Universidad Piloto de Colombia, Melo Reyes, Oscar Javier.

Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 1

ASPECTOS A TENER EN CUENTA PARA EL

ANÁLISIS DE RIESGOS CON BASE EN LAS NORMAS
ISO/IEC 27001, ISO/IEC 27005 E ISO/ IEC 31000
Melo Reyes, Oscar Javier.
[email protected]
Universidad Piloto de Colombia

Resumen— El presente artículo pretende dar una I. INTRODUCCIÓN

orientación al lector acerca de cuáles son los principales aspectos Para llevar a cabo una adecuada Gestión de Riesgos
que se deben tener en cuenta para llevar a cabo una adecuada de cara garantizar la seguridad de la información es
gestión del riesgo de acuerdo con las normas a tratar en el
necesario definir una adecuada estrategia de
presente documento como son las tres (3) normas pertenecientes
a la familia ISO: la ISO 27001 la cual especifica los requisitos seguridad de la información la cual debe contener las
para la implementación de un Sistema de Gestión de Seguridad metas y directrices las cuales harán parte del
de la Información (SGSI), la ISO 27005 la cual hace referencia programa de seguridad de la información,
a como se lleva a cabo la gestión de riesgos de seguridad y por posteriormente dicha estrategia dará las bases para la
último la ISO 31000 la cual enfatiza los principios y las
implementación de un Gobierno para la seguridad de
directrices para llevar a cabo la gestión del riesgo. También se
tratarán conceptos relacionados a la Gestión de Riesgos como el la información cuya importancia radica en brindar
Gobierno de Seguridad de la Información, ¿qué es?, ¿cómo se confianza, así como proporcionar solidez para una
encuentra conformado? y como se relaciona con la gestión de adecuada Gestión de Riesgos eficiente y efectiva
riesgos, ¿Qué es el gobierno de TI?, ¿por qué es importante? y entre otros. A partir de aquí podemos concentrarnos
¿cuál es su relación con el gobierno de seguridad de la
en la gestión de riesgos para lo cual debemos definir
información?, todo esto con la principal finalidad de enunciar
algunos de los aspectos a considerar cuando se habla de una metodología para llevar a cabo el respectivo
gestionar el riesgo en las organizaciones. análisis de riesgos, entonces de ahí surge la pregunta,
¿cuál metodología es la adecuada?; en el presente
artículo se tratarán algunas de las principales
Índice de Términos— Gestión de riesgos, análisis,
metodologías (estándares) para gestionar el riesgo
metodología, seguridad de la información.
como son la ISO/ IEC 27001, 27005, y la 31000 para
conocer la forma como llevan a cabo la gestión del
Abstract— This article intends to give the reader an riesgo y como se encuentran relacionadas entre sí para
orientation as to what are the main aspects that must be taken apalancar un Sistema de Gestión de Seguridad de la
into account to carry out adequate risk management in Información.
accordance with the standards to be discussed in this document,
such as the three (3) standards belonging to the ISO family:
27001 which specifies the requirements for the implementation II. EL GOBIERNO DE SEGURIDAD DE
of an Information Security Management System (ISMS), 27005 LA INFORMACIÓN
which refers to how security risk management is carried out and
finally the 31000 which emphasizes the principles and
Antes de abordar la gestión de Riesgos en
guidelines for carrying out risk management. Concepts related determinada organización debe tener previamente
to Risk Management such as the Government of Information definido lo que es el Gobierno de Seguridad de la
Security will also be discussed, what is it, how is it formed? And Información, para hacerlo se debe definir
as it relates to risk management, what is IT governance? Why is previamente la estrategia de seguridad de la
it important? And what is your relationship with the information
security government? All this with the main purpose of stating
organización, dicha estrategia se encarga de
some of the aspects to consider when talking about managing documentar la dirección y las metas que se van a
risk in organizations. implementar en el programa de seguridad de la
información dando así los cimientos para la
implantación del Gobierno de Seguridad de la
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 2

información, de acuerdo con el manual de límites para personas, procesos, procedimientos y

