Título oficial del programa: Análisis y Gestión de Riesgos. MAGERIT, la metodología del Consejo Superior de Informática de análisis y gestión de riesgos de los sistemas de información. El plan de seguridad. Técnicas de análisis para estimación del impacto y el riesgo. Los modelos cualitativo y cuantitativo. La herramienta PILAR.
Definición y propósito. El análisis y gestión de riesgos es un proceso metodológico que permite a las organizaciones identificar los activos críticos de sus sistemas de información, evaluar las amenazas que pueden afectarlos y determinar el nivel de riesgo residual tras aplicar medidas de protección. Este proceso es esencial para tomar decisiones de seguridad fundamentadas, especialmente en entidades públicas como el SAS, donde la información gestionada tiene un alto valor estratégico y legal.
Activos críticos en el SAS. En el ámbito sanitario, los activos más valiosos incluyen las historias clínicas electrónicas, los sistemas de prescripción y los datos personales de pacientes. Estos activos requieren una protección reforzada debido a su clasificación como datos de categoría especial según el RGPD. La gestión de riesgos debe priorizar estos elementos, asegurando que las medidas de seguridad sean proporcionales a su sensibilidad y criticidad.
Amenazas y vulnerabilidades. Las amenazas que pueden afectar a los sistemas de información se clasifican en cinco categorías principales: naturales, del entorno industrial, defectos de aplicaciones, errores humanos accidentales y acciones deliberadas. En el SAS, las amenazas más relevantes suelen estar relacionadas con accesos no autorizados a datos clínicos, fallos en la disponibilidad de sistemas críticos o vulnerabilidades en aplicaciones sanitarias.
Metodología estructurada. MAGERIT ofrece un marco sistemático para el análisis de riesgos, organizando el proceso en fases lógicas: identificación de activos, análisis de amenazas, evaluación de vulnerabilidades, cálculo del riesgo y definición de salvaguardas. Esta estructura permite a las organizaciones públicas, como el SAS, abordar la gestión de riesgos de manera ordenada y reproducible, facilitando la toma de decisiones basada en evidencia.
Impacto y probabilidad. La estimación del riesgo se basa en dos dimensiones clave: el impacto que tendría la materialización de una amenaza y la probabilidad de que esta ocurra. En el SAS, el impacto de un incidente de seguridad puede ser especialmente grave, afectando no solo a la operatividad de los servicios, sino también a la seguridad de los pacientes y al cumplimiento normativo. Por ello, la evaluación debe ser rigurosa y adaptada al contexto sanitario.
Salvaguardas y mitigación. Las medidas de protección, o salvaguardas, se diseñan para reducir el riesgo a niveles aceptables. Estas pueden ser preventivas, como el cifrado de datos o los controles de acceso, o correctivas, como los planes de recuperación ante desastres. En el SAS, las salvaguardas deben alinearse con los requisitos del Esquema Nacional de Seguridad (ENS) y otras normativas aplicables, garantizando una protección integral de los sistemas.
Enfoque continuo. La gestión de riesgos no es un proceso estático, sino dinámico, que debe revisarse periódicamente para adaptarse a los cambios en el entorno tecnológico, las amenazas emergentes y las necesidades organizativas. En el SAS, esta revisión continua es especialmente importante debido a la evolución constante de los sistemas sanitarios y la aparición de nuevas vulnerabilidades.
Documentación y trazabilidad. Uno de los principios fundamentales del análisis de riesgos es la documentación de todas las fases del proceso. Esto permite justificar las decisiones tomadas, facilitar auditorías y garantizar la transparencia en la gestión de la seguridad. En el SAS, esta documentación es clave para demostrar el cumplimiento de normativas como el ENS y el RGPD.
Has leído la base del tema. En la demo puedes convertirlo en preguntas justificadas de Técnico/a Especialista en Informática y repasar tus fallos.
Probar demo gratis con preguntas de este temaOrigen y naturaleza. MAGERIT es la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, desarrollada por el Consejo Superior de Administración Electrónica (CSAE), antes denominado Consejo Superior de Informática. Su versión actual, la 3.0, se mantiene como referencia pública en el Portal de Administración Electrónica y en el entorno documental de PILAR. Aunque su denominación histórica alude al Consejo Superior de Informática, su aplicación actual se enmarca en la Administración electrónica española.
Finalidad y alcance. MAGERIT tiene como objetivo principal concienciar sobre los riesgos a los que están expuestos los sistemas de información, ofrecer un método sistemático para analizarlos y planificar su tratamiento. Su alcance abarca la identificación de activos críticos, la evaluación de amenazas y vulnerabilidades, la valoración del impacto y la probabilidad de ocurrencia, y la selección de salvaguardas para mitigar los riesgos. Está especialmente orientada a las Administraciones Públicas, incluyendo entidades como el Servicio Andaluz de Salud.
