estudiantes que
hacen uso del
servicio internet de
la universidad
R5 No hay una hoja de
vida de la existencia
de los equipos
R6 Sobrecalentamiento
de equipos de
computo
R7 No existe monitorio
continuo de
software instalado
en los equipos de
computo
R8 Robo de partes de
X
los equipos de
computo
R9 No es posible
X
detectar
movimientos
fraudulentos a los
equipos de cmputo

X
X

PROBABILIDAD

Resultado Matriz de riesgos para hardware

Alto
61-100%
Medio
31-60%
Bajo
0-30%

R3, R8

R4, R7

R1

R2, R5

R6

R9

Leve

Moderado

Catastrfico

IMPACTO

Menor impacto o probabilidad de ocurrencia

Probabilidad y ocurrencia media
Alta probabilidad de ocurrencia

Esta matriz se usar posteriormente para determinar el tratamiento de los riesgos

en cada proceso CobIT.