certificación en administración de seguridad de la tecnologías con el fin de promover el cumplimiento
información dicho gobierno se define como “las de las políticas, también para respaldar el logro de los
reglas que dirigen la organización, que incluyen objetivos, una política puede contener varios
políticas, estándares y procedimientos que se utilizan estándares de acuerdo con el nivel de clasificación del
para establecer la dirección y controlar las actividades activo y su relación con el estándar. Otro aspecto que
de la organización” [1]. Entonces el primer paso para sugiere para respaldar la estrategia de seguridad de la
establecer un Gobierno de la Seguridad de la información en proyectos nuevos es la creación de un
información es que la alta dirección de termine cuales “caso de negocio” el cual se utiliza para capturar el
son los resultados que desea obtener del programa de razonamiento del negocio al iniciar un proyecto o
seguridad de la información esto se logra mediante tarea en él se deben identificar plenamente las
acuerdos establecidos entre la dirección y los jefes de necesidades y el propósito del negocio con el fin de
cada unidad de negocio. Es así como el gerente de implementar diferentes procesos de gobierno
seguridad de la información cuenta con la incluyendo tecnologías y la relación costo- beneficio,
información necesaria para desarrollar los requisitos es decir, la propuesta de valor al momento de llevarlo
que contiene el plan de seguridad y seguidamente a cabo. El caso de negocio debe incluir factores que
concentrara sus esfuerzos en establecer los objetivos pueden contribuir al éxito o al fracaso de proyecto,
del plan los cuales una vez logrados satisfarán los por último, su presentación debe incluir aspectos
requisitos. Para establecer tales objetivos nos como beneficios, costos y riesgos además ser
debemos basar en los resultados que previamente expuesto de manera convincente.
estableció la alta dirección y es aquí donde se dispone Hallazgos en la encuesta global de seguridad de la
de diferentes marcos de referencia para ayudar a información realizada en el año 2015 por la firma EY
definir el estado deseado por lo que se determinan y (Ennst and Young) indican que un gran porcentaje de
utilizan los resultados, así como los niveles de riesgo empresas no abordan de manera adecuada los
aceptables estableciendo los objetivos de control. problemas de seguridad existentes ni los que pueden
El gobierno de seguridad de la información debe emerger. Algunos de los hallazgos de la encuesta
estar integrado a la estructura de gobierno de la destacan el problema, de acuerdo con los resultados
empresa para garantizar que las metas de esta sean de la encuesta:
respaldadas por el programa de seguridad de la Solo el 12% de las organizaciones cree que la
información. El marco de trabajo a utilizarse no es seguridad de la información satisface las necesidades
más que una descripción de temas relacionados los de la organización, el 67% todavía realizan mejoras.
cuales respaldan un enfoque en particular a los El 69% evidencio que el presupuesto asignado para
objetivos definidos en la estrategia sirviendo para seguridad de la información debe aumentar hasta un
integrar y orientar las actividades necesarias para 50% para que pueda llegar a proteger a la
implementar la estrategia de seguridad de la organización [2]. Con base en lo anterior se puede
información. Una claridad importante que se debe concluir que las fallas en la seguridad de la
hacer es que si el gobierno de la empresa está información corresponden al gobierno y no pueden
estructurado mediante una metodología en particular ser resueltas por la tecnología por consiguiente la
se recomienda utilizar el mismo marco para el protección adecuada de los recursos debe ser
gobierno de seguridad de la información con el fin de planteada a nivel directivo (alta dirección). Teniendo
facilitar la labor de integración de la información. que cuenta que para muchas organizaciones la
Algunos elementos que hacen parte del marco de información y el conocimiento que en ésta se basa es
trabajo (metodología) a implementarse son: uno de los activos más importantes, por ende, se ha
Las políticas de seguridad. Están diseñadas para generado una dependencia tanto en la información
mitigar el riesgo y son desarrolladas como respuesta como en los sistemas que la soportan haciendo que el
a amenazas de tipo real, reflejan la dirección e gobierno de la seguridad de la información se
intenciones establecidas por la alta gerencia. convierta en un aspecto crítico del gobierno
Estándares. Son desarrollados con el fin de definir corporativo. Dentro de los beneficios de contar con un
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 3

gobierno de seguridad de la información están: garantizando el cumplimiento de políticas,

