Gestión de riesgos y controles de seguridad
Este dominio evalúa el proceso de identificar, analizar, evaluar y tratar el riesgo, y la capacidad de justificar una inversión en controles con números o con criterios documentados.
Proceso (ISO 31000 / ISO/IEC 27005)
- Definir contexto y alcance. 2. Identificar activos, amenazas y vulnerabilidades. 3. Analizar probabilidad e impacto, cualitativamente con matriz 5x5 o cuantitativamente con valores monetarios. 4. Evaluar frente a los criterios de aceptación. 5. Tratar: mitigar o reducir, transferir (seguro), evitar (no realizar la actividad) o aceptar, siempre con dueño del riesgo identificado. 6. Monitorear, revisar y comunicar.
Conceptos que se confunden
Riesgo inherente es el que existe sin controles; residual, el que queda después. En ISO/IEC 27001, la Declaración de Aplicabilidad (SoA) documenta qué controles del Anexo A se aplican y por qué, y el análisis de brecha muestra la distancia entre el estado actual y el objetivo. Los indicadores útiles son medibles: porcentaje de parches aplicados dentro del plazo, MTTD, incidentes reiterados.
Fórmulas de trabajo
SLE (pérdida por incidente) = valor del activo × factor de exposición. ALE (pérdida anual esperada) = SLE × ARO (frecuencia anual).
Ejemplo razonado
Un servidor de facturación valorado en RD$2,000,000: si se compromete, se estima una pérdida del 40 % (SLE = 800,000). Ocurre en promedio una vez cada dos años (ARO = 0,5), luego ALE = 400,000 al año. Un control combinado de EDR, respaldo inmutable y segmentación cuesta RD$150,000 anuales y baja la frecuencia a una vez cada diez años (ALE residual = 80,000). El beneficio anual es de unos 320,000 frente a un costo de 150,000: el control se justifica. Aun así, el riesgo residual de 80,000 debe aceptarse formalmente o seguir tratándose; no desaparece.
Errores que cuestan puntos
Confundir SLE con ALE y multiplicar dos veces. Mezclar probabilidad con impacto. Presentar el riesgo residual como cero tras implantar un control. Aceptar riesgo sin firma del dueño ni registro. Confundir el control técnico con la política que lo respalda. Suponer que transferir el riesgo con un seguro elimina la responsabilidad legal o reputacional.