Risk analysis

Introducció#

Antigament una hipoteca o un préstec es formalitzava mitjançant un document en paper.

El cost del paper és ínfim, però el valor del document és tan important com el deute que acredita el document. Si el creditor perd aquest document, com pot acreditar que el deutor li deu aquesta quantitat de diners?

Als anys 90 del segle passat, un banc basc va decidir construir un magatzem on guardar tots aquests documents importants en una zona “teòricament” inundable, per la qual cosa el cost del terreny és molt més barat.

Una de les amenaces més importants per al paper és l’aigua perquè l’impacte sobre el paper pot ser del 100%.

Els “responsables” de seguretat van investigar sobre la possibilitat d’inundació i van descobrir que feia desenes d’anys que no n’havia succeït cap. Això sí, algun ancià recordava que quan era molt jove n’havia caigut una que…

Per tant, van considerar que la probabilitat del succés era zero, i per tant, el risc davant una amenaça d’aigua era zero.

Com el risc era zero, no van construir mesures preventives per evitar un risc d’inundació al magatzem (tota mesura de seguretat costa diners).

Pocs anys després hi va haver una pluja torrencial i el paper… 😒

Però com no van avisar als clients que havien perdut els documents que acreditaven els deutes… 😁

Què és una anàlisi de risc#

L’anàlisi de risc és el mètode per respondre dues preguntes amb fonament:

• l’impacte — què podria passar,
• el risc — què probablement passarà.

I es respon a partir de tres coses:

• els actius, els elements del sistema d’informació que sostenen la missió de l’organització,
• les amenaces, les coses que els poden passar,
• les salvaguardes, les mesures desplegades perquè aquelles amenaces no facin tant de mal.

Aquest és el model de MAGERIT, la metodologia d’anàlisi i gestió de riscos de l’Administració espanyola.

No és l’única — hi ha ISO 27005, NIST SP 800-30, OCTAVE — però és la que fa servir el sector públic a l’Estat, i per tant la que et demanaran.

Els passos#

1. Determinar els actius rellevants, com es relacionen entre ells i quant valen.
2. Determinar a quines amenaces estan exposats.
3. Determinar quines salvaguardes hi ha i com d’eficaces són.
4. Estimar l’impacte: el dany sobre l’actiu si l’amenaça es materialitza.
5. Estimar el risc: l’impacte ponderat per la probabilitat que passi.

Entre el pas 2 i el 3 s’hi calcula l’impacte i el risc potencials: els que hi hauria si no hi hagués cap salvaguarda.

És un escenari teòric, i és el que et diu quant t’estan servint les mesures que ja tens.

Actius#

Actiu. Component o funcionalitat d’un sistema d’informació susceptible de ser atacat deliberadament o accidental amb conseqüències per a l’organització.

— UNE 71504:2008

En un sistema d’informació només hi ha dues coses essencials:

• la informació que gestiona,
• els serveis que presta.

Tota la resta hi és per sostenir aquestes dues.

Dependències#

Els actius essencials depenen d’altres actius més prosaics: els servidors, la xarxa, les instal.lacions i les persones — que sempre s’obliden.

Un actiu superior depèn d’un actiu inferior quan la materialització d’una amenaça a l’inferior perjudica el superior.

Les capes habituals, de dalt a baix:

• actius essencials — informació i serveis
• serveis interns
• equipament informàtic — programari, maquinari, comunicacions, suports
• l’entorn — subministrament elèctric, climatització, mobiliari
• els serveis subcontractats
• les instal.lacions físiques
• el personal — usuaris, administradors, desenvolupadors

Les dependències es llegeixen en els dos sentits, i això és el que les fa útils:

• de dalt a baix, què necessita cada cosa per funcionar,
• de baix a dalt, com es propaga el dany quan una cosa falla.

El valor puja, el dany baixa

L’aplicació de notes d’un institut corre en un servidor, que és en un armari, que està endollat a la xarxa elèctrica.

Quant val la xarxa elèctrica de l’armari?

Mostra la solució

Val el mateix que les notes.

El valor d’un actiu és propi més acumulat: els actius inferiors acumulen el valor de tot el que s’hi recolza.

L’endoll no val el que costa l’endoll — val el que costa que caiguin les notes.

Per això no es pot pressupostar la seguretat mirant la factura del maquinari.