Metodos para la evaluacion Integral de Riesgos

1. METODOS PARA LA EVALUACION INTEGRAL DE RIESGOS Presentado por: Luis Fernando Soto Universidad ECCI Esp. en Gerencia de la Seguridad y Salud en el Trabajo Gestión Integral del Riesgo Año 2019

2. METODOS PARA LA EVALUACION INTEGRAL DE RIESGOS Los métodos de evaluación de riesgos abarcan un amplio espectro de posibilidades. Sin embargo, deben tener criterios y parámetros claramente definidos. Esto da la oportunidad de ser reproducible en el tiempo y poder comparar los resultados del método; no obstante, la elección del método depende del criterio profesional y el objeto. Un elemento fundamental de los métodos de análisis de riesgo se refiere a que exige del profesional pensamiento proactivo y visión sistémica de la organización, al igual que del sector económico, así como de la formulación de políticas que propicien el compromiso, el liderazgo y una visión compartida de futuro. 2

3. 1. METODO MAGERIT OBJETIVOS 1.Concienciar a los responsables de las organizaciones de información de la existencia de riesgos y de la necesidad de gestionarlos. 2.Ofrecer un método sistemático para analizar los riesgos derivados del uso de tecnologías de la información y comunicaciones (TIC). 3.Ayudar a descubrir y planificar el tratamiento oportuno para mantener los riesgos bajo control. 4.Preparar a la Organización para procesos de evaluación, auditoría, certificación o acreditación, según corresponda en cada caso. 3

4. 1. METODO MAGERIT DESCRIPCION DEL METODO Es un método sistemático para analizar los riesgos derivados del uso de tecnologías de la información y comunicaciones, para de esta forma implementar las medidas de control más adecuadas que permitan tener los riesgos mitigados. Además de esto. Puntualmente este método se basa en analizar el impacto que puede tener para la empresa la violación de la seguridad, buscando identificar las amenazas que pueden llegar a afectar la compañía y las vulnerabilidades que pueden ser utilizadas por estas amenazas, logrando así tener una identificación clara de las medidas preventivas y correctivas más apropiadas. 4

5. 1. METODO MAGERIT PROCEDIMIENTO •Presenta los conceptos informalmente. En particular se enmarcan las actividades de análisis y tratamiento dentro de un proceso integral de gestión de riesgos. •Concreta los pasos y formaliza las actividades de análisis de los riesgos. Cap. 2 Cap.3 •Describe opciones y criterios de tratamiento de los riesgos y formaliza las actividades de gestión de riesgos. •Se centra en los proyectos de análisis de riesgos, proyectos en los que nos veremos inmersos para realizar el primer análisis de riesgos de un sistema y eventualmente cuando hay cambios sustanciales y hay que rehacer el modelo ampliamente. Cap.4 Cap.5 •Formaliza las actividades de los planes de seguridad, a veces denominados planes directores o planes estratégicos. •Se centra en el desarrollo de sistemas de información y cómo el análisis de riesgos sirve para gestionar la seguridad del producto final desde su concepción inicial hasta su puesta en producción. •Se anticipa a algunos problemas que aparecen recurrentemente cuando se realizan análisis de riesgos. Cap.6 Cap.7 Cap.8 5

6. 2. METODO FRAME OBJETIVOS 1.Evaluar el riesgo de incendio mediante tres valores, el patrimonio, las personas y las actividades. 2. Permitir obtener unos resultados coherentes y más cercanos a la realidad en el caso de evaluación de riesgos contra incendios. 3.Ofrecer la posibilidad de efectuar un cálculo inicial sin ningún tipo de medida de protección, y así medir mediante una escala, las medidas de protección que haría falta a priori. 6

