ISO 27001 no le dice a ninguna empresa qué controles implementar. Le pide que mire sus propios riesgos y decida en función de ellos. Por eso, casi todo lo que el auditor revisa después (los controles elegidos, las políticas, la Declaración de Aplicabilidad) tiene que poder rastrearse hasta la evaluación de riesgos. Esta guía explica qué exige la norma y cómo hacerla en 6 pasos, con ejemplos concretos.
Resumen rápido
- Dos partes: la evaluación de riesgos (cláusula 6.1.2) identifica, analiza y prioriza; el tratamiento (cláusula 6.1.3) decide qué hacer con cada riesgo.
- La metodología es libre: la norma no impone una, pero exige que dé resultados coherentes y comparables cada vez que se aplica.
- Cuatro opciones de tratamiento: reducir, aceptar, evitar o compartir el riesgo.
- Lo que produce: una metodología escrita, un registro de riesgos, un plan de tratamiento, la Declaración de Aplicabilidad y la aprobación de los riesgos residuales.
- Frecuencia: a intervalos que define la organización y cada vez que hay un cambio significativo. Muchas empresas la revisan una vez por año como mínimo.
Qué exige ISO 27001 sobre los riesgos
La gestión de riesgos aparece en dos momentos de la norma: en la planificación, donde se define cómo se evalúan y tratan los riesgos, y en la operación, donde ese proceso se ejecuta y se repite.
| Cláusula | Qué pide, en pocas palabras |
|---|---|
| 6.1.2 Evaluación | Definir criterios para evaluar y aceptar riesgos; identificar los riesgos y sus responsables; analizar probabilidad e impacto; priorizarlos |
| 6.1.3 Tratamiento | Elegir cómo tratar cada riesgo, definir los controles necesarios, contrastarlos con el Anexo A, armar la Declaración de Aplicabilidad y el plan de tratamiento, y obtener la aprobación de los responsables |
| 8.2 y 8.3 | Repetir la evaluación a intervalos planificados o ante cambios significativos, ejecutar el plan de tratamiento y conservar los resultados |
Descripción resumida con palabras propias. El texto oficial de la norma se adquiere a ISO o al organismo de normalización de cada país.
Para quien busca orientación más detallada, la norma ISO/IEC 27005 es la guía de ISO para la gestión de riesgos de seguridad de la información. No es certificable ni obligatoria, pero ayuda a diseñar la metodología.
Paso 1. Definir la metodología y los criterios
Antes de listar un solo riesgo, la organización decide cómo los va a medir. La metodología tiene que estar escrita y responder, como mínimo, estas preguntas:
- Cómo se identifican los riesgos: a partir de los activos de información, de escenarios de amenaza o de una combinación de ambos.
- Con qué escala se miden: por ejemplo, probabilidad e impacto de 1 a 5.
- Cómo se calcula el nivel de riesgo: por ejemplo, multiplicando probabilidad por impacto.
- Cuál es el criterio de aceptación: a partir de qué nivel un riesgo debe tratarse y quién puede aceptar el riesgo que queda.
La norma no exige una metodología en particular, pero sí que sea repetible: si dos personas la aplican al mismo riesgo, deberían llegar a un resultado parecido. Para una empresa chica, una matriz simple bien documentada suele ser suficiente.
Paso 2. Identificar los riesgos y sus responsables
El objetivo es encontrar todo lo que podría hacer perder la confidencialidad, la integridad o la disponibilidad de la información dentro del alcance. Hay dos enfoques habituales, que se pueden combinar:
- Basado en activos
Se parte del inventario (sistemas, bases de datos, laptops, proveedores, personas) y se pregunta qué amenazas y vulnerabilidades afectan a cada uno.
- Basado en escenarios
Se parte de lo que podría salir mal (un ransomware, la caída de un proveedor, una filtración por error humano) y se analiza qué activos involucra.
Desde la versión 2013, la norma ya no obliga a usar el enfoque basado en activos. Lo que sí exige es que cada riesgo tenga un responsable: la persona con autoridad para decidir sobre él, que suele ser quien está a cargo del proceso o del sistema afectado.
Conviene incluir también los riesgos de proveedores y servicios en la nube, que hoy concentran buena parte de la información de las empresas.
Paso 3. Analizar y priorizar los riesgos
Cada riesgo se puntúa según la probabilidad de que ocurra y el impacto que tendría. Con una escala de 1 a 5, el nivel de riesgo va de 1 a 25. Una forma habitual de agruparlos:
| Nivel (probabilidad × impacto) | Clasificación | Qué se hace |
|---|---|---|
| 1 a 4 | Bajo | Puede aceptarse y monitorearse |
| 5 a 9 | Medio | Se trata según prioridad y recursos |
| 10 a 16 | Alto | Se trata con un plan y plazo definidos |
| 17 a 25 | Crítico | Se trata de inmediato |
Ejemplo ilustrativo. Cada organización define sus propios rangos y su umbral de aceptación en la metodología.
El resultado es una lista priorizada: qué riesgos superan el criterio de aceptación y en qué orden hay que tratarlos.
Paso 4. Decidir cómo tratar cada riesgo
Para cada riesgo que supera el criterio de aceptación, la organización elige una de cuatro opciones:
- Reducir
Implementar controles que bajen la probabilidad o el impacto. Es la opción más común.
- Aceptar
Asumir el riesgo de forma consciente, con la aprobación de su responsable y una justificación.
- Evitar
Dejar de hacer la actividad que genera el riesgo, por ejemplo, no guardar un tipo de dato que no se necesita.
- Compartir
Trasladar parte del riesgo a un tercero, por ejemplo, con un seguro o un proveedor especializado.