Estructura documental. La metodología se articula en tres libros. El Libro I (Método) describe el proceso de análisis y gestión de riesgos, incluyendo el Método de Análisis de Riesgos (MAR). El Libro II (Catálogo de Elementos) proporciona pautas sobre activos, amenazas, dimensiones de valoración y salvaguardas. El Libro III (Guía de Técnicas) recopila técnicas de apoyo para aplicar el método, como modelos cualitativos, cuantitativos y de estimación de impactos. Estas técnicas no son obligatorias, pero sí recomendadas para garantizar coherencia en el análisis.
Conceptos fundamentales. MAGERIT define una serie de conceptos clave para el análisis de riesgos. Los activos son los elementos que soportan la misión de la organización, como datos, sistemas o infraestructuras. Las amenazas son eventos que pueden dañar estos activos, mientras que las vulnerabilidades son debilidades que facilitan la materialización de las amenazas. El impacto se refiere al daño potencial sobre un activo, evaluado en dimensiones como disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. El riesgo resulta de combinar el impacto y la probabilidad de ocurrencia de una amenaza.
Proceso metodológico. El método de MAGERIT sigue un enfoque estructurado que incluye la identificación de activos, la evaluación de amenazas y vulnerabilidades, la estimación del impacto y el riesgo, y la selección de salvaguardas. Este proceso permite a las organizaciones priorizar riesgos y planificar medidas de tratamiento, como controles preventivos, detectivos o correctivos. La metodología también integra herramientas de apoyo para automatizar cálculos y facilitar su aplicación práctica.
Relación con el Esquema Nacional de Seguridad. MAGERIT se alinea con el Esquema Nacional de Seguridad (ENS), establecido por el Real Decreto 311/2022, que regula la seguridad de los sistemas de información en las Administraciones Públicas. Aunque MAGERIT no es una norma jurídica obligatoria, su aplicación contribuye al cumplimiento de los requisitos del ENS, especialmente en lo relativo al análisis y gestión de riesgos. Esto la convierte en una herramienta clave para entidades como el Servicio Andaluz de Salud.
Aplicación en el ámbito sanitario. En el contexto del Servicio Andaluz de Salud, MAGERIT se utiliza para garantizar la seguridad de los sistemas de información que gestionan datos sensibles, como historiales clínicos o información de pacientes. Su enfoque sistemático permite identificar riesgos específicos del sector sanitario, como la interrupción de servicios críticos o la filtración de datos confidenciales, y aplicar medidas de mitigación adecuadas. La metodología también facilita la adaptación a normativas sectoriales y la preparación para auditorías de seguridad.
Definición y propósito. El plan de seguridad es el instrumento que materializa la gestión de riesgos en una organización, concretando las medidas para proteger los sistemas de información. Su objetivo principal es reducir los riesgos a niveles aceptables, garantizando la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los activos. En el contexto del Servicio Andaluz de Salud (SAS), el plan adquiere especial relevancia por la criticidad de los sistemas que soportan la asistencia sanitaria y la gestión administrativa.
Base metodológica. MAGERIT, como metodología oficial, aporta la estructura necesaria para elaborar el plan de seguridad. Proporciona un orden lógico: primero se identifican y valoran los activos, luego se analizan las amenazas, se calcula el riesgo y, finalmente, se seleccionan las salvaguardas adecuadas. Este proceso asegura que el plan no sea un documento genérico, sino un reflejo preciso de la realidad del sistema y sus vulnerabilidades.
Dinámica de seguimiento. El plan de seguridad no es estático. Requiere un seguimiento activo mediante la verificación de hitos, la medición de indicadores y la revisión periódica. Cualquier cambio relevante —como la incorporación de nuevos sistemas, la aparición de amenazas emergentes o modificaciones normativas— debe reflejarse en el plan. Esta actualización continua es coherente con el principio de mejora continua del ENS y con el ciclo PDCA, que estructura la gestión de la seguridad en cuatro fases: planificación, ejecución, verificación y actuación.
Herramienta de soporte. PILAR facilita la implementación práctica del plan de seguridad al proporcionar un entorno estructurado para modelar riesgos. Permite inventariar activos, analizar dependencias, evaluar amenazas, estimar impactos y calcular riesgos residuales. Aunque no sustituye el criterio humano, PILAR garantiza consistencia, reproducibilidad y documentación auditable, aspectos clave en organizaciones complejas como el SAS.
