Octave es una metodología de evaluación de riesgos desarrollada por el Instituto de Ingeniería de Software (SEI) de la Universidad Carnegie Mellon. Se centra en la evaluación de los riesgos para los activos críticos de una organización mediante la integración de perspectivas humanas, tecnológicas y organizacionales. Octave está diseñado para ser escalable y adaptable, lo que lo hace adecuado para organizaciones de distintos tamaños. Destaca la gestión de riesgos autónoma, implicando al personal de diversas jerarquías para identificar y evaluar los riesgos de forma conjunta.

Fases importantes:

• Identificación de activos: los equipos determinan y ordenan los activos de información esenciales según su valor y relevancia para la misión de la organización.

• Análisis de infraestructura: evaluación de la infraestructura tecnológica para detectar debilidades que podrían poner en riesgo los activos ante amenazas.

• Desarrollo de una estrategia de seguridad: elaboración de planes de mitigación para gestionar los riesgos detectados, incluyendo la participación de las partes interesadas en toda la organización.

  
  

  Ventajas:

• Incentiva la participación en todos los niveles de la organización, promoviendo una enfoque de colaboración.

• Escalable y adaptable, lo que lo hace accesible para entidades de tamaño pequeño y grande.

• Se enfoca en los activos esenciales, asegurando que los recursos se destinen a donde son más requeridos.
  

  Propiedades:

• Dirigido, recurriendo a equipos internos en vez de a asesores externos.

• Destaca los riesgos de operación, incorporando elementos humanos y técnicos.

• Proporciona una versión mejorada (Octave Allegro) para evaluaciones más sencillas y de carácter prioritario.

Varón Quimbayo, Á. Y (2022). Análisis de riesgos informáticos - Eje 2: Analizamos la situación.

es un conjunto de pasos organizados diseñados para ayudar a las empresas a reconocer, analizar y manejar los riesgos que pueden afectar su información y sistemas tecnológicos. Fue creada por el Gobierno de España y se utiliza para mejorar la seguridad en empresas e instituciones de diversos sectores, garantizando que se implementen controles adecuados para reducir las vulnerabilidades tecnológicas. Según Tamayo y González (2020), la gestión de riesgos es una estrategia clave para la estabilidad de cualquier organización, ya que permite reducir la incertidumbre y mejorar la toma de decisiones. En este sentido, Magerit proporciona un marco estructurado que permite anticiparse a posibles amenazas y establecer planes de contingencia efectivos.

Su propósito principal es prevenir problemas como robos de información, ataques informáticos o fallos en sistemas, asegurando que las organizaciones estén preparadas para auditorías o inspecciones de seguridad. Además, ayuda a definir medidas de seguridad proactivas en lugar de reactivas, permitiendo a las empresas tener un enfoque preventivo en la protección de sus activos digitales.

Estructura de Magerit

Magerit se divide en tres fases principales, cada una con un propósito específico:

• Método: Explica paso a paso cómo realizar un análisis de riesgos efectivo.

• Catálogo de componentes: Contiene una lista detallada de elementos clave a proteger, como bases de datos, redes, servidores y sistemas de información.

• Lista de técnicas: Describe herramientas utilizadas para identificar y evaluar riesgos, incluyendo mapas de riesgos, árboles de ataque y análisis de impacto.

Según Rodríguez (2020), una de las principales ventajas de esta estructura es que permite evaluar riesgos de manera sistemática y repetible, asegurando que se consideren todos los elementos relevantes dentro de una organización, independientemente de su tamaño o sector.

Ventajas de Magerit

• Estructura clara y organizada: Permite analizar y gestionar riesgos de manera lógica y estructurada.

• Cumple con estándares internacionales: Facilita la alineación con normativas como ISO 27001, aumentando la credibilidad de la organización.

• Aplicable a múltiples sectores: Se puede usar tanto en pequeñas empresas como en grandes corporaciones y organismos gubernamentales.

• Análisis profundo y detallado: Examina riesgos internos y externos con herramientas avanzadas.

• Reducción de vulnerabilidades: Disminuye la exposición a amenazas mediante estrategias de mitigación bien definidas.