Para cada opción elegida se definen los controles necesarios para llevarla a cabo. Reducir es la que más controles requiere, pero compartir también los necesita: trasladar un riesgo a un proveedor, por ejemplo, exige cláusulas de seguridad en el contrato (control 5.20). Esos controles se contrastan con los 93 del Anexo A, para comprobar que no se haya omitido ninguno relevante. Ese contraste es la base de la Declaración de Aplicabilidad, que indica qué controles aplican, cuáles no y por qué.
Ejemplo de registro de riesgos
| Riesgo | Responsable | P × I | Tratamiento | Controles del Anexo A |
|---|---|---|---|---|
| Acceso indebido a la base de datos de clientes por credenciales robadas | CTO | 4 × 5 = 20 | Reducir | 5.15 Control de acceso, 8.5 Autenticación segura |
| Pérdida de datos por ransomware | Responsable de infraestructura | 3 × 5 = 15 | Reducir | 8.7 Protección contra malware, 8.13 Copias de seguridad |
| Caída del proveedor de nube principal | CTO | 2 × 4 = 8 | Compartir y reducir | 5.19 Seguridad con proveedores, 5.30 Continuidad de las TIC |
| Envío de información confidencial por error | Responsable de operaciones | 3 × 3 = 9 | Reducir | 6.3 Concientización y capacitación |
| Robo de una laptop sin datos sensibles | Responsable de IT | 2 × 2 = 4 | Aceptar | (se acepta y monitorea) |
Ejemplo ilustrativo de una empresa de software. Los nombres de los controles están resumidos con palabras propias.
Paso 5. Armar el plan de tratamiento y aprobar los riesgos residuales
El plan de tratamiento convierte las decisiones en trabajo concreto: qué control se implementa, quién lo hace, con qué recursos y para cuándo. Una vez aplicado, cada riesgo queda con un riesgo residual, que es el que permanece después de los controles.
La norma pide que los responsables de cada riesgo aprueben el plan y acepten formalmente esos riesgos residuales. Esa aprobación tiene que quedar registrada: el auditor suele pedirla.
Al terminar este paso, la organización debería tener estos documentos:
- Metodología de evaluación de riesgos, con escalas y criterio de aceptación.
- Registro o informe de evaluación de riesgos, con cada riesgo, su responsable y su nivel.
- Plan de tratamiento de riesgos, con controles, responsables y plazos.
- Declaración de Aplicabilidad, con la justificación de cada control del Anexo A.
- Registro de aprobación del plan y de los riesgos residuales.
Paso 6. Revisar los riesgos de forma continua
La evaluación de riesgos no se hace una sola vez. La norma pide repetirla a intervalos planificados, que define cada organización, y cada vez que se proponga o se produzca un cambio significativo. Algunos ejemplos de cambios que justifican una revisión:
- Un producto o servicio nuevo dentro del alcance.
- Un proveedor crítico nuevo o un cambio de infraestructura.
- Un incidente de seguridad, propio o de una empresa del sector.
- Un cambio en la regulación o en los requisitos de un cliente.
En la práctica, muchas empresas hacen una revisión completa una vez por año, antes de la revisión por la dirección, y actualizaciones puntuales cuando ocurre alguno de estos cambios.
Errores frecuentes en la evaluación de riesgos
- Copiar una lista genérica
Un registro descargado que no refleja la empresa se nota en la primera entrevista con el auditor.
- Una metodología que nadie puede repetir
Si los puntajes dependen de quién evalúa, los resultados no son comparables.
- Riesgos sin responsable
Sin alguien con autoridad para decidir, el tratamiento no avanza.
- Elegir controles antes de evaluar
La Declaración de Aplicabilidad tiene que justificarse en los riesgos, no al revés.
- Aceptar riesgos sin registro
Toda aceptación necesita una justificación y la aprobación de su responsable.
- No volver a mirar el registro
Un registro que no cambia en un año, en una empresa que sí cambió, es una señal de alerta.
La evaluación de riesgos y las leyes de datos en Latinoamérica
Las leyes de protección de datos de la región, como la Ley 25.326 en Argentina o la LGPD en Brasil, piden aplicar medidas de seguridad adecuadas para proteger los datos personales. Una evaluación de riesgos documentada según ISO 27001 es una forma ordenada de mostrar por qué se eligieron esas medidas y no otras.
Si la empresa trata datos personales, conviene incluir en el registro los riesgos específicos para esos datos, como accesos indebidos, transferencias a proveedores o conservación por más tiempo del necesario.
Cómo ayuda Certenza con la evaluación de riesgos
Muchas empresas arrancan la evaluación de riesgos en una planilla. Funciona las primeras semanas, pero cuando aparecen nuevos riesgos, cambian los responsables o hay que mostrarle al auditor qué se hizo con cada uno, la planilla deja de alcanzar. Certenza ordena ese trabajo para que la metodología, el tratamiento y la evidencia queden conectados:
- Cada control del plan, con dueño y estado
Los controles que surgen del plan de tratamiento quedan asignados a un responsable, con su avance visible, para saber qué riesgos ya están cubiertos y cuáles no.
- La metodología y la política, redactadas con ayuda de IA
Certenza ayuda a escribir la metodología de evaluación y la política de gestión de riesgos según el contexto y el tamaño de la empresa, sin partir de una plantilla genérica.
- Evidencia de que el tratamiento funciona
Al conectar las herramientas que la empresa ya usa, se reúne la evidencia de que los controles elegidos operan, que es lo que el auditor pide para dar por tratado un riesgo.
Quién acepta un riesgo y cómo se trata sigue siendo una decisión de la organización y de sus responsables. El certificado lo emite un organismo acreditado que se contrata por separado.
¿Querés ordenar tus riesgos?
Te mostramos cómo llevar la evaluación y el tratamiento de riesgos en Certenza.