- Brindar confianza en el cumplimiento de las normas y procedimientos previamente
políticas. establecidos.
- Hacer que la organización y la alta dirección
enfrenten de manera habitual responsabilidades III. GOBIERNO DE TI
legales. Lo primero que debemos tener en cuenta es que el
- Proveer una estructura, así como un marco para gobierno de TI hace parte del gobierno corporativo,
optimizar las asignaciones de los recursos de la es decir, es un subconjunto. Podemos definir el
seguridad que muchas veces son limitados. gobierno de TI “como la estructura de relaciones y
procesos para dirigir y controlar la empresa hacia el
- Proveer certeza de que las decisiones de impacto logro de sus objetivos agregando valor al mismo
(críticas) no se basan en información tiempo que se logra un balance del riesgo versus el
improvisada, errada o incompleta. retorno de sobre la TI y sus procesos” [3].
- Dar un fundamento sólido para una adecuada Las actividades del gobierno de TI se agrupan en
gestión de riesgos. cinco áreas de enfoque:
- Brindar confianza en la interacción con socios 1. Alineamiento estratégico: Se enfoca en asegura el
comerciales. enlace entre los planes de y los de TI, en definir,
- Proteger el “good will” de la organización frente mantener y validar la propuesta de valor de TI y
a sus clientes. en alinear las operaciones de TI con las de la
- Gestionar los recursos asignados a la seguridad de organización.
la información de manera efectiva. 2. Entrega de valor: Hace referencia a ejecutar la
Teniendo en cuenta que el objetivo primordial del proposición de valor a través de todo el ciclo de
gobierno de la seguridad de la información es el entrega asegurando que TI entregue los beneficios
desarrollo, la implementación y gestión de un acordados y alineados con la estrategia
programa de seguridad que otorgue algunos de los enfocándose en la optimización de costos.
siguientes resultados: 3. Administración de riesgos: Requiere conciencia
- Proveer una alineación estratégica de la por parte de los directores superiores de la
información con la estrategia del negocio. organización, entendimiento del apetito de riesgo,
aporta transparencia sobre los riesgos más
- Llevar a cabo una adecuada gestión de riesgos a
significativos de la empresa, implementa las
través de la ejecución de medidas acordes para
responsabilidades de la administración de riesgos
mitigar los riesgos y reducir el impacto en los
dentro de la organización.
recursos de información como entendimiento
colectivo del perfil de amenaza, vulnerabilidades 4. Administración de recursos: Hace referencia a la
y riesgos de la organización, entendimiento de la inversión óptima ya una adecuada administración
exposición al riesgo y sus consecuencias, de los recursos críticos de TI como aplicaciones,
concienciación de las prioridades de la gestión de información, infraestructura y personas.
riesgos con base en las consecuencias, mitigación 5. Medición del desempeño: Aportas el seguimiento
de riesgos acordes con las consecuencias y supervisa la estrategia de implementación, el
aceptables del riesgo residual y por último una desempeño de los procesos y la entrega de
aceptación o transferencia del riesgo basadas en servicio. En este punto es importante aclarar que,
las posibles consecuencias para el riesgo residual. si no hay forma de medir y evaluar las actividades
- Entregar valor optimizando las inversiones en de TI, no es posible gobernar TI, asegurar el
seguridad. alineamiento, la entrega de valor, la
administración de riesgos, así como el uso
- Optimización de los recursos
efectivo de los recursos.
- Medición del desempeño mediante el monitoreo y
reporte de procesos de seguridad de información
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 4

Dentro del establecimiento del SGSI se debe definir

una metodología para la evaluación del riesgo, los
requerimientos del negocio, así como los criterios de
aceptación del riesgo y especificar los niveles de
riesgo aceptables para la organización. Se recomienda
que los resultados obtenidos mediante la metodología
implementada sean comparables y repetibles, luego
se identifican los riesgos, se analizan y evalúan.

Fig. 1. Áreas de enfoque del gobierno de TI [4].

