Modelo de evaluación del riesgo informático aplicando las metodologías MAGERIT y NIST SP 800-30

Information risk assessment model base don MAGERIT and NIST SP 800-30

Resumen

Los avances tecnológicos han mejorado los procesos institucionales; sin embargo, también han incrementado la exposición a riesgos de seguridad de la información. Cuando no existen medidas de seguridad adecuadas, las instituciones se vuelven más vulnerables a diversas amenazas. En este contexto, se realizó una evaluación de riesgos de seguridad de la información en la infraestructura de hardware del área de Tecnologías de la Información y la Comunicación de la Universidad Técnica Luis Vargas Torres de Esmeraldas, mediante la aplicación de las metodologías MAGERIT versión 3 y NIST SP 800-30. Para la evaluación se utilizó la herramienta Pilar, la cual soporta las cuatro fases del método MAGERIT: caracterización de los activos, identificación de amenazas, análisis de salvaguardas y estimación del estado del riesgo. De forma complementaria, la metodología NIST SP 800-30 orientó las etapas de preparación de la evaluación, realizar la evaluación que incluyó cinco actividades y comunicación de resultados. La evaluación identificó riesgos asociados a la infraestructura y permitió determinar los niveles de riesgo presentes en los activos tecnológicos. Con base en estos resultados, se estableció la necesidad de implementar un plan de tratamiento que reduzca los riesgos a niveles aceptables mediante la aplicación de salvaguardas y controles alineados con la norma ISO/IEC 27001:2022.