La gestión de riesgos es uno de los pilares fundamentales de la norma ISO/IEC 27001, que establece los requisitos para un sistema de gestión de seguridad de la información (SGSI).
Esta norma internacional es ampliamente utilizada por organizaciones que desean garantizar la confidencialidad, integridad y disponibilidad de su información.
Importancia de la gestión de riesgos según la ISO 27001
1. Identificación proactiva de amenazas y vulnerabilidades
La norma promueve el identificar qué activos de información están en riesgo en cada organización, cuáles son las amenazas que podrían afectarlos y cuáles son sus vulnerabilidades.
2. Evaluación y tratamiento de riesgos
La norma ISO 27001 exige que las organizaciones certificadas bajo esta norma, hagan una evaluación de sus riesgos en función de su probabilidad e impacto, y que a la vez, definan planes de acción y medidas de tratamiento adecuadas para saber en un momento dado, cómo aceptarlos, cómo mitigaros, transferirlos o evitarlos.
3. Decisiones basadas en el riesgo
Los controles de seguridad, y las decisiones sobre los mismos, se toman teniendo en cuento un análisis racional de los riesgos identificados en cada organización y de su evaluación.
4. Mejora continua del SGSI
El ciclo PDCA (Planificar, Hacer, Verificar, Actuar) que rige la ISO 27001 permite que la gestión de riesgos sea dinámica y se ajuste a cambios en el entorno, la tecnología o la organización.
5. Cumplimiento legal y contractual
Si tenemos una buena gestión de riesgos, contribuimos a facilitar el cumplimiento con los requisitos legales, normativos y contractuales en materia de seguridad de la información.
6. Confianza y reputación
Tener una buena gestión de riesgos, refuerza que nuestros clientes y partes interesadas tengan más confianza en nuestros productos o servicios, lo que se traduce en una ventaja competitiva sostenible.
Principales riesgos a evaluar según ISO 27001
1. Acceso no autorizado a la información
Riesgo de que personas no autorizadas accedan a información confidencial, lo que puede comprometer la privacidad y seguridad de los datos.
2. Pérdida de disponibilidad de los sistemas
Fallos técnicos, ataques de denegación de servicio (DDoS) o desastres naturales pueden impedir el acceso a los servicios o datos cuando se necesitan.
3. Pérdida o corrupción de datos
Riesgo de que los datos se borren accidentalmente, se modifiquen de forma indebida o se dañen por errores humanos o fallos tecnológicos.
4. Errores humanos
Acciones involuntarias de los empleados, como enviar un correo con información sensible a la persona equivocada o usar contraseñas débiles.
5. Fugas de información
Divulgación no autorizada de información, ya sea por ataques externos, malware o comportamientos negligentes.
6. Ataques de software malicioso (malware/ransomware)
Programas diseñados para dañar, robar o cifrar datos que pueden paralizar la actividad de una organización.
7. Fallos en proveedores externos
Dependencia de servicios externos (como la nube) que pueden sufrir interrupciones, brechas de seguridad o no cumplir con los estándares.
8. Ingeniería social y phishing
Manipulación psicológica a empleados para obtener acceso a datos o sistemas mediante engaños.
9. Falta de cumplimiento legal o normativo
Riesgo de sanciones o pérdidas por no cumplir con leyes como el RGPD (Reglamento General de Protección de Datos) o requisitos del sector.
10. Riesgos relacionados con el teletrabajo y dispositivos móviles
Acceso remoto a sistemas corporativos con posibles brechas de seguridad si no se gestionan adecuadamente.
Cada uno de estos riesgos debe ser evaluado y tratado según su probabilidad de ocurrencia y su impacto, siguiendo el enfoque de mejora continua del SGSI que propone ISO 27001 y de ser necesario, consultar la ISO 31000.
Tomado de: https://isotools.org/