IV. GESTIÓN DEL RIESGO

De acuerdo con el anual de certificación CISM en
su versión 2012 define la gestión de riesgos como “La
gestión de riesgos es, en términos generales, un
proceso encaminado a alcanzar el equilibrio óptimo Fig. 3. Diagrama gestión de riesgos [7].
entre concretar oportunidades para obtener ganancias
y minimizar las vulnerabilidades y las pérdidas” [4]. Como resultado de una adecuada gestión de riesgos
Otra definición dada por la norma ISO/ 31000 nos se deberían obtener los siguientes resultados:
dice que la gestión del riesgo corresponde a
“Actividades coordinadas para dirigir y controlar una - Entendimiento de las amenazas, las
organización respecto al riesgo” [5]. vulnerabilidades, y el perfil de riesgo de la
organización.
¿Cómo se puede medir un riesgo?, un riesgo se debe
- Entendimiento de la exposición al riesgo y las
medir en términos de la posibilidad y/ o probabilidad
posibles consecuencias de la inestabilidad.
que ocurra un evento como también por su impacto y/ - Conciencia de las prioridades de la gestión de
o consecuencias que genere en la Organización. riesgos con base en las posibles consecuencias.
- Estrategia organizacional de mitigación de
riesgos adecuada para obtener consecuencias
aceptables.
- Aceptación/Atención organizacional con base
en un entendimiento de las posibles consecuencias del
riesgo residual.
- Evidencia cuantificable de que los recursos de
la gerencia se utilizan de forma apropiada y con
adecuada relación beneficio/costo.

A continuación, analizaremos lo propuesto por las

Fig. 2. Factores de riesgo [6]. normas ISO 27001- 27005 y 31000 de cara al proceso
de gestión de riesgos.
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 5

V. NORMAS ISO

A continuación, describiremos los marcos ISO para

la gestión de riesgos ISO 27001, ISO 27005 e ISO
31000.
La norma ISO/ IEC 27001: 2013 en términos
generales describe los requisitos para llevar a cabo la
implementación de un Sistema de Gestión de
Seguridad de la Información (SGSI), es decir, como
podemos gestionar la seguridad de la información en
una empresa para lo cual toma como eje principal la
evaluación de los riesgos, lo que permite a las
organizaciones obtener una visión para definir el
alcance así como el ámbito de la aplicación, normas,
Fig. 5. Método de Evaluación y Tratamiento de Riesgo [9].
políticas y procedimientos a implementarse e
integrando dicha metodología con el modelo de
mejora continua PDCA (ciclo de Deming) frecuente Este método parte de la identificación de los
en las diferentes normas de la familia ISO 27000: activos donde se identifican amenazas,
vulnerabilidades y requisitos asociados a estos,
luego se realiza un análisis del impacto, se
seleccionan e implementan controles y por último
se da tratamiento al riesgo, dentro de las
estrategias para el tratamiento del riesgo la
organización podría:

Asumir el riesgo. Se debe tratar en lo posible de

equilibrar riesgos y posibles beneficios.

Reducir el riesgo. Podemos Mitigar el impacto

el riesgo o ambos. El riesgo lo mitigamos con
medidas preventivas, por ejemplo, cifrando un
disco duro se reducen las posibilidades de que la
información acabe en malas manos si se llegase a
perder cuando el equipo portátil es movilizado
fuera de la organización. El impacto se reduce con
medidas reactivas o de recuperación, por ejemplo,
si tenemos copias de seguridad no impedimos que
pierda un archivo o que se dañe el Servidor de
bases de datos, pero podemos recuperar
Fig. 4. Fases del Sistema de Gestión de Seguridad de la
información (SGSI) [8].
rápidamente la información y continuar con la
operatividad.
Para llevar a cabo esta implementación la
organización debe elegir un modelo para llevar a Eliminar el riesgo. Por el ejemplo, colocar un
cabo la evaluación del resigo que se adapte a los servidor Web público en el servidor de bases de
requerimientos del negocio para el caso de la datos puede ser una forma de dar un servicio
norma ISO 27001 la metodología es la siguiente: mejor a los clientes, pero también abre una puerta
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 6

a que haya una fuga o robo de información, realizada en el año 2017:

