Análisis de riesgos con MAGERIT,

en versión ligera y con plantilla

Gobernanza y normativa  |  unfantasmaenelsistema.com

MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología de referencia en España para el análisis de riesgos de seguridad, publicada por el Consejo Superior de Administración Electrónica y mantenida hoy por el Centro Criptológico Nacional. Es también la metodología que subyace al análisis de riesgos que exige el Esquema Nacional de Seguridad. Y tiene fama merecida de ser un ladrillo: la documentación oficial ocupa varios libros, define un catálogo de decenas de tipos de activo y de amenazas, y puede parecer pensada para un departamento de riesgos con tiempo ilimitado, no para un equipo técnico que necesita un análisis razonable la semana que viene.

La buena noticia es que el núcleo conceptual de MAGERIT cabe en una tarde de trabajo si se aplica con criterio: no hace falta el catálogo completo de amenazas ni la herramienta PILAR para producir un análisis de riesgos útil, defendible y alineado con la metodología oficial. Este artículo explica ese núcleo —activos, dimensiones de valoración, amenazas, degradación, salvaguardas y riesgo residual— y cierra con una plantilla mínima de hoja de cálculo para empezar hoy mismo.

1. El modelo: activos y dependencias

MAGERIT no analiza el riesgo de «la empresa» en abstracto: lo analiza activo por activo, entendiendo por activo cualquier componente del sistema de información que tiene valor para la organización. El catálogo oficial distingue varios tipos —datos e información, servicios, software (aplicaciones), hardware, redes de comunicaciones, soportes de información, equipamiento auxiliar, instalaciones y personal— pero para un análisis ligero basta con identificar los activos que de verdad importan: los servicios que presta la organización, los datos que manejan esos servicios, y las piezas técnicas de las que dependen.

La pieza conceptual más importante, y la que más se salta cuando se hace un análisis deprisa, es la dependencia entre activos. Un servicio (por ejemplo, «facturación online») depende de una aplicación, que depende de un servidor, que depende de una red y de una sala con climatización. El riesgo no vive solo en el activo superior: se propaga hacia arriba. Si el servidor de base de datos se ve comprometido, el riesgo no es «del servidor», es del servicio de facturación completo, y de todo lo que dependa de ese servicio a su vez. Dibujar ese árbol de dependencias, aunque sea a mano y con cuatro niveles, es lo que convierte una lista de inventario en un análisis de riesgos.

• Activos esenciales: los servicios y la información — lo que la organización realmente ofrece y protege; su valor se establece de forma directa
• Activos de soporte: aplicaciones, equipos, redes, instalaciones y personas — su valor se hereda de los activos esenciales que sostienen, no se inventa de forma independiente
• Regla práctica: si no se puede explicar de qué depende un activo y a qué servicio sirve, todavía no está listo para entrar en la tabla de riesgos

2. Dimensiones de valoración: CIDAT

MAGERIT valora cada activo esencial en cinco dimensiones de seguridad, resumidas con el acrónimo CIDAT (el mismo que reutiliza el ENS, no es casualidad: el análisis de riesgos del Esquema Nacional de Seguridad está construido sobre MAGERIT). Un mismo activo puede tener una valoración alta en una dimensión y baja en otra: un histórico de logs técnicos puede ser poco crítico en confidencialidad pero muy crítico en trazabilidad si hay una investigación forense de por medio.

La escala habitual de MAGERIT valora cada dimensión de 0 a 10 (o, de forma simplificada, en niveles bajo/medio/alto/muy alto), y el criterio de valoración debe ser explícito: no es «me parece que esto es importante», es «si esta base de datos de clientes se filtra, el impacto reputacional y regulatorio corresponde a una valoración alta en confidencialidad». Un análisis ligero puede quedarse con tres niveles (bajo/medio/alto) sin perder rigor metodológico, siempre que el criterio de cada nivel quede escrito una vez y se aplique igual a todos los activos.

3. Amenazas, degradación y vulnerabilidad: el riesgo potencial

Con los activos valorados, el siguiente paso es identificar qué amenazas pueden materializarse sobre cada uno. El catálogo oficial de MAGERIT agrupa las amenazas en grandes familias — desastres naturales, de origen industrial, errores y fallos no intencionados, y ataques intencionados — con decenas de amenazas concretas dentro de cada una. Para un análisis ligero conviene seleccionar, por activo, solo las amenazas realmente plausibles: un servidor en un centro de datos con control de acceso físico no necesita valorar «robo físico» con el mismo detalle que un portátil corporativo.

Por cada pareja activo-amenaza se estiman dos factores. La degradación es qué porcentaje del valor del activo se pierde si la amenaza se materializa (no toda amenaza destruye el 100 % del valor: un fallo eléctrico breve degrada la disponibilidad, pero no la confidencialidad). La probabilidad (o frecuencia estimada) es cada cuánto es razonable esperar que la amenaza ocurra sobre ese activo concreto, expresada normalmente en una escala cualitativa (muy baja, baja, media, alta, muy alta) que se traduce a un valor numérico para el cálculo.

El riesgo potencial (también llamado riesgo intrínseco) es el resultado de combinar impacto (valor del activo, degradado según la amenaza) y probabilidad, sin tener en cuenta las salvaguardas que ya existen. Es el riesgo que tendría la organización si no hubiera hecho nada todavía — el punto de partida que permite medir, más adelante, cuánto reduce realmente cada control.

