Cómo realizar evaluaciones de riesgos de cumplimiento con ISMS Copilot

Descripción general

Aprenderá a utilizar ISMS Copilot para realizar evaluaciones exhaustivas de riesgos de seguridad de la información alineadas con ISO 27001, SOC 2 y otros marcos de cumplimiento, desde la definición de la metodología hasta la identificación de riesgos, la evaluación de impactos y la creación de planes de tratamiento de riesgos.

A quién va dirigido

Esta guía es para:

• Profesionales de seguridad que realizan evaluaciones de riesgos anuales

• Responsables de cumplimiento que gestionan programas de evaluación de riesgos

• Organizaciones que se preparan para auditorías ISO 27001 o SOC 2

• Gestores de riesgos que implementan procesos formales de evaluación de riesgos

• Consultores que realizan evaluaciones de riesgos para clientes

Prerrequisitos

Antes de comenzar, asegúrese de tener:

• Una cuenta de ISMS Copilot (prueba gratuita disponible)

• Comprensión de los activos de información y flujos de datos de su organización

• Acceso a la documentación de la arquitectura del sistema

• Disponibilidad de las partes interesadas para talleres de riesgo y validación

Antes de empezar

Comprensión de los fundamentos de la evaluación de riesgos

Evaluación de riesgos frente a gestión de riesgos

Clarificar la terminología:

• Evaluación de riesgos: El proceso de identificación, análisis y valoración de los riesgos

• Tratamiento de riesgos: Selección e implementación de medidas para modificar los riesgos

• Gestión de riesgos: El proceso completo que incluye la evaluación, el tratamiento, el seguimiento y la revisión

Conceptos clave de riesgo

Comprenda los pilares fundamentales:

• Activo: Cualquier cosa que tenga valor para la organización (datos, sistemas, personas, reputación)

• Amenaza: Causa potencial de un incidente no deseado (ransomware, amenaza interna, desastre natural)

• Vulnerabilidad: Debilidad que puede ser aprovechada por una amenaza (software sin parches, contraseñas débiles)

• Probabilidad: Posibilidad de que una amenaza explote una vulnerabilidad

• Impacto: Consecuencia si un riesgo se materializa (pérdida financiera, sanción regulatoria, daño a la reputación)

• Riesgo: Combinación de probabilidad e impacto (a menudo calculado como Riesgo = Probabilidad × Impacto)

• Dueño del riesgo: Persona responsable de gestionar un riesgo específico

Requisitos de los marcos normativos

Los distintos marcos tienen requisitos específicos de evaluación de riesgos:

Paso 1: Configure su espacio de trabajo de evaluación de riesgos

Crear espacio de trabajo dedicado

1. Inicie sesión en ISMS Copilot

2. Cree un nuevo espacio de trabajo: "Evaluación de Riesgos [Año] - [Su Organización]"

3. Añadir instrucciones personalizadas:

Risk assessment context:

Organization: [Company name]
Industry: [SaaS, healthcare, fintech, manufacturing, etc.]
Size: [employees, revenue, locations]
Compliance framework: [ISO 27001, SOC 2, NIST, GDPR, multiple]

Information assets:
- Customer data: [types and sensitivity]
- Systems: [critical applications and infrastructure]
- Intellectual property: [products, algorithms, trade secrets]
- Operations: [key business processes]

Risk appetite:
- Regulatory tolerance: [zero tolerance for compliance violations]
- Financial: [maximum acceptable loss per incident]
- Reputation: [brand protection priorities]
- Operational: [acceptable downtime/disruption]

Assessment approach:
- Method: [asset-based, scenario-based, hybrid]
- Risk calculation: [qualitative, quantitative, semi-quantitative]
- Review frequency: [annual, quarterly for high risks]

Preferences:
- Provide practical, framework-aligned guidance
- Reference specific ISO 27001 clauses or SOC 2 criteria
- Suggest realistic threat scenarios for our industry
- Help prioritize based on actual risk, not just compliance boxes

