Concepto Gestion De Riesgo

Evaluación de Riesgos

Los riesgos se consideran tanto en ITIL V2 como en ITIL V3 en procesos diferentes sin que se prevea ningún proceso específico de Gestión del Riesgo. ITIL V3 exige mecanismos coordinados para el control de riesgos; por eso, en IT Process Maps decidimos introducir un proceso propio de Gestión del Riesgo en el Mapa de Procesos de ITIL V3. De este modo la responsabilidad del control de riesgos queda claramente regulada. Con la introducción de un proceso básico de Gestión del Riesgo también se crea la base para una nueva ampliación de la Gestión del Riesgo; ITIL recomienda en este sentido el marco M_o_R de OGC. 

Objetivo Procesal: Identificar, evaluar y controlar riesgos. Esto incluye el análisis del valor de los activos de la empresa, la identificación de amenazas a dichos activos y la evaluación de su vulnerabilidad ante esas amenazas.

Sin conocer cuáles son los riesgos reales a los que se enfrenta la infraestructura TI es imposible realizar una política de prevención y recuperación ante desastre mínima mente eficaz.

La Gestión de la Continuidad del Servicio debe enumerar y evaluar, dependiendo de su probabilidad e impacto, los diferentes riesgos factores de riesgo. Para ello la ITSCM debe:

• Conocer en profundidad la infraestructura TI y cuales son los elementos de configuración (CIs) involucrados en la prestación de cada servicio, especialmente los servicios TI críticos y estratégicos.
• Analizar las posibles amenazas y estimar su probabilidad.
• Detectar los puntos más vulnerables de la infraestructura TI.

En respuesta a las crecientes problemáticas, la gestión de riesgos de TI ha sufrido muchos cambios durante los últimos años. Sin embargo, más recientemente, la habilidad para definir y comunicar el marco de los riesgos de TI ha tomado mucha más relevancia. La disciplina de gestión de riesgos de TI se enmarca no solo dentro de los requerimientos regulatorios, sino también dentro de los de negocio. Un profesional de la gestión del riesgo TI debe ser especialista en tecnología y sistemas de gestión de seguridad de la información, y también tener un amplio conocimiento del negocio de la empresa en la que desarrolla su actividad. 

El reto actual del profesional de gestión de riesgos de TI se basa en definir un programa continuo, objetivo, repetible y medible, en el que la evaluación de costes, la valoración de activos y las métricas de rendimiento convivan de manera integrada con el resto de requerimientos corporativos. La creación del programa debe realizarse desde una perspectiva de arriba hacia abajo, totalmente enmarcada en la gestión global de los riesgos y respondiendo a los diferentes requerimientos de las distintas unidades de negocio, consiguiendo gestionar y definir unos controles flexibles y adaptables a los distintos tipos de riesgos y de requerimientos regulatorios que no obliguen a la organización de TI a reinventar las tareas, y los controles y las evidencias de cumplimiento.}

Evaluación de Mitigación de Riesgo Requerida 
Objetivo Procesal: Determinar dónde se necesitan medidas de mitigación de riesgo e identificar a los Responsables del Riesgo, quienes están a cargo de la implementación y el mantenimiento continuo.

Monitorización de Riesgo

Objetivo Procesal: Monitorear el progreso de la implementación de contramedidas, y tomar acción correctiva de ser necesario.

Registro de Riesgos

El Registro de Riesgos es una herramienta usada en el proceso de Gestión del Riesgo para tener una idea general de ciertos riesgos y sus respectivas contra medidas. 

El Gestor de Riesgos se ocupa de identificar, evaluar y controlar riesgos. Esto incluye el análisis del valor de activos de la empresa, la identificación de amenazas a esos activos y la evaluación de la vulnerabilidad de cada activo ante dichas amenazas.