1 CALIDAD Y TÉCNICAS DE EVALUACIÓN DE LOS SISTEMAS UNIDAD IINTRODUCCIÓN A LA EVALUACIÓN DE PROYECTOS INFORMÁTICOS Y A LA GESTIÓN DE PROCESOS TI PIERRE SERGEI ZUPPA AZÚA

2 PROCESOS BÁSICOS DE GESTIÓN DE TINivel de Estratégico: procesos de Estrategia Gobierno de TI. Nivel Operativo: Cadena de valor para el cliente: G. Demanda G. Proyectos G. Aplicaciones G. Explotación G. Infraestructura G. del Servicio. Nivel de Soporte: procesos transversales de Soporte Monitorización Gestión de Proveedores.

3 SÍNTOMAS DE UN PROYECTO EN CRISISBaja comunicación. Planeación y administración inadecuada. Requerimientos inestables. Falta de entrenamiento. Cronograma no realista /no realizable. Alta rotación del personal. Uso inadecuado de recursos. Ambiente de trabajo inadecuado. Personal atado a tecnología obsoleta. Carencia de compromiso a largo plazo. Baja implicación o compromiso de los participantes.  Baja definición de roles y responsabilidades

4 FASE DE PREOCUPACIÓN EN UN PROYECTO

5 DIAGRAMA DE ACCIÓN Fin 1. Identificación Acciones correctivas2. Análisis de la No conformidad potencial u oportunidad de mejora Acciones correctivas Deben ocurrir cuando un problema surge. 3. Ejecución de la acción preventiva Acciones preventivas Cuando ocurren cambios en el proyecto que no fueron previstos. 4. Cierre de la acción preventiva ¿Conforme? 5. Seguimiento ¿Conforme? Fin

6 DETECCIÓN DE PROBLEMAS EN UN PROYECTO

7 FACTORES CRÍTICOS PARA EJECUTAR UNA RECUPERACIÓNCompromiso. Habilidades. Capacidades. Entendimiento verdadero. Revisión. FODA. Manejo de la política.

8 LEY DE MORPHY Si algo puede salir mal, saldrá mal, en el peor momento y en el peor lugar. Todo suceso malo, es susceptible de empeorar. Cambiar de cola siempre produce el efecto de enlentecer en la que te encuentras. Si requieres de un tiempo limitado para realizar un proyecto, requerirás como mínimo del doble. Siempre existirá usuarios que ofrezcan resistencia al cambio. El número de incidencias con un usuario es inversamente proporcional a su descontento con el proyecto. Cualquier grado de seguridad impuesto será vulnerado a la primera. A mayor diferencia tecnológica con clientes y proveedores, mayor necesidad de integración con ellos. A mayor violación de las obligaciones legales, mayor necesidad de aparentar legalidad. A la creencia de menor necesidad del cambio tecnológico, mayor es ésta.

9 CUADRO DE RIESGOS Componentes Niveles Desempeño Soporte CostoCalendarización Catastrófico Crítica Marginal Despreciable

10 TIPOS DE ANÁLISIS Cuantitativo CualitativoEvalúa la prioridad de los riesgos identificados mediante valores numéricos para los costes de daños y controles de seguridad. Impacto sobre los objetivos como: Costos. Cronograma. Alcance. Calidad. Establece un rango de valores para determinar los costos de daños y controles de seguridad. La matriz de probabilidad e impacto puede usarse para clasificar los riesgos según su importancia individual. La prioridad de los riesgos puede establecerse para el: Costo. Tiempo. Alcance. Calidad.

11 MÉTODOS CUALITATIVOS Listas de chequeos. Análisis preliminar de riesgos PHA. What if?. Análisis de modo de falla y efecto FMEA. HAZID. HPA. HAZOP.