podemos separar el servidor de producción del de
acceso público y así el escenario de riesgo cambia. Tabla I. Encuesta ISO 2017, fuente ISO [10].
Number of Number of
Norma certificates in certificates in Change Change in %
Transferir el riesgo. Por ejemplo, contratar un 2016 2017
ISO 9001 1 105 937 1 058 504 -47 433 -4
seguro es trasladarle el riesgo a la aseguradora, ISO 14001 346 147 362 610 16 463 5
subcontratar un servicio con acuerdos de niveles ISO 50001 20 216 21 501 1285 6
ISO 27001 33 290 39 501 6 211 19
de servicio es pasarle el riesgo al proveedor de ISO 22000 32 139 32 722 583 2
dicho servicio, funciona bien cuando todos ganan ISO 13485 29 585 31 520 1 935 7
ISO 22301 3 853 4 281 428 11
con la repartición. ISO 20000-1 4 537 5 005 468 10
ISO 28000 356 494 138 39
ISO 39001 478 620 142 30
En los literales 6.12 y 6.1.3 de la norma ISO 27001 se TOTAL 1 576 538 1 556 758 -19 780 -1
especifican las acciones que se deben llevar a cabo
para evaluar y tratar los riesgos:
A continuación, se observa el crecimiento
6.1.2 Evaluación de riesgos de la seguridad de porcentual anual para cada continente en cuanto
la información: al número de certificados:

- Criterios de aceptación de riesgos

- Criterios para realizar evaluaciones de riesgos
- Identificar los riesgos de la seguridad de la
información
- Identificar a los dueños de los riesgos
- Analizar los riesgos de la seguridad de la
información
- Valuar las consecuencias
- Valuar la probabilidad
- Determinar los niveles de riesgo
Fig. 7. Encuesta ISO 2017, fuente ISO [11].
6.1.3 Tratamiento de riesgos de la seguridad de
la información: Por último, podemos observar el top 10 de los
sectores industriales con más certificaciones para
- Seleccionar las opciones apropiadas de ese año:
tratamiento de riesgos.
- Determinar todos los controles que sean
necesarios.
- Comparar los controles determinados en 6.1.3
b) con los del Anexo A.

Es importante resaltar como parte final de la

metodología el proceso de mejora continua que
sugiere la norma en cuanto a la conveniencia
adecuación y eficacia del sistema de seguridad de
la información.
Fig. 8. Encuesta ISO 2017, fuente ISO [12].

La norma ISO/ IEC 27001 se ha convertido en Los datos mencionados anteriormente

la norma principal a nivel mundial para la demuestran el incremento del posicionamiento de
seguridad de la información, a continuación, se la Norma ISO 27001 a nivel mundial ratificándola
dan a conocer algunos resultados de esta encuesta
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 7

como la más utilizada. diferentes etapas del modelo:

Algunos beneficios que ofrece la Norma ISO Plan (Planear). En esta etapa se desarrollan las
27001 son: fases planteadas como son el establecimiento del
contexto, valoración del riesgo, tratamiento del
- Debido a que el marco legal se actualiza riesgo, aceptación del riesgo, comunicación del
constantemente en cualquier país es importante riesgo y por último monitorización y revisión del
contar con una metodología que se adapte a esta riesgo.
situación por lo que la norma ISO 27001 ya que
contempla el análisis de los requisitos como parte
Do (Hacer). En esta etapa se plantea la
del conocimiento de la organización y de su
implementación del plan para el tratamiento de los
contexto.
riesgos según la norma ISO 27005 las etapas son
- Ofrece una ventaja comercial frente a sus Descripción general de cómo se va a tratar el
competidores, debido q a que las empresas que no riesgo, reducción del riesgo, retención de riesgo,
cuenten con ella estarían en desventaja ya que los evitación del riesgo y transferencia del riesgo.
clientes valoraran quien ofrezcan seguridad para su
información. Check (Verificar). En esta etapa se lleva a cabo
el monitoreo continuo y revisión de los riesgos
- Reduce los costos ya que para ISO 27001 es una previamente identificados en las anteriores etapas,
prioridad evitar los incidentes de seguridad y de acuerdo con la norma ISO 27005 la cláusula
cualquier incidente grande o pequeño genera que hace referencia al monitoreo y revisión de los
costos por el ende al evitarlos las empresas factores de riesgo en la seguridad de la
ahorran dinero. información.
- Aporta una mejor organización a la empresa a
nivel de procesos ya que durante el proceso de Act (Actuar). En esta etapa del ciclo PDCA se
implementación de la norma se estos deben ser lleva a cabo la fase de monitoreo, revisión y
documentados. mejora de la gestión del riesgo.

