MAGERIT V3 y PILAR en el Reino de los Riesgos

Abordamos una nueva temporada analizando la metodología MAGERIT V3 para el desarrollo del proceso de análisis y gestión de riesgos, así como PILAR, plataforma de automatización del proceso que, con sus fans y haters, aporta un alto valor añadido y ayudas automatizadas al modelado de todos los acores y a los cálculos relacionados. Yo soy fan.

METODOLOGÍA MAGERIT V3

MAGERIT, Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) fue creada por el Consejo Superior de Administración Electrónica del Gobierno de España y, a la fecha, está vigente su versión 3.

Está incluida en el catálogo de metodologías de Análisis y Gestión de Riesgos (AGR en adelante) de ENISA (European Union Agency for Cibersecurity):

https://www.enisa.europa.eu/topics/risk-management/current-risk/risk-management-inventory/rm-ra-methods/m_magerit.html)

Ha sido adoptada principalmente por la Administración Pública, si bien es aplicable a todos los sectores.

En mi opinión, es una metodología muy completa que permite representar en detalle los activos de una organización y sus dependencias, lo que facilita unas valoraciones precisas  de dichos activos en base a su criticidad.

La documentación de MAGERIT es completa y detallada, contenida en tres documentos (Método, Catálogo y Guía de Técnicas), ofreciendo información relevante sobre los fundamentos y bases matemáticas que sustentan la metodología.

ACTIVIDADES MAGERIT V3 (Libro I – Método)

Las actividades propuestas son las habituales en todas las metodologías AGR de referencia, si bien MAGERIT V3 distingue entre “activos esenciales” y “activos de soporte”.

1. Identificación de los activos esenciales: es decir, la información que se trata y los servicios que se prestan
2. Valoración de las necesidades o niveles de seguridad requeridos por cada activo esencial en cada dimensión de seguridad (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad).
3. Identificación de los demás activos del sistema, denominados activos de soporte, incluyendo personal, aplicaciones, servidores, comunicaciones / redes, servicios en la nube, CPDs, etc, que materializan los activos esenciales. Debe determinarse un nivel de granularidad de los activos que permita una gestión adecuada de sus riesgos sin generar un número de activos inmanejable.
4. Establecimiento del valor (o nivel requerido de seguridad) de los demás activos en función de su relación con los activos esenciales (idealmente mediante identificación de las dependencias).
5. Identificación de amenazas posibles sobre los activos (ver documento “Catálogo”).
6. Estimación de las consecuencias que se derivarían de la materialización de dichas amenazas.
7. Estimación de la probabilidad de que dichas amenazas se materialicen
8. Estimación de los impactos y riesgos potenciales, inherentes al
9. Identificación de las salvaguardas apropiadas para atajar los impactos y riesgos
10. Valoración del despliegue de las salvaguardas
11. Estimación de los valores de impacto y riesgo residuales = nivel de impacto y riesgo que aún soporta el sistema tras el despliegue de las salvaguardas.
12. Comparación de los valores de riesgo residual con los valores aceptables por la Organización. En caso de no ser aceptables, iterar nuevamente desde el punto 9 hasta llegar a niveles aceptables. Estos niveles aceptables deben establecerse, modificarse (en su caso) y aprobarse por los estamentos directivos de la Organización.

MAGERIT V3 EN SU CONTEXTO

Dentro del concepto “análisis y gestión de riesgos” existen diferentes metodologías y aproximaciones para su materialización, principalmente OCTAVE, CRAMM, NIST SP800-30, CLUSIF MEHARI e ISO/IEC 31000:2018+ISO/IEC 27005:2022. Los fundamentos de todas ellas contienen numerosas similitudes, si bien este artículo no tiene como objetivo analizarlas ni compararlas.

Los marcos normativos y estándares para la construcción de un SGSI no están asociados a metodología AGR concretas, siendo decisión de cada entidad la elección de aquélla que consideren adecuada a su SGSI concreto. Sin embargo, es una realidad que los SGSI de la Administración Pública española, basados en el ENS, suelen seleccionar MAGERIT V3, mientras que los SGSI basados en ISO/IEC 27001:2022 suelen desarrollar su AGR sobre ISO/IEC 31000:2018+ISO/IEC 27005:2022.

Continuar leyendo…