Integración con el ENS. El plan de seguridad debe alinearse con los requisitos del Esquema Nacional de Seguridad. Esto implica categorizar los sistemas según su nivel de criticidad, declarar la aplicabilidad de las medidas de seguridad y definir un perfil de cumplimiento. PILAR incluye un módulo específico para evaluar el cumplimiento del ENS, lo que simplifica la adaptación del plan a las exigencias normativas.
Documentación y reporting. El plan de seguridad genera informes detallados que sirven como base para la toma de decisiones. Entre ellos destacan el mapa de riesgos, la evaluación de salvaguardas, el informe de insuficiencias (vulnerabilidades) y el análisis de impacto acumulado. Estos documentos permiten a la dirección del SAS priorizar acciones y asignar recursos de manera eficiente.
Enfoque en la continuidad. Un aspecto crítico del plan es garantizar la continuidad de los servicios, especialmente en entornos sanitarios donde la interrupción puede tener consecuencias graves. El análisis de impacto para la continuidad de operaciones (BIA) es una parte esencial del plan, ya que identifica los activos críticos y las medidas necesarias para mantener su funcionamiento ante incidentes.
Base metodológica. MAGERIT proporciona en su Libro III un conjunto de técnicas estructuradas para estimar el impacto y el riesgo en los sistemas de información. Estas técnicas están diseñadas para ser aplicadas de forma sistemática, garantizando que los resultados sean reproducibles, comparables y documentados. Su objetivo es facilitar la toma de decisiones en materia de seguridad, evitando aproximaciones subjetivas o arbitrarias.
Estimación del impacto. El impacto se refiere a las consecuencias negativas que sufriría un activo si una amenaza se materializara. Para estimarlo, MAGERIT propone técnicas como la valoración de dimensiones, donde se evalúan aspectos como la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. Cada dimensión se valora en una escala predefinida, que puede ser cualitativa (bajo, medio, alto) o cuantitativa (valores numéricos), dependiendo del modelo elegido.
Estimación de la probabilidad. La probabilidad de ocurrencia de una amenaza es otro factor clave en el cálculo del riesgo. MAGERIT sugiere técnicas para estimarla basadas en datos históricos, estadísticas, informes de incidentes o juicios de expertos. En entornos donde no existen datos objetivos, se recurre a escalas cualitativas que reflejan la frecuencia esperada de la amenaza (por ejemplo, improbable, posible, frecuente).
Cálculo del riesgo. El riesgo se determina combinando el impacto y la probabilidad de una amenaza. MAGERIT propone matrices de riesgo que cruzan ambas variables para obtener un nivel de riesgo (por ejemplo, bajo, medio, alto o crítico). Estas matrices permiten priorizar las amenazas y orientar las decisiones sobre qué salvaguardas implementar. La metodología también incluye técnicas para calcular el riesgo residual, es decir, el riesgo que persiste después de aplicar medidas de mitigación.
Técnicas cualitativas. Las técnicas cualitativas son las más utilizadas en entornos donde no se dispone de datos cuantitativos fiables. Se basan en escalas ordinales (como bajo, medio, alto) para valorar el impacto y la probabilidad. Aunque son menos precisas, son más accesibles y permiten una evaluación rápida en contextos con recursos limitados. MAGERIT recomienda su uso cuando la prioridad es la agilidad y la simplicidad en el análisis.
Técnicas cuantitativas. Las técnicas cuantitativas emplean valores numéricos para estimar el impacto y la probabilidad. Requieren datos históricos, modelos estadísticos o información detallada sobre los activos y las amenazas. Aunque ofrecen mayor precisión, su aplicación es más compleja y costosa, por lo que suelen reservarse para sistemas críticos o cuando se necesita un análisis detallado para justificar inversiones en seguridad.
Combinación de técnicas. En la práctica, muchas organizaciones optan por un enfoque híbrido, combinando técnicas cualitativas y cuantitativas. Por ejemplo, pueden usar escalas cualitativas para una primera evaluación y, posteriormente, aplicar técnicas cuantitativas en los riesgos identificados como más críticos. MAGERIT apoya este enfoque flexible, siempre que las técnicas elegidas sean consistentes y estén bien documentadas.
Documentación y revisión. Todas las técnicas de análisis deben documentarse para garantizar la transparencia y la trazabilidad de las decisiones. MAGERIT insiste en que los supuestos, las escalas utilizadas y los resultados deben quedar registrados, de modo que otro equipo pueda revisar el análisis sin necesidad de repetir todo el proceso. Esta documentación es especialmente relevante en el ámbito de las administraciones públicas, donde las decisiones deben ser auditables y justificables.