4. Salvaguardas y riesgo residual

Las salvaguardas (o controles) son las medidas que ya están en marcha: un firewall, copias de seguridad probadas, un procedimiento de gestión de parches, formación del personal. MAGERIT pide valorar dos cosas de cada salvaguarda: su eficacia (qué porcentaje del riesgo reduce realmente, no el que promete el fabricante) y su madurez (si está solo documentada, parcialmente implantada, implantada y operando, o además gestionada y medida — una escala de madurez similar a CMM). Una salvaguarda «que existe en el papel» pero no se prueba nunca aporta una eficacia real mucho menor que la misma salvaguarda con pruebas periódicas de restauración o de respuesta.

El riesgo residual es el riesgo que queda después de aplicar el efecto de las salvaguardas existentes sobre el riesgo potencial. Es la cifra que de verdad importa para decidir: un riesgo potencial alto con salvaguardas maduras y eficaces puede quedar en un riesgo residual bajo perfectamente asumible; un riesgo potencial medio sin ningún control real puede seguir siendo, en la práctica, el riesgo residual más urgente de toda la tabla.

5. El bucle de tratamiento: evitar, mitigar, transferir, aceptar

Una vez calculado el riesgo residual de cada pareja activo-amenaza, toca decidir qué hacer con él. MAGERIT (como la práctica general de gestión de riesgos, coherente con ISO 27005) reconoce cuatro estrategias de tratamiento, no mutuamente excluyentes entre distintos riesgos de la misma tabla.

La palabra clave en «aceptar» es documentado y firmado: aceptar un riesgo sin que quede recogido quién lo acepta, con qué justificación y hasta cuándo es válida esa aceptación, no es gestión de riesgos, es simplemente no hacer nada y no dejar rastro. El análisis de riesgos vuelve a repetirse de forma periódica (anual, o tras un cambio relevante) precisamente porque un riesgo aceptado hoy con un criterio razonable puede dejar de serlo si cambia el contexto —una nueva amenaza, un activo que gana criticidad, una salvaguarda que deja de mantenerse.

6. Priorizar con un mapa de calor

Con decenas de parejas activo-amenaza valoradas, la tabla en bruto es difícil de leer para tomar decisiones. El mapa de calor (heat map) es la forma habitual de visualizar el conjunto: un eje representa la probabilidad y el otro el impacto, cada riesgo se sitúa en su celda, y un código de color (verde/amarillo/naranja/rojo) señala de un vistazo qué riesgos exigen atención inmediata, cuáles pueden esperar al siguiente ciclo de presupuesto, y cuáles ya están en un nivel aceptado.

• Los riesgos en la zona roja (probabilidad e impacto altos) van primero, sin excepción, independientemente de lo que cueste tratarlos
• Los de la zona naranja (uno de los dos factores alto, el otro medio) se priorizan por coste y facilidad de mitigación — no todos entran en el mismo trimestre
• Los de la zona verde se documentan como aceptados y se revisan en el siguiente ciclo, no se ignoran por completo
• El mapa de calor es una herramienta de comunicación con dirección tanto como de gestión técnica: resume en una imagen lo que la tabla completa tarda media hora en explicar

7. MAGERIT frente a ISO 27005 y el análisis de riesgos del ENS

MAGERIT no compite con ISO/IEC 27005 (la norma internacional de gestión de riesgos de seguridad de la información): son compatibles porque ISO 27005 define el proceso a alto nivel (establecer el contexto, identificar, analizar, evaluar, tratar, monitorizar) sin imponer una metodología concreta de cálculo, mientras que MAGERIT sí concreta ese cálculo —el catálogo de activos, amenazas, las dimensiones CIDAT y las fórmulas de degradación— y por tanto puede usarse como la metodología que «rellena» el proceso que describe ISO 27005. Una organización certificada en ISO 27001 puede, y en España frecuentemente lo hace, apoyar su análisis de riesgos en MAGERIT sin ningún conflicto.

La relación con el Esquema Nacional de Seguridad es todavía más directa: el análisis de riesgos que exige el ENS para las categorías media y alta está construido explícitamente sobre el modelo MAGERIT, y la herramienta de referencia del CCN para automatizarlo —PILAR (y su versión ligera, μPILAR)— implementa la metodología tal cual. Quien ya haya trabajado con MAGERIT para el ENS reconoce de inmediato el mismo vocabulario (activos, dimensiones, degradación, salvaguardas) en cualquier otro análisis de riesgos que se le pida, y viceversa.

8. Plantilla mínima para empezar en una tarde

No hace falta PILAR para arrancar. Una hoja de cálculo con estas columnas, rellenada primero para los cinco o diez activos más críticos, ya es un análisis de riesgos con la estructura conceptual de MAGERIT completa. Se amplía después, activo a activo, en sucesivas iteraciones.

Con esa tabla rellena, el mapa de calor sale de forma casi automática (basta con graficar probabilidad frente a riesgo residual), y la columna de tratamiento con responsable y fecha es lo que convierte el análisis en un plan de acción real en vez de en un documento que se archiva y no se vuelve a mirar hasta la próxima auditoría.

Conclusión

MAGERIT parece un ladrillo porque la documentación oficial cubre todos los casos posibles, pero el núcleo que hace falta para un análisis de riesgos útil cabe en pocas ideas: valorar los activos en las dimensiones CIDAT, estimar cuánto degrada cada amenaza ese valor y con qué probabilidad, descontar el efecto real de las salvaguardas para llegar al riesgo residual, y decidir con criterio si se evita, se mitiga, se transfiere o se acepta cada riesgo que queda.

Empezar con una plantilla ligera sobre los activos más críticos, y ampliarla en iteraciones sucesivas, produce un análisis defendible desde el primer día — y, si más adelante hace falta escalarlo para el Esquema Nacional de Seguridad o para un SGSI ISO 27001, el vocabulario y la estructura ya son los correctos.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)