Paso 2: Defina su metodología de evaluación de riesgos

Documentar el enfoque de identificación de riesgos

Pida a ISMS Copilot que le ayude a crear su metodología:

"Crea un documento de metodología de evaluación de riesgos para el cumplimiento de ISO 27001. Incluye: propósito y alcance de la metodología, cómo se identificarán los activos de información, cómo se identificarán las amenazas y vulnerabilidades (catálogos de amenazas, bases de datos de vulnerabilidades, incidentes históricos), cómo se asignarán los dueños de los riesgos y el enfoque de consulta a las partes interesadas."

Definir criterios de evaluación de riesgos

Cree sus escalas de probabilidad e impacto:

"Define escalas de probabilidad e impacto de 5 niveles para la evaluación de riesgos de seguridad de la información en una [descripción de la empresa]. Para la probabilidad: define niveles del 1 al 5 con rangos de probabilidad y criterios descriptivos. Para el impacto: define niveles del 1 al 5 considerando pérdidas financieras, interrupción operativa, sanciones regulatorias y daños a la reputación. Proporciona ejemplos para cada nivel específicos para [industria]."

Ejemplo de resultado esperado:

Crear matriz de cálculo de riesgos

Defina cómo se calculan las puntuaciones de riesgo:

"Crea una matriz de riesgos de 5×5 que muestre las puntuaciones de riesgo a partir de probabilidad × impacto. Codifica por colores los niveles de riesgo: Bajo (verde, puntuaciones 1-6), Medio (amarillo, puntuaciones 8-12), Alto (naranja, puntuaciones 15-16), Crítico (rojo, puntuaciones 20-25). Esto determinará las prioridades de tratamiento de riesgos."

Establecer criterios de aceptación de riesgos

Defina el apetito de riesgo de su organización:

"Define criterios de aceptación de riesgos para nuestra metodología de evaluación de riesgos. Para los niveles de riesgo (Bajo, Medio, Alto, Crítico), especifica: cuáles pueden aceptarse tal cual, cuáles requieren planes de tratamiento, cuáles requieren aprobación ejecutiva y cuáles son inaceptables. Considera nuestros [requisitos regulatorios, industria, expectativas del cliente]."

Paso 3: Identificar e inventariar los activos de información

Crear inventario de activos

Comience con una lista exhaustiva de activos:

"Crea una plantilla de inventario de activos de información para la evaluación de riesgos que incluya las columnas: ID de Activo, Nombre del Activo, Categoría de Activo (datos, sistema, servicio, personas, instalación), Descripción, Propietario, Custodio, Usuarios, Clasificación (público, interno, confidencial, restringido), Ubicación, Dependencias y Criticidad para el Negocio. Proporciona entradas de ejemplo para una [tipo de empresa]."

Categorizar activos

Organice los activos lógicamente:

"Para nuestra [plataforma SaaS / sistema de salud / aplicación fintech], categoriza los activos de información en: datos de clientes, datos de empleados, propiedad intelectual, sistemas de negocio (CRM, finanzas, RRHH), infraestructura (servidores, red, nube), activos físicos y servicios de terceros. Para cada categoría, enumera ejemplos típicos relevantes para nuestro negocio."

Clasificar activos por criticidad

No todos los activos tienen la misma importancia:

"Define criterios de clasificación de activos basados en: requisitos de confidencialidad (desde público a altamente restringido), requisitos de integridad (criticidad de la exactitud de los datos), requisitos de disponibilidad (tiempo de inactividad aceptable) y criticidad para el negocio (impacto si se ve comprometido o no está disponible). Crea un esquema de clasificación con 3-4 niveles y ejemplos para cada uno."