7. 2. METODO FRAME DESCRIPCION DEL METODO Es un método de cálculo práctica, completa y transparente de los riesgos de incendios en los edificios. Permite a las autoridades, directivos de industria y a los consejeros en materia de prevención de incendios, examinar las construcciones existentes o futuras, bajo el ángulo del peligro de incendio y de las medidas de protección adecuadas a prescribir o cuando menos a recomendar. "FRAME" usa modelos de incendios elementales y sigue el mismo planteamiento que la mayoría de las métodos de evaluación de riesgos. A partir de un número limitado de casos de incendios, se tienen en cuenta a la probabilidad de incendio, a la gravedad de las consecuencias y el nivel de exposición al riesgo. 7

8. 2. METODO FRAME PROCEDIMIENTO Se determina mediante tres ecuaciones. Además de un valor Ro general de orientación. Patrimonio Personas Actividades • El riesgo para el patrimonio R es por definición: • R = P / ( A * D) • Donde: P = Riesgo Potencial • A = Admisible • D = Protección • El riesgo para las personas R1 es por definición: • R1= P1/ ( A1* D1) • Donde : P1 = Riesgo Potencial Riesgo Admisible • D1 = Protección • El riesgo para las actividades R2 es por definición: • R2= P2/ ( A2* D2) • Donde: R2 = Riesgo Potencial • A2 = Admisible • D2 = Protección ; A1 = Riesgo Riesgo Nivel de Nivel de Nivel de 8

9. 3. METODO ISO/IEC 27005 OBJETIVOS 1.El objetivo de la norma ISO/IEC 27005 es proporcionar directrices para la gestión de riesgos de seguridad de la información. 2. Ayudar a la implementación y satisfacción de la seguridad de la información en función de un enfoque de gestión de riesgos. 3.Ayudar a demostrar a los clientes o partes interesadas de una organización que existen procesos para gestionar los posibles riesgos, por lo que les daría confianza a los clientes y que la empresa es apta y segura para hacer negocios. . 9

10. 3. METODO ISO/IEC 27005 DESCRIPCION DEL METODO ISO/IEC 27005 es el estándar internacional que se ocupa de la gestión de riesgos de seguridad de información. La norma suministra las directrices para la gestión de riesgos de seguridad de la información en una empresa, apoyando particularmente los requisitos del sistema de gestión de seguridad de la información definidos en ISO 27001. Es aplicable a todo tipo de organizaciones que tengan la intención de gestionar los riesgos que puedan complicar la seguridad de la información de su organización. No recomienda una metodología concreta, dependerá de una serie de factores, como el alcance real del Sistema de Gestión de Seguridad de la Información (SGSI), o el sector comercial de la propia industria. 10

11. 3. METODO ISO/IEC 27005 PROCEDIMIENTO Esta ISO/IEC 27005 cuenta con una parte principal concentrada en 24 páginas, también cuenta con anexos en los que se incluye ejemplos y más información de interés para los usuarios. En estos anexos se puede encontrar tabulados amenazas, vulnerabilidades e impactos, lo que puede resultar útil para abordar los riesgos relacionados con los activos de la información en evaluación. Prefacio. Introducción. Referencias normativas. Términos y definiciones. Estructura. Fondo. Descripción del proceso de ISRM. Establecimiento Contexto Información sobre la evaluación de riesgos de seguridad (ISRA).. Anexo A: Definición del alcance del proceso. Anexo B: Valoración de activos y evaluación de impacto. Anexo C: Ejemplos de amenazas típicas. Anexo D: Las vulnerabilidades y métodos de evaluación de la vulnerabilidad. Enfoques ISRA: Anexo E. Tratamiento de Riesgos Seguridad de la Información. Admisión de Riesgos Seguridad de la información. Comunicación de riesgos de seguridad de información. Información de seguridad y Seguimiento de Riesgos y Revisión. 11

12. 4. METODO ANÁLISIS FUNCIONAL DE OPERABILIDAD (AFO/HAZOP) OBJETIVOS 1.Identificar los riesgos basados en la premisa de que los accidentes se producen como consecuencia de una desviación de las variables de proceso con respecto de los parámetros normales de operación. 2.Analizar sistemáticamente las causas y las consecuencias de unas desviaciones de las variables de proceso, planteadas a través de unas »palabras guías». 12