Según la norma ISO/ IEC 27005 se define el Podemos concluir entonces que ISO 27005 se
proceso de gestión del riesgo para la seguridad de encarga de apoyar las labores de análisis y gestión
la información basado en el ciclo PDCA (Plan- de riesgos en el marco de sistemas de gestión para
Do- Check- Act): la seguridad de la información (SGSI)
acoplándose de esta manera al estándar ISO
27001 la cual define los requisitos para la
implementación de u SGSI por lo que se
recomienda a las organizaciones que vienen
trabajando bajo los marcos de la familia ISO
27000 que sigan estos estándares facilitando la
gestión y análisis de riesgos.

Otra norma que contempla el proceso de gestión

del riesgo es la ISO/ IEC 31000 la cual contempla
en sus diferentes apartados los principios y las
Fig. 9. Modelo PDCA aplicado a la norma ISO directrices que se deben lleva a cabo para
27005 [13]. gestionar el riego de manera eficiente en las
organizaciones alineándose con las normas de la
A continuación, se describen brevemente las familia ISO 27000 que también tratan la gestión
 Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 8

del riesgo como son la ISO/ IEC 27001 y la los procesos para la gestión del riesgo [15].
ISO/IEC 27005 ya tratadas anteriormente. Dentro de los principios se destaca como de
mayor importancia el de “crear de valor” el cual
hace referencia a generar valor mediante la
gestión de riesgos siendo el motor del sistema de
gestión donde parten y se desarrollan los demás
principios.

Para diseñar el marco de referencia se debe

entender el contexto de la organización, definir la
política para gestionar el riesgo, rendir cuentas,
integrar los procesos de la organización, asignar
los recursos adecuados, establecer mecanismos
adecuados para la comunicación interna y la
presentación de informes. Posteriormente se lleva
a cabo la implementación de la gestión del riesgo
a través de la implementación del marco de
referencia, luego se lleva a cabo la
Fig. 10. Proceso de gestión del riesgo en la seguridad de la implementación del proceso dentro del cual se
información (ISO 27005) [14]. incluyen las fases de establecimiento del contexto,
Es importante aclarar que la norma ISO 27005 identificación del riesgo, análisis del riesgo,
no proporciona una metodología concreta para el evaluación del riesgo, y tratamiento del riesgo, es
análisis de riesgos, solamente describe a través de importante mencionar que todas estas etapas van
cláusulas el proceso de análisis que recomiendan acompañadas de manera transversal por procesos
incluyendo las fases que lo conforman: de comunicación y consulta (numeral 5.2) y de
monitoreo y revisión (numeral 5.8).
- Establecimiento del contexto (Cláusula 7).
- Valoración del riesgo (Cláusula 8).
Como uno de los principales diferenciales la
- Tratamiento del riesgo (Cláusula 9).
norma ISO 31000 podemos encontrar nuevas
- Aceptación del riesgo (Cláusula 10).
estrategias para el tratamiento del riesgo como las
- Comunicación del riesgo (Cláusula 11).
- Monitorización y revisión del riesgo (Cláusula que se enuncian a continuación:
12).
- Perseguir la oportunidad del riesgo.
La norma ISO/ IEC 31000 en su introducción
enuncia la relación existente los principios, el - Cambiar la probabilidad del riesgo.
marco de referencia y el proceso para llevar a cabo
la gestión del riesgo: - Cambiar las consecuencias del riesgo.

- Compartir el riesgo.

VI. GLOSARIO DE TÉRMINOS

Activo. Algo que tiene valorar la organización y por lo

tanto requiere protección.

Amenaza. Circunstancia o evento que tiene el potencial

de causar daño a un activo y por tanto a la organización.
Fig. 11. Relaciones entre los principios, el marco de referencia y
 Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 9