Cargar documentación existente

Aproveche lo que ya tiene:

1. Cargue diagramas de arquitectura de sistemas, diagramas de flujo de datos o inventarios de activos (PDF, DOCX)

2. Pregunte: "Revisa esta arquitectura de sistema y extrae los activos de información para la evaluación de riesgos. Identifica: almacenes de datos, aplicaciones, componentes de infraestructura, integraciones de terceros y procesos de negocio críticos. Crea un inventario inicial de activos a partir de esta documentación."

Paso 4: Identificar amenazas y vulnerabilidades

Identificar amenazas relevantes

Utilice la IA para generar escenarios de amenazas:

"Para una organización de [industria], identifica amenazas a la seguridad de la información en las siguientes categorías: ciberamenazas (ransomware, phishing, DDoS, brechas de datos, amenazas internas), amenazas físicas (incendio, inundación, robo, acceso no autorizado), amenazas ambientales (corte de energía, fallo de climatización), amenazas humanas (errores, negligencia, internos malintencionados) y amenazas de terceros (brecha en proveedores, caída del proveedor de nube). Prioriza por relevancia para nuestra industria."

Análisis de amenazas específico por activo

Para cada activo crítico, identifique las amenazas aplicables:

"Para nuestra base de datos de clientes que contiene [tipos de datos], identifica amenazas específicas: escenarios de acceso no autorizado, métodos de exfiltración de datos, riesgos de corrupción de datos, amenazas a la disponibilidad (borrado, cifrado, fallo del sistema) y escenarios de amenazas internas. Para cada amenaza, describe: vector de ataque, tipo de actor de la amenaza y motivación típica."

Identificar vulnerabilidades

Relacione las vulnerabilidades con las amenazas:

"Para nuestro entorno [describir infraestructura, stack tecnológico], identifica vulnerabilidades comunes: vulnerabilidades técnicas (sistemas sin parches, configuraciones incorrectas, cifrado débil), vulnerabilidades de proceso (falta de procedimientos, revisiones inadecuadas), vulnerabilidades físicas (debilidades en el acceso a las instalaciones) y vulnerabilidades humanas (formación insuficiente, susceptibilidad a la ingeniería social). Haz referencia a bases de datos CVE y al OWASP Top 10 cuando sea aplicable."

Considerar amenazas específicas de la industria

Obtenga inteligencia de amenazas consciente del contexto:

"¿Cuáles son las amenazas de seguridad de la información más significativas a las que se enfrentan las organizaciones de [salud / servicios financieros / SaaS / fabricación] en 2024-2025? Para cada amenaza, proporciona: datos de prevalencia, patrones de ataque típicos, ejemplos de incidentes reales y por qué esta industria es el objetivo. Prioriza por probabilidad e impacto."

Paso 5: Evaluación de los controles existentes

Inventario de controles actuales

Documente qué protecciones existen:

"Actualmente disponemos de estos controles de seguridad: [enumerar políticas, controles técnicos, herramientas, procedimientos]. Categorízalos por: controles preventivos (evitan que ocurran incidentes), controles detectores (identifican cuándo ocurren incidentes), controles correctores (restauran las operaciones normales) y controles disuasorios (disuaden a los actores de amenazas). Evalúa su eficacia."

Evaluar la eficacia de los controles

Los controles sobre el papel no equivalen a controles operativos:

"Para cada control [revisiones de acceso, cifrado, copias de seguridad, formación en concienciación de seguridad], define criterios para evaluar su eficacia: ¿Está implementado según lo diseñado? ¿Funciona de forma coherente? ¿Existe evidencia de su funcionamiento? ¿Aborda adecuadamente el riesgo? Crea una escala de calificación de eficacia (No Implementado, Parcialmente Eficaz, Mayoritariamente Eficaz, Totalmente Eficaz)."

Identificar brechas de control

Encuentre dónde falta protección:

"Para estas amenazas identificadas [enumerar amenazas clave], asígnalas a nuestros controles existentes [enumerar controles]. Identifica: amenazas sin controles (no mitigadas), amenazas con controles inadecuados (parcialmente mitigadas) y amenazas con múltiples controles superpuestos (defensa en profundidad). Destaca las brechas de control que requieren nuevos controles."

