Análisis de riesgos en ISO 27001: metodología, ejemplo y tratamiento
El análisis de riesgos de ISO 27001 es el proceso con el que la organización identifica qué puede comprometer la confidencialidad, integridad y disponibilidad de su información, estima la probabilidad y las consecuencias de cada riesgo, decide cuáles tratar y con qué controles. Es la base de todo el SGSI: de él salen el plan de tratamiento y la Declaración de Aplicabilidad.
La norma fija qué debe conseguir el proceso, pero deja libre el método. ISO/IEC 27005:2022 es la guía de referencia para diseñarlo.
Qué exige ISO 27001:2022
| Cláusula | Exigencia |
|---|---|
| 6.1.2 Evaluación de riesgos | Definir criterios de aceptación y de evaluación; obtener resultados coherentes y comparables; identificar riesgos de pérdida de confidencialidad, integridad y disponibilidad; asignar propietarios; analizar consecuencias y probabilidad; comparar con los criterios y priorizar |
| 6.1.3 Tratamiento de riesgos | Elegir opciones de tratamiento; determinar controles; compararlos con el Anexo A; elaborar la SoA y el plan de tratamiento; obtener la aprobación de los propietarios y su aceptación del riesgo residual |
| 8.2 Evaluación en la operación | Repetir la evaluación a intervalos planificados y cuando haya cambios significativos, y conservar los resultados |
| 8.3 Tratamiento en la operación | Ejecutar el plan de tratamiento y conservar los resultados |
Enfoques de evaluación: por activos o por escenarios
ISO/IEC 27005:2022 describe dos enfoques válidos:
| Enfoque | Cómo funciona | Cuándo encaja |
|---|---|---|
| Basado en activos | Se parte del inventario de activos y se analizan amenazas y vulnerabilidades de cada uno | Organizaciones con inventario maduro o que quieren detalle técnico |
| Basado en eventos o escenarios | Se parte de escenarios de riesgo (por ejemplo, «ransomware cifra el ERP») y se analizan sus causas y consecuencias | Para involucrar a la dirección y centrarse en lo que más impacta al negocio |
Se pueden combinar: escenarios para la visión de negocio y activos para el detalle técnico.
En España, el sector público suele usar MAGERIT, la metodología de análisis de riesgos de la Administración, con la herramienta PILAR del Centro Criptológico Nacional. Ambas son compatibles con ISO 27001.
Cómo hacer el análisis de riesgos paso a paso
- Definir la metodología: escalas de probabilidad e impacto, fórmula del nivel de riesgo y criterio de aceptación.
- Identificar riesgos por activos, por escenarios o combinando ambos.
- Asignar un propietario a cada riesgo.
- Analizar probabilidad y consecuencias, teniendo en cuenta los controles existentes.
- Evaluar: comparar con el criterio de aceptación y priorizar.
- Tratar: elegir la opción y los controles para cada riesgo no aceptable.
- Documentar el informe de riesgos, el plan de tratamiento y la SoA.
- Aprobar: los propietarios aprueban el plan y aceptan el riesgo residual.
- Repetir a intervalos planificados y ante cambios significativos.
Ejemplo de matriz y de un riesgo resuelto
Matriz de 5 × 5 con nivel = probabilidad × impacto. Criterio de aceptación de ejemplo: se aceptan riesgos con nivel igual o inferior a 6.
| Probabilidad \ Impacto | 1 Muy bajo | 2 Bajo | 3 Medio | 4 Alto | 5 Muy alto |
|---|---|---|---|---|---|
| 5 Casi segura | 5 | 10 | 15 | 20 | 25 |
| 4 Probable | 4 | 8 | 12 | 16 | 20 |
| 3 Posible | 3 | 6 | 9 | 12 | 15 |
| 2 Improbable | 2 | 4 | 6 | 8 | 10 |
| 1 Rara | 1 | 2 | 3 | 4 | 5 |
Ejemplo resuelto:
| Paso | Valor |
|---|---|
| Escenario | Un ataque de ransomware cifra el servidor de ficheros y las copias conectadas |
| Propietario | Director de operaciones |
| Controles existentes | Antimalware, copias diarias en un NAS conectado a la red |
| Probabilidad | 4 (probable: hay campañas activas en el sector y las copias son accesibles desde la red) |
| Impacto | 5 (parada de producción y posible pérdida de datos de clientes) |
| Nivel inicial | 20, no aceptable |
| Tratamiento | Mitigar: copia inmutable fuera de línea (A.8.13), MFA en accesos remotos (A.8.5), segmentación de red (A.8.22), simulaciones de phishing (A.6.3) |
| Nivel residual estimado | Probabilidad 2 × impacto 3 = 6, aceptable |
| Aprobación | El propietario aprueba el plan y acepta el riesgo residual |
Opciones de tratamiento
| Opción | Qué significa | Ejemplo |
|---|---|---|
| Mitigar | Aplicar controles para reducir probabilidad o impacto | Autenticación multifactor |
| Evitar | Dejar de hacer la actividad que genera el riesgo | No almacenar datos de tarjetas |
| Compartir | Transferir parte del impacto a un tercero | Seguro de ciberriesgos o externalización |
| Aceptar | Asumir el riesgo de forma consciente y aprobada | Riesgo bajo cuyo control cuesta más que el daño posible |
Errores frecuentes
- Cambiar de metodología en cada revisión, con resultados que no se pueden comparar.
- Valorar riesgos sin tener en cuenta los controles existentes.
- No asignar propietarios o asignarlos todos a TI.
- No definir un criterio de aceptación antes de evaluar.
- Hacer el análisis una vez y no repetirlo tras cambios relevantes.
Preguntas frecuentes sobre el análisis de riesgos
No. Exige que el proceso cumpla las condiciones de la cláusula 6.1.2 y que dé resultados coherentes y comparables. ISO 27005 y MAGERIT son guías habituales.
A los intervalos que fije la organización y siempre que haya cambios significativos (cláusula 8.2). Lo habitual es una revisión completa al año.
El propietario del riesgo, que aprueba el plan de tratamiento y acepta formalmente el riesgo que queda (cláusula 6.1.3 f).
El análisis estima la probabilidad y las consecuencias. La evaluación compara el resultado con los criterios y prioriza. El tratamiento decide qué hacer con cada riesgo.