Análisis. Examen detallado de una cosa para conocer información se administren de forma apropiada y que
sus características o cualidades, o su estado, y extraer los recursos de información de la empresa se utilicen
conclusiones, que se realiza separando o considerando con responsabilidad.
por separado las partes que la constituyen.
Gobierno de TI. Una estructura de relaciones y
Análisis del riesgo. Proceso para comprender la procesos para dirigir y controlar la empresa con el
naturaleza del riesgo y determinar el nivel de riesgo. objeto de alcanzar los objetivos de la empresa y añadir
valor mientras se equilibran los riesgos y el retorno
Comunicación del riesgo. Intercambiar o compartir la sobre TI y sus procesos.
información acerca del riesgo entre la persona que toma
la decisión y otras partes interesadas (ISO 27005). Integridad. Protección de la exactitud y la integridad de
los métodos de información y procesamiento.
Confidencialidad. Asegurar que la información es
accesible sólo para aquellos autorizados a tener acceso. Identificación del riesgo. Proceso para encontrar,
enumerar y caracterizar los elementos del riesgo.
Disponibilidad. Asegurar que los usuarios autorizados
tengan acceso a la información y a los activos asociados Impacto. Cambio adverso en el nivel de los objetivos
cuando sea necesario. del negocio logrado (ISO 27005).

Estándar. Que sirve de patrón, modelo o punto de Información. Es todo dato que tiene un significado y
referencia para medir o valorar cosas de la misma sirve para informar alguna situación, organización,
especie. persona, etc.

Estimación del riesgo. Proceso para asignar valores a ISO. Organización Internacional de Normalización.
la probabilidad y las consecuencias de un riesgo. Entidad internacional encargada de favorecer la
estandarización en el mundo.
Estrategia. Serie de acciones muy meditadas,
encaminadas hacia un fin determinado. Marco de referencia para la gestión del riesgo:
Conjunto de componentes que brindan las bases y las
Evitación del riesgo. Decisión de no involucrarse en disposiciones de la organización para diseñar,
una situación de riesgo o tomar acción para retirarse de implementar, monitorear, revisar y mejorar
dicha situación. continuamente la gestión del riesgo a través de toda la
organización (ISO 31000).
Evaluación del riesgo. Proceso de comparación de los
resultados del análisis de riesgo con los criterios de Metodología. Conjunto de métodos que se siguen en
riesgo para determinar si el riesgo, su magnitud o una investigación científica, un estudio o una
ambos son aceptables o tolerables. exposición doctrinal.

Gestión de riesgos. Proceso encaminado a alcanzar el Nivel de riesgo. Magnitud de un riesgo o de una
equilibrio óptimo entre encontrar oportunidades para combinación de riesgos, expresada en términos de la
obtener ganancias y minimizar las vulnerabilidades y combinación de las consecuencias y su probabilidad.
las pérdidas.
Plan para la gestión del riesgo. Esquema dentro del
Gobierno de seguridad de la información. Parte marco de referencia para la gestión del riesgo que
integral del gobierno corporativo y consiste en el específica el enfoque, los componentes y los recursos
liderazgo y estructuras de relaciones y procesos de la gestión que se van a aplicar a la gestión del riesgo
organizacionales que protegen la información. (ISO 31000).
Proporciona dirección estratégica a las actividades de
seguridad y garantiza que se alcancen los objetivos, que Propietario del riesgo. Persona o entidad con la
los riesgos relacionados con seguridad de la responsabilidad de rendir cuentas y con la autoridad
 Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 1
0

