Qué exige la norma y dónde
- 6.1.2, evaluación de riesgos: criterios escritos, un método que dé resultados comparables si se repite, riesgos sobre la confidencialidad, la integridad y la disponibilidad, y un dueño por riesgo.
- 6.1.3, tratamiento: elegir qué hacer con cada riesgo, determinar los controles, compararlos con los 93 del Anexo A, escribir la Declaración de Aplicabilidad y obtener la aprobación de los dueños.
- 8.2 y 8.3, operación: repetir la evaluación a intervalos planificados y cuando algo cambia, ejecutar el plan y conservar los resultados.
El método lo eliges tú. ISO/IEC 27005 es la guía que explica cómo hacerlo; no es certificable.
Ocho pasos para una PYME
- Contexto y alcance. Qué procesos y servicios entran, y qué te exigen los clientes, los contratos y leyes como la de protección de datos personales.
- Criterios. Escalas de probabilidad y de impacto, matriz y umbral de aceptación, aprobados por la dirección y con fecha. Si se fijan después de calificar, el resultado se acomoda.
- Escenarios. Entre 8 y 15 situaciones de alto nivel que preocupan a la dirección: nos cifran los datos, se fuga la base de clientes, se va la única persona que administra los sistemas.
- Activos, solo donde importa. En los escenarios más graves, baja al detalle: qué activos intervienen, qué debilidades tienen y qué controles existen.
- Calificar. Probabilidad e impacto de cada escenario con los criterios del paso 2, y comparación con el umbral.
- Tratar. Una decisión por riesgo (reducir, evitar, compartir o asumir), los controles necesarios, la comparación con el Anexo A y un plan con responsable y fecha.
- Aprobar. Cada dueño aprueba su plan y acepta por escrito el riesgo que queda. Ni el consultor ni una herramienta aceptan riesgos.
- Repetir. A intervalos planificados y ante cambios: un proveedor nuevo, un incidente, un sistema nuevo. Cada ronda se conserva.
Las columnas mínimas del registro
Escenario, activos implicados, dueño (un cargo, no un área), probabilidad, impacto, nivel, si está dentro del umbral, decisión de tratamiento, controles del Anexo A, riesgo residual, quién lo aceptó y cuándo, y fecha de la próxima revisión. Si falta el dueño o la aceptación, la fila no está terminada.
Escenario: «Posibilidad de pérdida de disponibilidad de la base de datos de pedidos por cifrado malicioso, aprovechando copias de seguridad que nunca se han restaurado». Dueña: la jefa de producción. Control existente: copia diaria (Anexo A 8.13). Plan: prueba de restauración cada trimestre, a cargo de quien administra los sistemas, con acta. En la Declaración de Aplicabilidad, el control 8.13 queda como aplicable y enlazado a este riesgo.
Qué revisa el auditor
- Que los criterios estén documentados y aprobados antes de la primera calificación.
- Que cada riesgo tenga dueño y que ese dueño haya aprobado el plan.
- Que el riesgo residual esté aceptado formalmente.
- Que cada control de la Declaración de Aplicabilidad se pueda rastrear hasta un riesgo, y que las exclusiones estén justificadas.
- Que la evaluación se haya repetido y que los resultados anteriores se conserven.
Cinco errores que se repiten
- Hacer la matriz una vez, para la auditoría, y no volver a abrirla.
- Inventariar 500 activos antes de tener los escenarios.
- Copiar los 93 controles en la Declaración de Aplicabilidad sin enlazarlos a ningún riesgo.
- Poner como dueño a «sistemas» en lugar de a un cargo con autoridad.
- Mezclar el daño a la empresa con el daño a las personas dueñas de los datos. El segundo se valora aparte y pertenece a la privacidad.
Para ver un riesgo calificado de principio a fin, sigue con la guía Cómo se valora un riesgo, paso a paso. Riesgos, la herramienta de The Ark of ISO, lleva este registro con el residual calculado y la bitácora de cada cambio.