• Preparación para auditorías: Facilita la documentación y recopilación de pruebas para auditorías de seguridad.

• Mejora continua: Se adapta al crecimiento de la empresa y a la evolución de los riesgos tecnológicos.

Tamayo y González (2020) destacan que la implementación de metodologías como Magerit no solo permite reducir los riesgos operativos, sino que también mejora la confianza de los clientes y socios estratégicos en la organización, lo que a su vez fortalece su imagen y reputación.

Fases del Análisis de Riesgos con Magerit

• Identificación de activos: Se reconocen los sistemas, datos y recursos más importantes dentro de la organización.

• Evaluación de amenazas: Se analizan los peligros potenciales que pueden comprometer la seguridad de los activos identificados.

• Cálculo del impacto: Se mide el daño potencial que podría causar cada riesgo en términos de disponibilidad, confidencialidad e integridad de la información.

• Definición de soluciones y controles: Se implementan medidas de seguridad para reducir o eliminar los riesgos detectados.

• Monitoreo constante y actualización: Se revisa periódicamente la efectividad de las soluciones aplicadas, ajustando estrategias cuando sea necesario.

Rodríguez (2020) menciona que una gestión eficaz del riesgo no solo implica identificar amenazas, sino también mantener un monitoreo constante y establecer estrategias de mitigación y supervisión continua para evitar que los riesgos vuelvan a surgir.

Referencias

Tamayo Saborit, M., & González Capote, D. (2020). La gestión de riesgos: herramienta estratégica de gestión empresarial. Editorial Universo Sur. Disponible en: eLibro Areandina

Rodríguez, P. (2020). Análisis de riesgos informáticos y ciberseguridad. Disponible en: Ámbit BST

STIC (2023). Unidad de Ciberseguridad: evaluación de riesgos informáticos en sus proyectos. Disponible en: Comillas Ciberseguridad

Mehari es una metodología de SGSI en la seguridad informática, que tiene como objetivo, técnicas de estructurado que combinan análisis cualitativo y cuantitativo para verificar los riesgos. Es una herramienta para tomar decisiones en cuanto a la protección de los datos y la continuidad de la operación del negocio, dando también un cumplimiento a las normativas.

• Permite identifica activos críticos.

• Realiza un análisis de amenazas y vulnerabilidades.

• Nos permite evaluar riesgos en función del impacto y la probabilidad.

• Brinda medidas de medidas de seguridad efectivas.

• Podemos realizar implementación y monitoreo de estrategias de mitigación.

Fortalezas de Mehari:

• Enfoque estructurado y detallado – Proporciona un análisis profundo de activos, amenazas y vulnerabilidades.

• Flexible y adaptable – Se puede aplicar en distintos sectores y tamaños de empresas.

• Evaluación cualitativa y cuantitativa – Nos permite medir riesgos con criterios claros.

• Orientado a la gestión de seguridad – Facilita la toma de decisiones y la priorización de medidas de seguridad.

• Cumplimiento normativo – Compatible con estándares como ISO 27001 y otros marcos de seguridad.

Debilidades de Mehari:

1. Complejidad en su aplicación – Puede ser difícil de implementar sin conocimientos previos en gestión de riesgos.

2. Requiere mucho tiempo y recursos – Especialmente en organizaciones grandes con muchos activos a evaluar.

3. No es tan conocida como otras metodologías – En comparación con OCTAVE, NIST o ISO 27005, MEHARI tiene menos difusión global.

4. Dependencia de datos precisos – Si la información es incorrecta o incompleta, el análisis puede verse afectado.

Referencias

ESGInnovaGroup 2019-Matodologia Mehari para el análisis de riesgos.

https://www.pmg-ssi.com/2021/09/metodologia-mehari-para-el-analisis-de-riesgos-en-sgsi/

Blogspot.com AutorDesconocido-2014-Metodologia de Evaluación de riesgo.

https://gestionderiesgosinformaticos.blogspot.com/2014/02/metodologias-de-evaluacionde-riesgos-el.html

Esta metodología permite plantear preguntas hipotéticas, para poder evaluar posibles escenarios de riesgo; para esto se reúnen los integrantes del equipo de trabajo, utilizando preguntas como: (¿Qué pasaría sí? - What If?), con el fin de explorar diferentes escenarios y riesgos que se puedan presentar en esos casos hipotéticos; así se podría abarcar de mejor manera los planes de contingencia y mitigación.