Paso 6: Evaluar la probabilidad e impacto

Evaluar la probabilidad con los controles existentes

Considere las protecciones actuales al evaluar la probabilidad:

"Para la amenaza de [ataque de ransomware en sistemas de producción], evalúa la probabilidad considerando nuestros controles existentes: protección de endpoints, filtrado de correo electrónico, MFA, copias de seguridad, formación en seguridad, segmentación de red. Utilizando nuestra escala de probabilidad 1-5, ¿qué calificación es adecuada? Proporciona la justificación haciendo referencia a la eficacia de los controles."

Evaluar escenarios de impacto

Cuantifique las consecuencias potenciales:

"Si la [base de datos de clientes que contiene PII] se viera comprometida mediante [acceso no autorizado], evalúa el impacto en las siguientes dimensiones: Financiera (costes de respuesta a la brecha, multas regulatorias, pérdida de ingresos), Operativa (tiempo de inactividad del sistema, desvío de recursos), Regulatoria (sanciones GDPR, escrutinio regulatorio) y Reputacional (confianza del cliente, daño a la marca, cobertura mediática). Utilizando nuestra escala de impacto 1-5, proporciona calificaciones con justificación."

Considerar múltiples escenarios

Los impactos de los riesgos varían según el escenario:

"Para nuestro [sistema de copias de seguridad], evalúa el impacto de diferentes escenarios: 1) Las copias de seguridad fallan durante las operaciones normales (descubierto durante las pruebas), 2) Las copias de seguridad fallan y necesitamos recuperarnos de un ransomware, 3) Las copias de seguridad son comprometidas por un atacante. Para cada escenario, evalúa el nivel de impacto y explica por qué difieren a pesar de involucrar el mismo activo."

Paso 7: Calcular y priorizar los riesgos

Calcular puntuaciones de riesgo

Aplique su metodología de forma coherente:

"Utilizando nuestra matriz de riesgos (Probabilidad × Impacto), calcula las puntuaciones de riesgo para estos escenarios: [enumerar 5-10 riesgos identificados con sus calificaciones de probabilidad e impacto]. Para cada uno, proporciona: el cálculo del riesgo, el nivel de riesgo (Bajo/Medio/Alto/Crítico) y la clasificación de prioridad. Muestra los pasos seguidos."

Crear registro de riesgos

Documente todos los riesgos evaluados:

"Crea una plantilla de registro de riesgos que incluya las columnas: ID de Riesgo, Descripción del Riesgo, Activo(s) Relacionado(s), Amenaza, Vulnerabilidad, Controles Existentes, Probabilidad (1-5), Impacto (1-5), Puntuación de Riesgo Inherente, Eficacia del Control, Puntuación de Riesgo Residual, Nivel de Riesgo, Propietario del Riesgo, Decisión de Tratamiento (Aceptar/Mitigar/Transferir/Evitar), Estado del Tratamiento. Rellénala con entradas de ejemplo de nuestra evaluación."

Priorizar para el tratamiento

No todos los riesgos requieren una acción inmediata:

"A partir de nuestro registro de riesgos, prioriza los riesgos para la planificación del tratamiento. Considera: la puntuación de riesgo, el coste del tratamiento frente al coste del impacto, los requisitos regulatorios, las expectativas del cliente, la tendencia (creciente o decreciente) y la complejidad del tratamiento. Crea un backlog de tratamiento priorizado con la justificación de la secuencia."

Paso 8: Desarrollar planes de tratamiento de riesgos

Seleccionar opciones de tratamiento

Para cada riesgo, elija la respuesta adecuada:

"Para estos riesgos altos y críticos [enumerar riesgos], recomienda una estrategia de tratamiento: Mitigar (implementar controles adicionales para reducir la probabilidad o el impacto), Aceptar (documentar la aceptación con justificación), Transferir (seguros, externalización) o Evitar (eliminar la actividad que causa el riesgo). Para la mitigación, sugiere controles específicos con un análisis de coste-beneficio."

