1.

OCTAVE
1.1. Concepto
Es una metodología de análisis de riesgos desarrollada en el año 2001 por el SEI (Software
Engineering Institute operado por la Universidad Carnegie Mellon, que tiene por objeto
facilitar la evaluación de riesgos en una organización, estudia los riesgos en base a tres
principios Confidencialidad, Integridad y Disponibilidad Esta metodología se emplea por
distintas agencias gubernamentales tales como el Departamento de defensa de Estados
Unidos

OCTAVE equilibra los siguientes aspectos:

 Riesgos operativos
 Prácticas de seguridad
 Tecnología.

Características
 Estudia la infraestructura de la información
 Es Auto dirigido
 Flexible
 Diferente de los análisis tradicionales de riesgos enfocados a tecnología

La metodología OCTAVE está compuesta en tres fases para examinar los problemas
organizacionales y tecnológicos, reuniendo una visión global de las necesidades de seguridad
de la organización de la información. El método utiliza talleres para fomentar la discusión
abierta y el intercambio de información sobre los activos, las prácticas de seguridad y
estrategias.

 Fase1: Visión Organizativa.

 Fase 2: Visión tecnológica
 Fase 3: Estrategias y plan de desarrollo.

Cada fase consta de varios procesos y cada proceso tiene uno o más talleres dirigidos o
realizados por el equipo de análisis. Además, existen algunas actividades de preparación
necesarias que establecen una buena base para una evaluación exitosa, estas son:

 Obtener respaldo de la alta dirección: Este es el factor de éxito más crítico. Si los altos
directivos apoyan el proceso, las personas de la organización participarán activamente
en él.
 Seleccionar el equipo de análisis: Los miembros del equipo deben tener las habilidades
suficientes para dirigir la evaluación. Ellos también necesitan saber cómo establecer
una buena comunicación con los demás integrantes, ya que esto les permitirá
aumentar sus conocimientos y habilidades.
 Alcance OCTAVE: La evaluación debe incluir importantes zonas de operaciones. Si el
alcance es demasiado grande, será difícil de analizar todos los datos. Si es demasiado
pequeño, los resultados pueden no ser tan significativos.
 Selección de los participantes: Los funcionarios procedentes de múltiples niveles de
organización aportarán sus conocimientos. Es importante que estas personas puedan
comprender sus zonas de operaciones