12 METODOLOGÍA DE EVALUACIÓN DE RIESGOSelección de ámbitos e identificación de activos Asociación de amenazas y vulnerabilidades a activos Ejecución de la evaluación de riesgos Plan de tratamiento de riesgos

13 MARCO REFERENCIAL INTERNACIONALISO 31000:2009 Principles and Guidelines on Implementation ISO/IEC 31010:2009 Risk Management - Risk Assessment Techniques ISO Guide 73:2009 Risk Management - Vocabulary

14 MODELOS DE CÁLCULO DE RIESGO

15 MODELO PRAGMÁTICO DE RIESGORiesgo = Amenaza * Vulnerabilidad * Impacto SI Amenaza Alta, Media, Baja  3,2,1 Vulnerabilidad  Alta, Media, Baja  3,2,1 Impacto  Alto, Medio, Bajo  3,2,1 ENTONCES Riesgo  (3x3x3) ... (1x1x1) 

16 ESTIMACIÓN DE RIESGOS Probabilidad

17 ESTIMACIÓN DE RIESGOS Impacto

18 MODELO DE CÁLCULO DE RIESGOFactores del Riesgo Frecuencia de la Pérdida Frecuencia de la amenaza Tiempo de Contacto No Programada Programada Única vez Periódica Acción del atacante Beneficio Esfuerzo Sanción / Pena Vulnerabilidad Fortaleza de los controles Capacidad de la Amenaza Impacto Impacto Primario Según Activo Criticidad Costo Sensitividad Reputación Competitividad Compliance General Según Amenaza Competencia Acción Acceso Uso indebido Divulgación Modificación DoS Interna / Externa Impacto Secundario Según Organización Tiempo Debido Cuidado Respuesta Contención Remediación Recuperación Detección Factores Externos Legal y Regulatorio Competidores Medio Accionistas

19 OBJETIVO DE EVALUACIÓN DE RIESGOSeleccionar aquellos controles que permitan mitigar los riesgos no tolerables hasta niveles aceptables para la organización.

20 CICLO DE MITIGACIÓN DE RIESGOSAgente de la amenaza Activa Amenaza Puede explotar Vulnerabilidad Evidencia Interviene directamente RIESGO Protección Puede ser contrarrestado Activo Puede Dañar Exposición Representa una

21 GESTIÓN DE RIESGOS (ISO 31000)

22 GESTIÓN DE RIESGOS

23 Vulnerabilidades Amenazas ANÁLISIS DE RIESGO SalvaguardasNiveles de riesgo de la organización

24 ANÁLISIS DE RIESGO Cubre las necesidades de Seguridad de la organización considerando: Recursos económicos. Recursos humanos. Inversión proporcional al riesgo. Objetividad. Tomas de decisiones. Criterios Definidos Usos sucesivos Comparación Inventario de riesgos.

25 SGSI METODOLOGÍA BENEFICIOSAnalizar y ordenar la estructura de los sistemas de información. Definición de procedimientos de trabajo para mantener su seguridad. Controles que permitan medir la eficiencia de las medidas tomadas. Reducción de riesgos. Ahorro de los costos por el aprovechamiento de los recursos. Seguridad. Cumplimiento con la legislación vigente. Respetar los derechos de nuestros clientes y proveedores. Evitar infracciones y sanciones. Mejorar la competitividad en el mercado. Medir la eficiencia de las medidas tomadas. Controlar el CID (Confidencialidad, Integridad y Disponibilidad) para mejora la imagen

26 FASES DE IMPLEMENTACIÓNConcienciación y formación Organización de la seguridad Política de seguridad Alcance Debe contar la empresa con una estructura organizativa. Se diseña de acuerdo a los objetivos, necesidades y estructura de la empresa

27 NIVELES DE DOCUMENTACIÓNPolíticas Procedimientos Instrucciones Registros Objetivo Generales Desarrollo de los objetivos Comandos técnicos Indicadores, métrica

28 TÉCNICAS DE IDENTIFICACIÓN DE RIESGOSTécnicas de Recopilación de Información Tormenta de ideas Técnica Delphi Entrevistas Técnica de organización de información Diagramas de afinidad Análisis mediante lista de control Análisis de suposiciones Técnicas de diagramación Diagramas de causa y efecto Diagramas de flujo o de sistemas Diagramas de influencias

29 TÉCNICAS DE ANÁLISIS DE RIESGOSAnálisis cualitativo análisis cuantitativo Técnica Delphi Matriz probabilidad – impacto CBA (Cost Benefit Analysis) Modelado y Simulación Análisis del valor ganado Árboles de decisión Análisis de sensibilidad

30 METODOLOGÍA ANÁLISIS DE RIESGOSMAGERIT OCTAVE NIST ª