Diseñar controles de mitigación

Especifique acciones concretas:

"Para el riesgo de [acceso no autorizado a las bases de datos de producción], los controles actuales son [enumerar controles existentes], el riesgo residual es Alto (puntuación 15). Diseña un plan de mitigación que incluya: controles adicionales a implementar (técnicos y de procedimiento), cronograma de implementación, requisitos de recursos, parte responsable, reducción de riesgo esperada (nivel de riesgo residual objetivo) y estimación del coste de implementación."

Crear hoja de ruta de tratamiento

Secuencie las iniciativas de tratamiento de riesgos:

"A partir de nuestros planes de tratamiento de riesgos, crea una hoja de ruta de implementación para los próximos 12 meses. Organízala por: Victorias rápidas (0-3 meses, bajo esfuerzo/alto impacto), Iniciativas estratégicas (3-6 meses, inversión significativa), Proyectos a largo plazo (6-12 meses, complejos o costosos). Para cada iniciativa, especifica: riesgos abordados, controles a implementar, dependencias, necesidades de recursos y criterios de éxito."

Paso 9: Mapear los riesgos con los controles de cumplimiento

Mapeo de controles ISO 27001

Vincule los riesgos con los controles del Anexo A:

"Para estos riesgos identificados [cargar o enumerar riesgos], asígnalos a los controles del Anexo A de ISO 27001:2022 que los mitigarían. Crea un mapeo que muestre: ID de Riesgo, Descripción del Riesgo, Control(es) Aplicable(s) (p. ej., A.8.2, A.8.23), Objetivo del Control y cómo el control reduce la probabilidad o el impacto. Esto servirá de apoyo a nuestra Declaración de Aplicabilidad."

Alineación con los criterios SOC 2

Conecte los riesgos con los Criterios de Servicios de Confianza:

"Mapea los resultados de nuestra evaluación de riesgos con los Criterios Comunes de SOC 2. Para cada categoría de riesgo [riesgos de control de acceso, riesgos de gestión de cambios, riesgos de disponibilidad, etc.], identifica: los objetivos de control de los Criterios Comunes relevantes (CC1-CC9), los controles específicos que abordan el riesgo y qué evidencia demuestra la mitigación del riesgo. Esto servirá de apoyo para nuestra descripción del sistema SOC 2."

Justificar la selección de controles

Demuestre un enfoque basado en el riesgo:

"Para nuestra Declaración de Aplicabilidad, documenta por qué seleccionamos estos controles ISO 27001 [enumerar controles]. Para cada control, haz referencia a: qué riesgos identificados aborda (IDs de Riesgo), las puntuaciones de riesgo antes del control, la reducción de riesgo esperada y por qué este control es adecuado para nuestro contexto. Esto demuestra que la selección de controles se basa en el riesgo y no es arbitraria."

Paso 10: Documentar y comunicar los hallazgos

Crear resumen ejecutivo

Informe a la dirección:

"Crea un resumen ejecutivo de la evaluación de riesgos para la dirección que incluya: alcance y metodología de la evaluación, total de riesgos identificados por nivel (Crítico: X, Alto: Y, Medio: Z, Bajo: W), los 10 principales riesgos que requieren atención inmediata, temas o patrones de riesgo clave, inversiones recomendadas para el tratamiento, riesgo residual tras los tratamientos planificados y comparación con evaluaciones anteriores (si procede). Objetivo: resumen ejecutivo de 2 páginas."