Enfoques metodológicos. Los modelos cualitativo y cuantitativo constituyen las dos aproximaciones principales para el análisis de riesgos en sistemas de información. Su aplicación se enmarca en metodologías estructuradas como MAGERIT, que los reconoce como herramientas válidas para estimar impactos y riesgos. La diferencia fundamental radica en la escala utilizada: el modelo cualitativo emplea términos descriptivos, mientras que el cuantitativo recurre a valores numéricos.
Modelo cualitativo. Este enfoque utiliza escalas categoriales, como "muy alto", "alto", "medio", "bajo" o "muy bajo", para expresar magnitudes como el valor de los activos, la degradación o la frecuencia de las amenazas. Estas etiquetas representan categorías ordenadas, pero carecen de valor numérico preciso. Es especialmente útil cuando no existen datos históricos suficientes o cuando se requiere una aproximación comprensible para responsables no técnicos, como ocurre en sistemas de categoría básica o media según el Esquema Nacional de Seguridad (ENS).
Modelo cuantitativo. Este modelo busca expresar valores, frecuencias o pérdidas en magnitudes numéricas, como unidades monetarias o índices de impacto. Su principal ventaja es la precisión, ya que permite realizar cálculos matemáticos del riesgo y facilita el análisis coste-beneficio de las salvaguardas. Sin embargo, exige datos fiables y series históricas para evitar una falsa sensación de exactitud, especialmente cuando las estimaciones son débiles o especulativas.
Combinación de modelos. MAGERIT también contempla modelos mixtos o semi-cuantitativos, que integran elementos de ambos enfoques. Por ejemplo, se pueden valorar activos mediante escalas descriptivas, estimar frecuencias con rangos numéricos y traducir los resultados a índices comparables. Lo esencial es que los criterios estén definidos, sean coherentes y permitan priorizar riesgos de manera efectiva.
Aplicación en el SAS. La elección entre modelos depende del sistema analizado y del contexto organizativo. El modelo cualitativo es más ágil y flexible, ideal para análisis iniciales o sistemas con datos limitados. El cuantitativo, en cambio, es más adecuado cuando se dispone de información histórica y se requiere un análisis detallado, como en sistemas de categoría alta según el ENS. En cualquier caso, la metodología debe adaptarse a las necesidades y recursos disponibles.
Resultados y decisiones. El modelo cualitativo responde a preguntas relativas, como qué riesgos son críticos o qué sistemas requieren atención prioritaria. El cuantitativo, por su parte, permite responder a cuestiones absolutas, como el coste económico de una interrupción o la eficiencia de una medida de seguridad. Ambos enfoques son complementarios y su elección debe alinearse con los objetivos del análisis y las características del sistema evaluado.
Limitaciones y ventajas. El modelo cualitativo destaca por su rapidez, menor exigencia de datos y mejor comunicación con la dirección, pero adolece de subjetividad y falta de granularidad. El cuantitativo, aunque más preciso, puede generar una falsa sensación de exactitud si los datos no son robustos. MAGERIT recomienda documentar siempre los supuestos y las unidades de medida para garantizar la transparencia y la coherencia del análisis.
Definición y naturaleza. PILAR es un Entorno de Análisis de Riesgos (EAR) desarrollado por el Centro Criptológico Nacional (CCN), organismo adscrito al Centro Nacional de Inteligencia (CNI). Su nombre corresponde a Procedimiento Informático-Lógico para el Análisis de Riesgos, y su función principal es proporcionar soporte informático para aplicar la metodología MAGERIT en la gestión de riesgos de sistemas de información.
Relación con MAGERIT. Es fundamental distinguir entre MAGERIT y PILAR: MAGERIT es la metodología que establece procedimientos, criterios y catálogos para el análisis sistemático de riesgos, mientras que PILAR es la herramienta que automatiza y facilita su aplicación. MAGERIT puede implementarse manualmente o con otras herramientas, pero PILAR está específicamente diseñada para operar sobre sus bases teóricas.
Finalidad y alcance. PILAR no toma decisiones automáticas sobre la aceptabilidad de los riesgos ni reemplaza la responsabilidad de la organización. Su propósito es estructurar y reproducir procesos como el inventario de activos, la valoración de dependencias, el análisis de amenazas, la estimación de impactos y la selección de salvaguardas. En entornos como el Servicio Andaluz de Salud (SAS), donde los sistemas soportan prestaciones asistenciales, gestión administrativa y custodia de datos clínicos, PILAR permite documentar y justificar medidas de seguridad de manera auditable.
