El análisis de riesgos informáticos identifica activos, vulnerabilidades y amenazas para determinar los controles necesarios para reducir riesgos. El proceso genera una matriz de riesgo que evalúa activos, requisitos legales, amenazas, vulnerabilidades y riesgos para establecer una política de seguridad que defina reglas, procedimientos de respuesta y roles para proteger los sistemas de forma que no interfiera con el trabajo.

1. Análisis de Riesgos Informáticos
El análisis de riesgos informáticos es un proceso que comprende
la identificación de activos informáticos, sus vulnerabilidades y
amenazas a los que se encuentran expuestos así como su probabilidad
de ocurrencia y el impacto de las mismas, a fin de determinar los
controles adecuados para aceptar, disminuir, transferir o evitar la
ocurrencia del riesgo.
El proceso de análisis de riesgo genera habitualmente un documento al
cual se le conoce como matriz de riesgo. Como se describe en el BS ISO
/ IEC 27001:2005, la evaluación del riesgo incluye las siguientes
acciones y actividades.
Identificación de los activos
Identificación de los requisitos legales y de negocios que son
relevantes para la identificación de los activos
Valoración de los activos identificados
Teniendo en cuenta los requisitos legales identificados de
negocios y el impacto de una pérdida de confidencialidad,
integridad y disponibilidad.
Identificación de las amenazas y vulnerabilidades importantes
para los activos identificados.
Evaluación del riesgo, de las amenazas y las vulnerabilidades a
ocurrir.
Cálculo del riesgo.
Evaluación de los riesgos frente a una escala de riesgo
preestablecidos '

2. ELEMENROS
Activo. Es un objeto o recurso de valor empleado en una
empresa u organización
Amenaza. Es un evento que puede causar un incidente de
seguridad en una empresa u organización produciendo pérdidas
o daños potenciales en sus activos.
Vulnerabilidad. Es una debilidad que puede ser explotada con
la materialización de una o varias amenazas a un activo.
Riesgo. Es la probabilidad de ocurrencia de un evento que puede
ocasionar un daño potencial a servicios, recursos o sistemas de
una empresa.
Análisis. Examinar o descomponer un todo detallando cada uno
de los elementos que lo forman a fin de terminar la relación entre
sus principios y elementos.
Control. Es un mecanismo de seguridad de prevención y
corrección empleado para disminuir las vulnerabilidades
Puesta en marcha de una política de seguridad
Generalmente se ocupa exclusivamente a asegurar los derechos de
acceso a los datos y recursos con las herramientas de control y
mecanismos de identificación. Estos mecanismos permiten saber que
los operadores tienen sólo los permisos que se les dio.
La seguridad informática debe ser estudiada para que no impida el
trabajo de los operadores en lo que les es necesario y que puedan
utilizar el sistema informático con toda confianza. Por eso en lo
referente a elaborar una política de seguridad, conviene:
Elaborar reglas y procedimientos para cada servicio de la
organización.
Definir las acciones a emprender y elegir las personas a contactar
en caso de detectar una posible intrusión

3. Sensibilizar a los operadores con los problemas ligados con la
seguridad de los sistemas informáticos.
Los derechos de acceso de los operadores deben ser definidos por los
responsables jerárquicos y no por los administradores informáticos, los
cuales tienen que conseguir que los recursos y derechos de acceso sean
coherentes con la política de seguridad definida. Además, como el
administrador suele ser el único en conocer perfectamente el sistema,
tiene que derivar a la directiva cualquier problema e información
relevante sobre la seguridad, y eventualmente aconsejar estrategias a
poner en marcha, así como ser el punto de entrada de la comunicación
a los trabajadores sobre problemas y recomendaciones en término de
seguridad informática