Desarrollar informe técnico de riesgos

Hallazgos detallados para especialistas:

"Crea un informe exhaustivo de evaluación de riesgos que incluya: resumen ejecutivo, documentación de la metodología, inventario de activos, análisis de amenazas y vulnerabilidades, resultados de la evaluación de riesgos, registro de riesgos completo, visualización del mapa de calor de riesgos, recomendaciones de tratamiento con estimaciones de costes, hoja de ruta de implementación y apéndices (escalas de probabilidad/impacto, catálogo de controles). Formato adecuado para la presentación en una auditoría ISO 27001."

Presentar a las partes interesadas

Comunique a diferentes audiencias:

"Crea tres versiones de la comunicación de la evaluación de riesgos: 1) Presentación para la alta dirección (5 diapositivas: hallazgos clave, principales riesgos, presupuesto solicitado), 2) Sesión informativa para el equipo técnico (detalles de implementación de controles, responsabilidades), 3) Informe para el comité de riesgos del consejo (gobernanza, alineación con el apetito de riesgo, requisitos de supervisión). Adapta el mensaje y el nivel de detalle para cada audiencia."

Paso 11: Planificar el seguimiento y la revisión

Establecer el seguimiento de riesgos

Los riesgos cambian con el tiempo:

"Diseña un programa de seguimiento de riesgos que incluya: qué indicadores de riesgo rastrear (inteligencia de amenazas, frecuencia de incidentes, fallos de control, resultados de escaneos de vulnerabilidades), frecuencia de seguimiento (continuo, mensual, trimestral), desencadenantes para una reevaluación (nuevas amenazas, cambios importantes, incidentes significativos), calendario de informes para la dirección y asignación de responsabilidades."

Programar revisiones periódicas

Mantenga actualizada la evaluación de riesgos:

"Crea un calendario de revisión de riesgos: reevaluación integral anual (requisito de ISO 27001), revisiones trimestrales de riesgos altos y críticos, actualizaciones mensuales de inteligencia de amenazas, revisiones ad-hoc activadas por [cambios importantes en el sistema, nuevas regulaciones, incidentes significativos, actividad de fusiones y adquisiciones]. Documenta los procedimientos de revisión y los entregables para cada tipo de revisión."

Seguimiento del progreso del tratamiento de riesgos

Asegúrese de que los planes se hagan realidad:

"Diseña un mecanismo de seguimiento del tratamiento de riesgos que incluya: estado del plan de tratamiento (No Iniciado, En Progreso, Completado), hitos y plazos, bloqueos o problemas, consumo de presupuesto, reducción de la puntuación de riesgo lograda y fechas de finalización previstas. Crea un formato de panel de control para las revisiones mensuales de la dirección."

Errores comunes en la evaluación de riesgos

Próximos pasos tras la evaluación de riesgos

Ha completado su evaluación de riesgos de cumplimiento:

• ✓ Metodología de riesgos documentada y aprobada

• ✓ Activos de información identificados y clasificados

• ✓ Amenazas y vulnerabilidades catalogadas

• ✓ Controles existentes evaluados

• ✓ Riesgos evaluados con puntuaciones de probabilidad e impacto

• ✓ Registro de riesgos creado y priorizado

• ✓ Planes de tratamiento desarrollados

• ✓ Hallazgos documentados y comunicados

• ✓ Procesos de seguimiento y revisión establecidos

Continúe con la implementación:

• Utilice los planes de tratamiento de riesgos para guiar la implementación de controles

• Actualice la Declaración de Aplicabilidad con las justificaciones de riesgo

• Comience a recopilar evidencias del seguimiento y tratamiento de los riesgos

• Programe revisiones de riesgo trimestrales para los riesgos altos y críticos

Obtener ayuda

• Cargar documentación: Aprenda cómo cargar diagramas y documentación del sistema para la identificación de activos

• Verificar escenarios de riesgo: Comprenda cómo evitar alucinaciones de la IA al validar la inteligencia de amenazas

• Mejores prácticas: Revise cómo usar ISMS Copilot de manera responsable para la calidad de la evaluación de riesgos