{"id":91,"date":"2026-08-18T10:31:54","date_gmt":"2026-08-18T10:31:54","guid":{"rendered":"https:\/\/proskurnya.com\/es\/evaluacion-de-riesgos-seguridad-informacion\/"},"modified":"2026-08-18T10:31:54","modified_gmt":"2026-08-18T10:31:54","slug":"evaluacion-de-riesgos-seguridad-informacion","status":"publish","type":"post","link":"https:\/\/proskurnya.com\/es\/evaluacion-de-riesgos-seguridad-informacion\/","title":{"rendered":"Evaluaci\u00f3n de riesgos de seguridad de la informaci\u00f3n: metodolog\u00eda pr\u00e1ctica sin paja"},"content":{"rendered":"

La evaluaci\u00f3n de riesgos es el cimiento de la ISO 27001 \u2014 y el lugar donde las empresas m\u00e1s naufragan: toman una plantilla ajena de 200 filas y rellenan n\u00fameros mec\u00e1nicamente. He visto cientos de registros de riesgos \u2014 esta es la metodolog\u00eda que funciona de verdad en empresas de hasta varios cientos de personas.<\/p>\n

Paso 1. Inventario de activos<\/h2>\n

Agrupe los activos por categor\u00edas: datos (de clientes, personales, c\u00f3digo), sistemas (producci\u00f3n, servicios corporativos), personas y roles, proveedores. No detalle hasta cada port\u00e1til \u2014 trabaje con grupos. Cada activo tiene un due\u00f1o.<\/p>\n

Paso 2. Amenazas y vulnerabilidades<\/h2>\n

Para cada grupo pregunte: \u00bfqu\u00e9 puede salir mal? Fuga, indisponibilidad, corrupci\u00f3n de datos, p\u00e9rdida de una persona clave, proveedor comprometido. Use la experiencia real: los incidentes pasados son la mejor fuente.<\/p>\n

Paso 3. Evaluaci\u00f3n<\/h2>\n

Basta una escala 1\u20135 para probabilidad e impacto; riesgo = producto. Lo esencial son los criterios<\/strong>: qu\u00e9 significa \u00abimpacto 4\u00bb (por ejemplo, parada de m\u00e1s de un d\u00eda o multa del regulador). Sin criterios, las evaluaciones de distintas personas no se comparan.<\/p>\n

Paso 4. Tratamiento<\/h2>\n

Cuatro opciones: reducir (implantar un control), transferir (seguro, outsourcing), evitar (abandonar la pr\u00e1ctica), aceptar (conscientemente, con firma del due\u00f1o del riesgo). Los controles elegidos van al plan de tratamiento y a la SoA<\/a>.<\/p>\n

Con qu\u00e9 frecuencia revisar<\/h2>\n

Como m\u00ednimo una vez al a\u00f1o y tras cambios relevantes: nuevo producto, migraci\u00f3n a la nube, incidente. En las empresas maduras, la revisi\u00f3n de riesgos est\u00e1 integrada en la planificaci\u00f3n trimestral \u2014 el sistema vivo del que hablo en el art\u00edculo sobre la vida tras la certificaci\u00f3n<\/a>.<\/p>\n

Lea tambi\u00e9n<\/h3>\n