Como nos indica Varón Quimbayo (2022), este análisis generalmente se realiza en una etapa temprana o inicial del proyecto, siguiendo la siguiente estructura:

• Establecer los limites del análisis.

• Establecer el grupo de trabajo.

• Generar una lluvia de ideas.

• Establecer una probabilidad de ocurrencia.

• Realizar una clasificación de los riesgos.

• Establecer técnicas de control.

• Realizar un registro del análisis.

Análisis SWOT (DOFA):

Esta metodología hace uso de una matriz donde se establecen: Strengths, Weaknesses, Opportunities y Threats por sus siglas en ingles (SWOT); se utiliza en la planificación estratégica y es aplicable a diferentes entornos; adicionalmente de plantear 2 escenarios de análisis que se complemente en la matriz, en primer lugar cuenta con un análisis interno, en el que se determinan las Fortalezas y Debilidades y en segundo lugar un análisis externo en el que se determinan las Oportunidades y Amenazas.

Según lo planteado por Varón Quimbayo (2022), la matriz SWOT o DOFA, es utilizada por las organizaciones para la toma de decisiones mas convenientes para:

• Implementación de medidas para prevenir riesgos.

• Reducir la probabilidad de riesgos.

• Transferir la responsabilidad de los riesgos a otras unidades, agentes o partes.

• Aceptar los riesgos y prepararse ante posibles efectos.

Análisis Causa Raíz:

Esta metodología se centra en encontrar las causas fundamentales de un problema con el fin de identificar e implementar soluciones.

Este análisis aborda las causas latentes de un problema en vez de abordar los síntomas superficiales.

Como dice Varón Quimbayo (2022), se deben utilizar las siguientes herramientas que facilitan su análisis:

• Diagrama Causa - Efecto.

• Diagrama de Pareto.

• Análisis modal de fallas y efectos - (FMEA).

• Técnica de los 5 ¿Por qué?

Análisis Delphi:

Este análisis se basa en la implementación de una inteligencia colectiva, en donde se trata de llegar a un consenso de opiniones expresadas de forma individual por un grupo de expertos calificados en torno al tema planteado para su análisis; por medio de una iteración sucesiva de cuestionarios que retroalimentan los resultados de la ronda anterior, haciendo uso de cálculos estadísticos.

Matriz de Riesgo:

Es una herramienta que se usa para evaluar la probabilidad y gravedad del riesgo, una vez determinado el modo de calificación de los riesgos, se pasan a una matriz para calcular el impacto y la probabilidad, así clasificándolo en importancia alta o severa, media o moderada y baja o poco probable; lo que ayuda a que el equipo encargado pueda priorizar y establecer protocolos o medidas que mitiguen cada riesgo.

Check List - ISO 31010:

Es una herramienta utilizada para la confirmación de medidas preventivas son utilizadas en los procesos de análisis y riesgos.

Para ello se hace un listado de todos los riesgos identificados y sus protocolos de prevención correspondientes, en frente de cada ítem del listado se establece un espacio para hacer check si las tareas o actividades de prevención se han realizado o no.

Brinda una facilidad de implementación ya que su versatilidad permite que sea aplicada en diferentes campos, procesos, tareas, etc.; ayudando de manera oportuna a detectar los aspectos críticos, mejorando la eficiencia y eficacia del análisis.

Swift:

Es una herramienta que se utiliza preguntas del tipo "¿Qué pasaría si?" junto con algunas palabras guía, es una herramienta versátil y se puede utilizar para la evaluación de riesgos de procesos, sistemas, máquinas u operaciones.

LOPA - (Layer of Protection Analysis):

Esta metodología tiene un enfoque cuantitativo, se centra en la evaluación de capas de protección que se encuentran implementadas y determina si son suficientes o no para prevenir incidentes graves; esta metodología considera la probabilidad de un incidente y las consecuencias en caso de que ocurra.

