Mehatxuen zerrenda (Margerit)
Hurrengo mehatxuen zerrenda hau Margerit metodologiako elementuen bildumatik atera dugu.
Helburu bikoitzarekin:
- Arriskuen analisi eta kudeaketa prozesua erreztea
- Antzeko terminologia eta irizpideak elkarbanatzea
Lasai!
Honako hau aurkitu dugun arriskuen zerrenda ahalik eta osatuena da. Badakigu mehatxu guztiak ez direla kontutan hartzekoak ikastetxeen esparruan arriskuen analisia egiterakoan. Aztertu soilik beharrezkoak ikusten dituzuenak.
Amenazas
| Amenazas | Descripción | ||
|---|---|---|---|
| 5.1 | Desastres naturales | Sucesos que pueden ocurrir sin intervención de los seres humanos como causa directa o indirecta | |
| 5.1.1 | Fuego | Incendios: posibilidad de que el fuego acabe con recursos del sistema | |
| 5.1.2 | Daños por agua | Inundaciones: posibilidad de que el agua acabe con recursos del sistema | |
| 5.1.3 | Desastres naturales (otros) | Otros incidentes que se producen sin intervención humana: rayo, tormenta eléctrica, terremoto, ciclones, avalancha, etc. | |
| 5.2 | De origen industrial | Sucesos que pueden ocurrir de forma accidental, derivados de la actividad humana de tipo industrial. Estas amenazas pueden darse de forma accidental o deliberada | |
| 5.2.1 | Fuego | Incendios: posibilidad de que el fuego acabe con recursos del sistema | |
| 5.2.2 | Daños por agua | Inundaciones: posibilidad de que el agua acabe con recursos del sistema | |
| 5.2.3 | Desastres industriales (otros) | Otros desastres debidos a la actividad humana: explosiones, derrumbes, contaminación química, sobrecarga eléctrica, etc. | |
| 5.2.4 | Contaminación mecánica | Vibraciones, polvo, suciedad... | |
| 5.2.5 | Contaminación electromagnética | Interferencias de radio, campos magnéticos, luz ultravioleta, ... | |
| 5.2.6 | Avería de origen físico o lógico | Fallos en los equipos y/o fallos en los programas. Puede ser debida a un defecto de origen o sobrevenida durante el funcionamiento del sistema. | |
| 5.2.7 | Corte del suministro eléctrico | Cese de la alimentación de potencia | |
| 5.2.8 | Condiciones inadecuadas de temperatura o humedad | Deficiencias en la aclimatación de los locales, excediendo los márgenes de trabajo de los equipos: excesivo calor, excesivo frío, exceso de humedad, ... | |
| 5.2.9 | Fallo de servicios de comunicaciones | Cese de la capacidad de transmitir datos de un sitio a otro | |
| 5.2.10 | Interrupción de otros servicios esenciales | Otros servicios o recursos de los que depende la operación de los equipos; por ejemplo, papel para las impresoras, toner, refrigerante, ... | |
| 5.2.11 | Degradación de los soportes de almacenamiento de la información | Como consecuencia del paso del tiempo | |
| 5.2.12 | Emanaciones electromagnéticas | Hecho de poner vía radio datos internos a disposición de terceros. Es una amenaza donde el emisor es víctima pasiva del ataque. | |
| 5.3 | Errores y fallos no intencionados | Fallos no intencionales causados por las personas. | |
| 5.3.1 | Errores de los usuarios | Equivocaciones de las personas cuando usan los servicios, datos, etc | |
| 5.3.2 | Errores del administrador | Equivocaciones de personas con responsabilidades de instalación y operación | |
| 5.3.3 | Errores de monitorización | Inadecuado registro de actividades: falta de registros, registros incompletos, ... | |
| 5.3.4 | Errores de configuración | Introducción de datos de configuración erróneos. | |
| 5.3.5 | Deficiencias en la organización | Cuando no está claro quién tiene que hacer exactamente qué y cuándo, incluyendo tomar medidas sobre los activos o informar a la jerarquía de gestión. | |
| 5.3.6 | Difusión de software dañino | Propagación inocente de virus, espías (spyware), gusanos, troyanos, etc. | |
| 5.3.7 | Errores de (re-)encaminamietno | Envío de información a través de un sistema o una red usando, accidentalmente, una ruta incorrecta que lleve la información a donde o por donde no es debido | |
| 5.3.8 | Errores de secuencia | Alteración accidental del orden de los mensajes transmitidos. | |
| 5.3.9 | Escapes de información | La información llega accidentalmente al conocimiento de personas que no deberían tener conocimiento de ella, sin que la información en si misma se vea alterada | |
| 5.3.10 | Alteración accidental de la información | Alteración accidental de la información | |
| 5.3.11 | Destrucción de información | Pérdida accidental de información | |
| 5.3.12 | Fugas de información | Revelación por indiscreción. Incontinencia verbal, medios electrónicos, soporte papel, etc. | |
| 5.3.13 | Vulnerabilidades de los programas (software) | Defectos de código que dan pie a una operación defectuosa sin intención por parte del usuario pero con consecuencias sobre la integridad de los datos o la capacidad de la misma de operar | |