13. 4. METODO ANÁLISIS FUNCIONAL DE OPERABILIDAD (AFO/HAZOP) DESCRIPCION DEL METODO Este método tuvo su origen en 1963, en el estudio de los procesos químicos de la compañía británica, Imperial Chemical Industries (ICI). Su aplicación ha sido un parte aguas, pues es a partir de su formalización que han surgido otras metodologías para la identificación de riesgos, el Método HAZOP es el preferido por las empresas, ya que se caracteriza por ser el más completo y riguroso. Consiste en analizar y evaluar sistemáticamente en todas las líneas y sistemas, las causas y consecuencias posibles de desviaciones de variantes en las unidades de proceso. Se basa en identificar cuatro elementos clave: La causa del riesgo Las recomendaciones que se deben seguir, si se considera que las medidas de control son inadecuadas o no existen. Las medidas de control existentes para prevenir el riesgo La consecuencia resultante de la exposición a este riesgo 13

14. 4. METODO ANÁLISIS FUNCIONAL DE OPERABILIDAD (AFO/HAZOP) PROCEDIMIENTO Este método se desarrolla mediante unas etapas: Definición del área de estudio: Consiste en delimitar el objeto de estudio o las áreas en las que se aplicará el método, para lo cual se definirán subsistemas o entidades con funciones propias, como línea de descarga, separación de disolventes, reactores de mezcla, etc Definición de los nudos: En cada subsistema se deberán identificar y numerar una serie de nudos o puntos, claramente localizados en el proceso, como depósito de almacenamiento, impulsión de una bomba, etc., de manera que el método se aplique en cada uno de estos puntos. Definición de las desviaciones a estudiar y aplicación de “palabras guía” A cada nudo se le planteará las desviaciones de variables de proceso, aplicando a cada variable una “palabra guía”. El Método HAZOP sugiere una aplicación exhaustiva de todas las combinaciones posibles entre desviaciones de variables y “palabras guía”, siempre descartando las desviaciones que no tengan sentido para determinado nudo. 14

15. 5. METODO MOSLER OBJETIVOS 1.Identificar , analizar y evaluar los factores que pueden influir en la manifestación y materialización de un riesgo, con la finalidad de que la información obtenida, nos permita calcular la clase y dimensión de riesgo. 2. Realizar una evaluación ajustada de los riesgos a través de la información obtenida. 15

16. 5. METODO MOSLER DESCRIPCION DEL METODO En resumidas cuentas, lo que se hace es calcular el nivel o la clase de un determinado riesgo. De esta forma basándonos en una metodología de trabajo de base científica, se puede obtener un indicador muy preciso sobre la probabilidad de materialización de cualquier riesgo, que pueda afectar al funcionamiento normal de la empresa. Está especialmente indicado para el análisis de riesgos de origen antrópico y natural 16

17. 5. METODO MOSLER PROCEDIMIENTO El método en cuestión tiene un carácter secuencial divido en cuatro fases 1.Fase: Definición del Riesgo: En esta fase se realiza la identificación del riesgo. 2.Fase:Análisis del Riesgo: En ella se analiza el riesgo siguiendo una serie de criterios. - Función (F) -Sustitución (S) -Profundidad (P) -Extensión (E) -Agresión (A) Vulnerabilidad (V) 3.Fase: Evaluación del Riesgo: En esta fase, con los datos numéricos obtenidos anterior, se cuantifica el riesgo que se está estudiando. 4. Fase: Clasificación Riesgo: Con el valor del Riesgo Estimado (ER) y mediante comparación de Criterio de Valoración del Riesgo obtenemos una valoración final del mismo, desde Muy Bajo a Elevado. en la del su con una tabla que va 17