Se le asignan valores numéricos a estos factores de riesgo; si dicho valor calculado supera el umbral aceptable se deben tomar medidas para implementar capas adicionales de protección.

Análisis de árbol de fallos:

Esta metodología tiene un enfoque deductivo y descendente para determinar la causa de un evento especifico no deseado dentro de algún sistema, lo que implica desglosar la causa principal de una falla, lo que permite que se pueda identificar posibles formas de la falla y la probabilidad de cada modo de la misma, permitiendo un mejor análisis de seguridad y confiabilidad.

Hazop:

Esta metodología se centra en las desviaciones significativas de la operación prevista en un proceso, por medio de reunión donde los expertos analizan sistemáticamente cada aspecto del proceso, explorando el proceso de posibles variaciones y sus posibles consecuencias; ayudando a determinar situaciones de peligro, evaluar su nivel de gravedad y proponer medidas de mitigación.

Referencias:

5 porqués - herramienta para resolver problemas. (2023, enero 26). SafetyCulture. https://safetyculture.com/es/temas/5-porques/

Asana. (2025a, enero 17). Plantilla de análisis de causa raíz: descubre soluciones efectivas [2025] •. Asana. https://asana.com/es/resources/root-cause-analysis-template

Asana. (2025b, febrero 25). Matriz de riesgos: cómo evaluar los riesgos para lograr el éxito del proyecto [2025] •. Asana. https://asana.com/es/resources/risk-matrix-template

Carreño Jaimes, M. (2009). El método Delphi: cuando dos cabezas piensan más que una en el desarrollo de guías de práctica clínica. Revista colombiana de psiquiatria, 38(1), 185–193. http://www.scielo.org.co/scielo.php?script=sci_arttext&pid=S0034-74502009000100013

Genest, J. (2021, mayo 8). Structured what-if technique as a risk assessment tool. Investigations of a Dog. https://investigationsquality.com/2021/05/08/the-swift-risk-assessment-tool/

Métodos de Análisis de Riesgos: Hazop, What If y LOPA. (s/f). 512lh.com. Recuperado el 3 de marzo de 2025, de https://www.512lh.com/metodos-de-analisis-de-riesgos-hazop-what-if-y-lopa/

Pursell, S. (2019, agosto 10). Qué es un análisis FODA y cómo hacerlo en tu empresa (consejos de HubSpot). Hubspot.es. https://blog.hubspot.es/marketing/analisis-foda

¿Qué es FMEA? (Análisis modal de fallas y efectos). (s/f). Onupkeep. Recuperado el 3 de marzo de 2025, de https://upkeep.com/es/learning/fmea/

SWIFT Analysis. (s/f). Benchmark Six Sigma Forum. Recuperado el 3 de marzo de 2025, de https://www.benchmarksixsigma.com/forum/topic/39618-swift-analysis/

¿Qué es un análisis de árbol de fallas? (2023, octubre 10). Ibm.com. https://www.ibm.com/mx-es/topics/fault-tree-analysis

Varón Quimbayo, Á. Y (2022). Análisis de riesgos informáticos - Eje 2: Analizamos la situación.

Integrantes:

Mario Mesa Monsalve

Mauricio Ospina Ramírez

Juan Sebastián García Carrillo

Daniel Felipe González Buitrago

OCTAVE involucra a empleados de todos los niveles, facilitando su uso en diferentes organizaciones. MAGERIT, con su enfoque técnico y normativo, es ideal para empresas que buscan cumplir estándares internacionales y fortalecer su seguridad. MEHARI destaca en la evaluación detallada de amenazas y vulnerabilidades, priorizando medidas de protección según el impacto del riesgo. Seleccionar la metodología adecuada depende del tipo de organización, sus recursos y objetivos. Implementar estos modelos mejora la toma de decisiones, refuerza la seguridad y previene incidentes. Además, combinarlas con otras herramientas de análisis permite desarrollar estrategias más efectivas para una gestión integral de riesgos.