MAGERIT es la metodología española de análisis y gestión de riesgos de los sistemas de información. Identifica activos, amenazas y salvaguardas, valora el impacto en cinco dimensiones (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad), estima el riesgo y propone cómo tratarlo. Entra en el tema 20 del programa de Técnico de Sistemas TI del SERGAS.
El tema 20 del programa de técnico especialista de sistemas y TI se titula «Seguridad informática: autenticación, integridad, confidencialidad, disponibilidad, rastreabilidad. Análisis y gestión de riesgos». En el ámbito de la Administración española, la referencia es MAGERIT versión 3, publicada en 2012 por el Ministerio de Hacienda y Administraciones Públicas a través del Portal de Administración Electrónica. Es un tema muy preguntable porque las definiciones son precisas y las opciones de test juegan con ellas.
Los dos libros y la guía de técnicas de MAGERIT v3
Volumen
Contenido
Libro I, Método
Describe el proceso de análisis y gestión de riesgos y cómo se organiza el proyecto
Libro II, Catálogo de elementos
Tipos de activos, criterios de valoración, amenazas típicas y salvaguardas
Guía de técnicas
Técnicas útiles para el análisis (por ejemplo, análisis mediante tablas o árboles de ataque)
La herramienta de apoyo asociada es PILAR, desarrollada bajo especificación del Centro Nacional de Inteligencia, que dispone de librerías para aplicar MAGERIT.
MAGERIT define una dimensión como un aspecto, diferenciado de otros, respecto del cual se mide el valor de un activo según el perjuicio que causaría su pérdida. Son cinco, con la nemotecnia D-I-C-A-T:
Dimensión
Qué garantiza
Qué la ataca
Disponibilidad
Que el activo se pueda usar cuando se necesita
Interrupciones del servicio
Integridad
Que los datos estén completos y correctos
Información manipulada, corrupta o incompleta
Confidencialidad
Que la información llegue solo a las personas autorizadas
Fugas, filtraciones y accesos no autorizados
Autenticidad
Que no haya duda de quién es responsable de una información o de quién presta un servicio
Suplantaciones y engaños
Trazabilidad
Poder determinar en todo momento quién hizo qué y cuándo
Registros de actividad alterados o inexistentes
Trampa habitual de test. MAGERIT indica que la trazabilidad se materializa en la integridad de los registros de actividad. Si una opción dice que la confidencialidad es de fácil recuperación, es falsa: una vez revelada, la información no se puede devolver al estado de secreto.
Activo: elemento del sistema de información (datos, servicios, aplicaciones, equipos, comunicaciones, instalaciones, personal) que tiene valor para la organización.
Amenaza: algo que puede pasarle a los activos y causarles daño.
Salvaguarda: medida desplegada para que las amenazas no causen tanto daño.
Impacto: consecuencia de que se materialice una amenaza sobre un activo.
Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización. Combina impacto y probabilidad.
Riesgo residual: el que queda después de aplicar las salvaguardas.
El proceso de análisis, paso a paso
Hacer el inventario de activos y valorarlos en cada dimensión.
Identificar las amenazas que pueden afectar a cada activo.
Estimar el impacto potencial sin salvaguardas (riesgo inherente).
Identificar las salvaguardas ya desplegadas y su eficacia.
Calcular el impacto y el riesgo residual, y evaluar si es asumible.
Un ejemplo ilustrativo, inventado para fijar ideas: un servidor que aloja la agenda de citas de un centro de salud tiene un valor alto en disponibilidad (sin él no se citan pacientes), medio en integridad y alto en confidencialidad (datos de salud). La amenaza «fallo del suministro eléctrico» ataca la disponibilidad; la salvaguarda «SAI y grupo electrógeno» reduce la probabilidad y el impacto; lo que quede es el riesgo residual.
Gestión de riesgos: cómo tratar el riesgo residual
La gestión de riesgos es la selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados. MAGERIT v3 (Libro I, apartado 4.1) recoge cinco opciones de tratamiento:
Opción
Significado
Ejemplo
Aceptación
La dirección asume formalmente el riesgo
Riesgo bajo cuya reducción cuesta más que el daño posible
Eliminación
Eliminar la fuente de riesgo
Retirar un servicio expuesto a internet que no se necesita
Mitigación
Reducir la probabilidad de la amenaza o la degradación que causa
Parches y doble factor; copias de seguridad y plan de recuperación
Compartición
Trasladar parte del riesgo a un tercero
Externalizar un servicio o contratar un seguro
Financiación
Reservar fondos para afrontar las consecuencias
Fondo de contingencia
La decisión final la toma la dirección, que aprueba el riesgo residual. Tras el tratamiento hace falta monitorización continua para detectar cambios en los supuestos del análisis. Si buscas cómo conecta esto con la obligación legal en el sector público, el resumen del ENS (RD 311/2022) y la guía de niveles del ENS en el SERGAS son el siguiente paso natural.
Cómo te lo preguntarán
«Cuál de las siguientes NO es una dimensión de valoración en MAGERIT»: no confundas autenticidad con autenticación ni con no repudio.
«Qué es el riesgo residual»: el que subsiste tras aplicar salvaguardas.
«Qué libro describe el catálogo de elementos»: el Libro II.
Preguntas prácticas: dado un escenario, indica la dimensión afectada o la opción de tratamiento.
Es la metodología de análisis y gestión de riesgos de los sistemas de información de las administraciones públicas españolas. Su versión 3 se publicó en 2012 y consta de dos libros (método y catálogo de elementos) y una guía de técnicas.
¿Cuáles son las dimensiones de seguridad en MAGERIT?
Disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. Sirven para valorar un activo según el perjuicio que causaría perder cada una de ellas.
¿Qué es el riesgo residual?
Es el riesgo que queda tras aplicar las salvaguardas. La dirección decide si es asumible o si hace falta un tratamiento adicional.
¿Cómo se puede tratar un riesgo según MAGERIT?
MAGERIT v3 recoge cinco opciones: aceptación, eliminación de la fuente de riesgo, mitigación (reducir la probabilidad o la degradación), compartición (externalizar o contratar seguros) y financiación (fondos de contingencia).
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.