para gestionar un riesgo (ISO guía 73: 2009). evolucionan las normas, técnicas procedimientos y
estándares con la finalidad de contrarrestarlas, para
Reducción del riesgo. Acciones que se toman para esto se hace fundamental que las organizaciones
disminuir la probabilidad, las consecuencias negativas, mantengan vigentes sus estándares y realicen un
o ambas, asociadas a un riesgo. monitoreo permanente de su Sistema de Gestión de
Seguridad de la información con el fin de evidenciar
Retención del riesgo. Aceptación de la pérdida o brechas, vacíos y/ o de implementar la mejora
ganancia proveniente de un riesgo particular. continua y no que quede ésta solamente mencionada
en los diferentes estándares.
Riesgo. Estimación del grado de exposición de un La gestión del riesgo debe considerarse como una
activo. Indica lo que le podría pasar a los activos sino constante a lo largo de todo el proceso para garantizar
se protegen adecuadamente. la seguridad de la información independientemente
del marco de referencia y demás metodologías que
Riesgo en la seguridad de la información. Potencial de estén siendo utilizadas por la organización, desde sus
que una amenaza explote las vulnerabilidades de los etapas iniciales como son la definición de los
activos o grupos de activos causando así daño a la gobiernos de seguridad de la información y de TI, esto
organización.
con el fin de concientizar la organización y
familiarizarla a lo largo del proceso hasta sus etapas
Riesgo residual. Es aquél que permanece después de
finales como es el caso de la mejora continua.
que la dirección desarrolle sus respuestas a los riesgos.
El riesgo residual refleja el riesgo remanente una vez se
han implantado de manera eficaz las acciones Las normas (metodologías) para el análisis de
planificadas por la dirección para mitigar el riesgo Riesgos de la ISO son marcos de cláusulas que
inherente. describen actividades que no se limitan solo a la
seguridad de la información, sino que unifican riesgos
Seguridad de la información. Protección de la de diferentes tipos para poder tomar decisiones
información contra una amplia gama de amenazas combinando riesgos laborales, financieros, técnicos,
para asegurar continuidad del negocio, reducir al medioambientales, y de más que se puedan llegar a
mínimo el daño del negocio y maximizar el retorno de considerar dentro del contexto de la Seguridad de la
inversión y las oportunidades de negocio. Información.
Tratamiento del riesgo: Proceso para modificar el
riesgo, el tratamiento de riesgo puede implicar evitar el Las metodologías para el análisis de riesgos nos
riesgo decidiendo no iniciar o continuar con la indican los pasos a seguir para su correcta ejecución
actividad que lo originó, incrementar el riesgo con el ya que son complejos y tienen multitud de variables.
fin de perseguir una oportunidad, retirar la fuente del Utilizar una herramienta para llevar a cabo el análisis
riesgo, cambiar la probabilidad, cambiar las de riesgos facilita su elaboración y permite realizar las
consecuencias, compartir el riesgo con alguna de las labores de manera más sistemática. Esto facilita que la
partes o retener el riesgo a través de la decisión información resultante sea reutilizable y comparable
informada. con resultados de sucesivos análisis.

REFERENCIAS
Vulnerabilidad. Debilidad que es inherente al activo.
Su presencia no causa por sí misma, ya que necesita
[1] ISACA, Manual de preparación para el examen CISM 15°.
presentarse una amenaza que la explote.
[2] Ernst and Young, Encuesta Global de Seguridad de la
Información 2015.
VII. CONCLUSIONES [3] NETWORK SEC Resumen ejecutivo implantación de
Gobierno de TI https://www.network-
sec.com/files/Gobierno_TI.pdf.
Así como cada día surgen nuevas amenazas de
[4] Figura 1. Áreas de enfoque del gobierno de TI (ITGI, 2007).
diferente índole que pueden impactar la seguridad de https://www.researchgate.net/figure/Figura-4-Areas-de-
la información en las organizaciones también
Universidad Piloto de Colombia, Melo Reyes, Oscar Javier. Aspectos a tener en cuenta para el análisis de riesgos con base en normas ISO. 1
1
enfoque-del-gobierno-de-TI-ITGI-2007_fig4_291098221.
[5] ISACA, Manual de preparación para el examen CISM 15°.
[6] NORMA ISO/ IEC 31000: 2011, Página 9.
[7] Factores de riesgo, http://www.iso27000.es/sgsi.html.
[8] Diagrama de Gestión del Riesgo, adaptado de
http://www.iso27000.es/.
[9] Fases del Sistema de Gestión de Seguridad de la
información (SGSI).
[10] Método de Evaluación y Tratamiento de Riesgo, adaptado
de http://www.iso27000.es/.
[11] Encuesta ISO 2017.
https://isotc.iso.org/livelink/livelink/fetch/-
8853493/8853511/8853520/18808772/00._Overall_results
_and_explanatory_note_on_2017_Survey_results.pdf?node
id=19208898&vernum=-2.
[12] Encuesta ISO 2017.
https://www.globalstd.com/networks/blog/iso-survey-
2017
[13] Encuesta ISO 2017.
https://www.globalstd.com/networks/blog/iso-survey-
2017
[14] Modelo PDCA aplicado a la norma ISO 27005 [13].
[15] Proceso de gestión del riesgo en la seguridad de la
información. NORMA IOS/ IEC 27005: 2009
[16] Relaciones entre los principios, el marco de referencia y los
procesos para la gestión del riesgo. Norma ISO/ IEC 31000:
2011.

Autor
Oscar J. M. Reyes
Analista de sistemas de información
Ingeniero de Sistemas
Aspirante Especialista en Seguridad Informática