18. 6.MÉTODO ANÁLISIS DEL MODO Y EFECTO DE FALLAS (AMFE/FMEA) OBJETIVOS 1.Evaluar la confiabilidad de los equipos, en la medida en que determina los efectos de las fallas de los mismos. 2.Servir como una herramienta y documento dinámico, en el cual se puede recopilar y clasificar mucha información acerca de los productos, procesos y el sistema en general. 18

19. 6.MÉTODO ANÁLISIS DEL MODO Y EFECTO DE FALLAS (AMFE/FMEA) DESCRIPCION DEL METODO El Análisis del Modo y Efecto de Fallas (AMEF), es un procedimiento que permite identificar fallas en productos, procesos y sistemas, así como evaluar y clasificar de manera objetiva sus efectos, causas y elementos de identificación, para de esta forma, evitar su ocurrencia y tener un método documentado de prevención. Esta metodología desarrollada por la NASA, se creó con el propósito de evaluar la confiabilidad de los equipos, en la medida en que determina los efectos de las fallas de los mismos. El AMEF es por excelencia la metodología propuesta como mecanismo de acción preventivo en el diagnóstico y la implementación del Lean Manufacturing. Este se activa por medio de los indicadores cuando se requiere prevenir la generación de problemas. 19

20. 6.MÉTODO ANÁLISIS DEL MODO Y EFECTO DE FALLAS (AMFE/FMEA) PROCEDIMIENTO 1.Desarrollar (Representación un mapa gráfica del proceso de las 5.Indicar las causas de cada falla y evaluar la ocurrencia de las fallas. operaciones). 2.Formar Kaizen), producto, un documentar equipo de trabajo proceso, (Team 6.Indicar detección) que se tienen para detectar fallas y evaluarlas. los controles (medidas de el el etc. 3.Determinar los pasos críticos del proceso. 7.Obtener el número de prioridad de riesgo para cada falla y tomar decisiones. 4.Determinar las fallas potenciales de cada paso del proceso, determinar sus efectos y evaluar su nivel de gravedad (severidad). 8.Ejecutar acciones preventivas, correctivas o de mejora. 20

21. REFERENCIAS BIBLIOGRAFICAS Análisis funcional de operatividad (AFO): Hazard and operability (HAZOP).(s. f. ).En Grupo Universitario de Investigación Analítica de Riesgos (GUIAR).Recuperado de https://www.unizar.es/guiar/1/Accident/An_riesgo/HAZOP.htm Bernal, J.J.(Febrero, 2013). AMFE: Análisis Modal de Fallos y Efectos – Guía y ejemplos de uso. Revista El portal de la gestión, calidad y mejora continua. Recuperado (09 de Octubre de 2019) de https://www.pdcahome.com/3891/amfe-guia-de-uso-del-analisis-modal-de-fallos-y-efectos/ Fuertes Pena,J. (2003). Análisis comparativo de los principales métodos de evaluación del riesgo de incendio.(Tesis Doctoral).Universidad de Malaga,Malaga, España. ISOTools.(2014, 31 de Enero) .ISO/IEC 27005. Gestión de riesgos de la Seguridad la Información. SGSI Blog especializado en Sistemas de Seguridad de la Información. Recuperado de https://www.pmg-ssi.com/2014/01/isoiec-27005-gestion-de- riesgos-de-la-seguridad-la-informacion/ de Gestión Ministerio de Hacienda y Administraciones Publicas. MAGERIT – Versión 3.0 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información , 2012. Madrid: España, Subdirección General de Información. Recuperado de file:///D:/2012_Magerit_v3_libro1_metodo_es_NIPO_630-12-171-8.pdf Navarro, F.(Marzo, 2013). El Análisis de Riesgos. Método Mosler. Revista Digital INESEM. Recuperado(09 de Octubre de 2019) de https://revistadigital.inesem.es/gestion-integrada/el-analisis-de-riesgos-metodo-mosler/ 21