Funcionalidades clave. La herramienta incorpora una biblioteca estándar de activos, amenazas y salvaguardas, que sirve como punto de partida para cualquier análisis. Además, permite realizar calificaciones de seguridad frente a normas como el Esquema Nacional de Seguridad (ENS) o la ISO/IEC 27002, facilitando la alineación con marcos regulatorios. Incluye también factores agravantes y mitigantes, que permiten ajustar el impacto según su grado de aplicación, y un módulo de cumplimiento con el ENS para evaluar riesgos y declarar medidas aplicables.
Modelado y análisis. PILAR permite evaluar salvaguardas por dominio o por activo mediante niveles de madurez, y genera informes detallados que incluyen valoración de activos, mapa de riesgos, evaluación de salvaguardas, vulnerabilidades, impacto acumulado y riesgo residual. Su potencia radica en la capacidad de recalcular escenarios, comparar tratamientos alternativos y mantener un registro ordenado de las decisiones adoptadas, lo que resulta esencial para sistemas con múltiples capas técnicas y funcionales.
Aplicación en el SAS. En el ámbito sanitario, donde los sistemas integran usuarios diversos, datos sensibles y obligaciones normativas, PILAR ayuda a ordenar la complejidad siempre que se alimente con información fiable. Por ejemplo, un sistema de gestión administrativa puede depender de identidad, red, bases de datos y soporte documental; el modelo debe reflejar estas dependencias para evitar infravalorar riesgos. La herramienta no garantiza resultados válidos si los activos están mal inventariados o las amenazas se seleccionan de forma mecánica.
Limitaciones y requisitos. PILAR no automatiza la validez de los datos ni el juicio experto. Su eficacia depende de la calidad de la información introducida y de la revisión por parte de profesionales que conozcan el sistema. Un modelo incompleto, con valoraciones poco realistas o salvaguardas declaradas sin verificar, producirá análisis débiles, independientemente de la apariencia formal de los informes generados.
Practica este tema de Técnico/a Especialista en Informática con test por tema SAS, preguntas justificadas por tema y simulacros tipo examen. No son preguntas oficiales del SAS: son práctica privada de OposAs para estudiar con criterio.
Acceder a la demoHas visto un tema abierto completo. En la demo puedes comprobar cómo encajan el temario, las preguntas justificadas y los simulacros dentro de OposAs.
Qué vas a probar
La idea no es solo leer un tema: es estudiar con continuidad y comprobar cómo se relaciona con el resto de herramientas.
Verás explicaciones de la correcta y de las incorrectas para estudiar con más criterio, no solo para memorizar.
Con tu nombre y tu email, eliges categoría y te enviamos el acceso por correo sin compromiso.
Solo tu email, tu nombre y apellidos (si quieres), elige categoría y prueba antes de decidir. Es gratis.
El acceso llega por email. Si usas Hotmail, Outlook, Live, MSN o Yahoo, revisa tambien Spam o Correo no deseado.
Despues de pulsar, mira tu correo. El enlace dura 1 hora.
Revisa tambien Spam o Correo no deseado.
Hemos enviado el enlace a . Abrelo antes de 1 hora. Si usas Hotmail, Outlook, Live, MSN o Yahoo, mira primero en Correo no deseado.
Estos son los requisitos principales para Técnico/a Especialista en Informática. OposAs resume los requisitos principales para orientarte; la convocatoria oficial vigente es siempre la referencia válida.
FP2 Rama Informática, Módulo Profesional Nivel 3, Técnico Superior en Administración de Sistemas Informáticos o Técnico Superior en Desarrollo de Aplicaciones Informáticas.
La convocatoria contempla equivalencia con tres años de funciones de la categoría en centros sanitarios del Sistema Nacional de Salud.
Contrasta el resumen antes de inscribirte.
Consulta siempre la convocatoria oficial vigente antes de inscribirte.
Fuera del código también hay música, discos y radio. La misma forma de hacer las cosas: con alma, pasión y criterio.
OposAs nació preparando una oposición del SAS y se ha convertido en una forma de practicar test, corregir fallos y estudiar con explicaciones claras.
OposAs está pensado para practicar test y aprender mientras corriges, sin tragarte textos interminables antes de empezar. Cuando fallas, la justificación te ayuda a entender la correcta y, sobre todo, las incorrectas: ahí suele estar el aprendizaje.
No hay una empresa detrás. Hay una persona que construyó desde cero una herramienta para que estudiar no se convierta en algo pesado, sino en un proceso más claro, practicable y llevadero.
De opositor a opositor, Serafín.
