En ISO 27001 los controles no se eligen por catálogo ni por moda: se eligen porque tratan un riesgo identificado. Por eso el análisis de riesgos es la pieza que da sentido a todo el sistema. Hacerlo bien no requiere herramientas complejas, sino un método consistente.
Lo que exige la norma
Un proceso de evaluación de riesgos que defina criterios de aceptación, produzca resultados coherentes y comparables, identifique los riesgos asociados a la pérdida de confidencialidad, integridad y disponibilidad, y asigne un propietario a cada riesgo.
Paso 1: partir de los activos
Tome el inventario de activos y agrúpelos para no analizar uno por uno: "laptops del personal", "base de datos de clientes", "servicio de correo".
Paso 2: identificar amenazas y vulnerabilidades
- Amenaza: lo que puede causar el daño. Robo, malware, error humano, falla eléctrica, incendio.
- Vulnerabilidad: la debilidad que lo permite. Sin cifrado, sin respaldo, contraseñas débiles, software desactualizado.
Un riesgo se redacta combinándolas: "pérdida de información de clientes por robo de una laptop sin cifrado".
Paso 3: valorar el riesgo
Use escalas de 1 a 3 o de 1 a 5 para:
- Impacto: consecuencias económicas, legales, operativas y de reputación.
- Probabilidad: considerando los controles que ya existen.
El nivel de riesgo es el producto de ambos. Defina por adelantado desde qué nivel un riesgo debe tratarse.
Paso 4: decidir el tratamiento
- Mitigar: aplicar controles para reducirlo. Es lo más frecuente.
- Evitar: dejar de hacer la actividad que lo genera.
- Transferir: mediante un seguro o un contrato.
- Aceptar: de forma consciente y documentada, cuando está dentro del criterio.
Paso 5: plan de tratamiento
Cada riesgo a mitigar necesita controles concretos, un responsable, un plazo y recursos. El propietario del riesgo debe aprobar el plan y aceptar el riesgo residual.
Ejemplo
Riesgo: pérdida de la base de datos por ransomware. Impacto 5, probabilidad 3, nivel 15 (alto). Tratamiento: copias de respaldo diarias fuera de línea con prueba de restauración mensual, protección contra malware y capacitación en correos fraudulentos. Riesgo residual: impacto 2, probabilidad 2.
Con qué frecuencia
Como mínimo una vez al año y ante cambios importantes: un nuevo sistema, migración a la nube, un incidente relevante.
Un análisis con quince riesgos bien entendidos y tratados vale más que uno con trescientas filas que nadie puede gestionar.
El análisis y el plan de tratamiento de riesgos son entregables de nuestra implementación de ISO 27001.