| 5.3.14 | Errores de mantenimiento / actualización de programas (sofware) | Defectos en los procedimientos o controles de actualización del código que permiten que sigan utilizándose programas con defectos conocidos y reparados por el fabricante | |
| 5.3.15 | Errores de mantenimiento / actualización de equipos (hardware) | Defectos en los procedimientos o controles de actualización de los equipos que permiten que sigan utilizándose más allá del tiempo nominal de uso | |
| 5.3.16 | Caída del sistema por agotamiento de recursos | La carencia de recursos suficientes provoca la caída del sistema cuando la carga de trabajo es desmesurada | |
| 5.3.17 | Pérdida de equipos | La pérdida de equipos provoca directamente la carencia de un medio para prestar los servicios, es decir una indisponibilidad. | |
| 5.3.18 | Indisponibilidad del personal | Ausencia accidental del puesto de trabajo: enfermedad, alteraciones del orden público, etc... | |
| 5.4 | Ataques intencionados | Fallos deliberados causados por las personas | |
| 5.4.1 | Manipulación de los registros de actividad (log) | ||
| 5.4.2 | Manipulación de la configuración | Prácticamente todos los activos dependen de su configuración y ésta de la diligencia del administrador: privilegios de acceso, etc | |
| 5.4.3 | Suplantación de la identidad del usuario | Cuando un atacante consigue hacerse pasar por un usuario autorizado, disfruta de los privilegios de este para sus fines propios | |
| 5.4.4 | Abuso de privilegios de acceso | Cada usuario disfruta de un nivel de privilegios para un determinado propósito; cuando un usuario abusa de su nivel de privilegios para realizar tareas que no son de su competencia, hay problemas | |
| 5.4.5 | Uso no previsto | Utilización de los recursos del sistema para fines no previstos, típicamente de interés personal | |
| 5.4.6 | Difusión de software dañino | Propagación intencionada de virus... | |
| 5.4.7 | (Re-)encaminamiento de mensajes | Envío de información a un destino incorrecto a través de un sistema o una red, que llevan la información a donde o por donde no es debido | |
| 5.4.8 | Alteración de secuencia | Alteración del orden de los mensajes transmitidos. Con ánimo de que el nuevo orden altere el significado del conjunto de mensajes, perjudicando a la integridad de los datos afectados | |
| 5.4.9 | Acceso no autorizado | El atacante consigue acceder a los recursos del sistema sin tener autorización para ello, típicamente aprovechando un fallo del sistema de identificación y autorización | |
| 5.4.10 | Análisis de tráfico | El atacante, sin necesidad de entrar a analizar el contenido de las comunicaciones, es capaz de extraer conclusiones a partir del análisis del origen, destino, volumen y frecuencia de los intercambios. | |
| 5.4.11 | Repudio | Negación a posteriori de actuaciones o compromisos adquiridos en el pasado. | |
| 5.4.12 | Interceptación de información (escucha) | El atacante llega a tener acceso a información que no le corresponde, sin que la información en sí misma se vea alterada | |
| 5.4.13 | Modificación deliberada de la información | Alteración intencional de la información, con ánimo de obtener un beneficio o causar un perjuicio | |
| 5.4.14 | Destrucción de la información | Eliminación intencional de información, con ánimo de obtener un beneficio o causar un perjuicio | |
| 5.4.15 | Divulgación de información | Revelación de información | |
| 5.4.16 | Manipulación de programas | Alteración intencionada del funcionamiento de los programas, persiguiendo un beneficio indirecto cuando una persona autorizada lo utiliza | |
| 5.4.17 | Manipulación de los eqiupos | Alteración intencionada del funcionamiento de los programas, persiguiendo un beneficio indirecto cuando una persona autorizada lo utiliza | |
| 5.4.18 | Denegación de servicio | La carencia de recursos suficientes provoca la caída del sistema cuando la carga de trabajo es desmesurada | |
| 5.4.19 | Robo | La sustracción de equipamiento provoca directamente la carencia de un medio para prestar los servicios, es decir una indisponibiidad. | |
| 5.4.20 | Ataque destructivo | Vandalismo, terrorismo, acción militar, etc | |
| 5.4.21 | Ocupación enemiga | Cuando los locales han sido invadidos y se carece de control sobre los propios medios de trabajo | |
| 5.4.22 | Indisponibilidad del personal | Ausencia deliberada del puesto de trabajo: como huelgas, absentismo laboral, bajas no justificadas, bloqueo de accesos, ... | |
| 5.4.23 | Extorsión | Presión que, mediante amenazas, se ejerce sobre alguien para obligarle a obrar en determinado sentido | |
| 5.4.24 | Ingenieria social (picaresca) | Abuso de la buena fe de las personas para que realicen actividades que interesan a un tercero |