Guía paso a paso para identificar, evaluar y tratar riesgos de seguridad de la información
La ISO/IEC 27001 establece que toda organización debe identificar los riesgos que amenazan la confidencialidad, integridad y disponibilidad de su información. Para ello, uno de los requisitos fundamentales es realizar un análisis de riesgos efectivo y documentado.
En este artículo te mostramos cómo hacer un análisis de riesgos según la ISO 27001, con una metodología clara, ejemplos prácticos y consejos útiles para facilitar su implementación.
Requisitos de la ISO 27001 y su estructura
¿Qué es el análisis de riesgos en ISO 27001?
El análisis de riesgos es el proceso mediante el cual una organización:
- Identifica activos de información y sus posibles vulnerabilidades.
- Evalúa amenazas y su probabilidad de ocurrencia.
- Determina el nivel de riesgo.
- Decide cómo tratar, evitar o aceptar esos riesgos.
Este análisis es obligatorio y forma parte de la cláusula 6.1.2 de la norma, dentro del proceso de planificación del Sistema de Gestión de Seguridad de la Información (SGSI).
¿Por qué es tan importante?
Un buen análisis de riesgos permite:
Priorizar esfuerzos y recursos.
Justificar la implementación de controles del Anexo A.
Cumplir con requisitos legales y regulatorios.
Evitar pérdidas económicas, sanciones o daños reputacionales.
Fortalecer la seguridad de los procesos clave.
Metodología paso a paso para hacer un análisis de riesgos ISO 27001
Aquí te presentamos los pasos esenciales que recomienda la norma, junto con herramientas y ejemplos para cada etapa:
Paso 1: Establecer el marco de trabajo
Antes de comenzar, define:
- Criterios de evaluación del riesgo (niveles de impacto y probabilidad).
- Metodología a usar (cuantitativa, cualitativa o mixta).
- Personas responsables del proceso.
- Software o plantillas que facilitarán el análisis.
Ejemplo: Usar una matriz de riesgo de 3 niveles (Bajo, Medio, Alto) con base en entrevistas con líderes de procesos.
Paso 2: Identificar los activos de información
Haz una lista de todos los activos que deseas proteger:
- Datos personales de clientes
- Servidores y redes
- Documentos sensibles
- Sistemas de gestión
- Software, dispositivos, personas
Utiliza herramientas como entrevistas, inventarios o análisis de procesos.
Ejemplo: “Servidor de nómina” → contiene datos bancarios y personales del personal.
Paso 3: Identificar amenazas y vulnerabilidades
Asocia a cada activo las posibles amenazas y vulnerabilidades:
- Amenazas: errores humanos, ciberataques, incendios, fallos técnicos
- Vulnerabilidades: contraseñas débiles, software desactualizado, falta de respaldo
Ejemplo: El servidor de nómina podría sufrir un ataque de ransomware si no tiene control de acceso y respaldo actualizado.
Paso 4: Evaluar los riesgos
Calcula el nivel de riesgo considerando:
- Probabilidad de que la amenaza ocurra
- Impacto que tendría sobre el negocio
- Puedes utilizar una fórmula como:
Riesgo = Probabilidad x Impacto
Ejemplo: Alta probabilidad + alto impacto = riesgo alto. Requiere tratamiento urgente.
Puedes usar matrices de riesgo como esta:
| Impacto / Probabilidad | Baja | Media | Alta |
| Alta | Medio | Alto | Alto |
| Media | Bajo | Medio | Alto |
| Baja | Bajo | Bajo | Medio |
¿Necesitas plantillas de implementación como está para tu organización? Encuéntralas aquí.
Paso 5: Definir el tratamiento de riesgos
Por cada riesgo identificado, define cómo actuar:
- Evitar el riesgo (eliminar el proceso que lo genera)
- Reducir el riesgo (aplicar controles, capacitación, tecnología)
- Transferir el riesgo (a un tercero o seguro)
- Aceptar el riesgo (cuando es bajo o residual)
Ejemplo: Instalar un firewall y antivirus actualizado para reducir el riesgo de ataques externos.
Además, debes justificar los controles seleccionados del Anexo A de la ISO 27001 y dejarlo todo documentado en el Plan de tratamiento de riesgos.
Paso 6: Aprobar y documentar el análisis
Todo debe quedar registrado en documentos clave:
- Evaluación de riesgos (identificación, valoración, prioridad)
- Plan de tratamiento (acciones, responsables, fechas)
- Aceptación de riesgos residuales
Estos documentos serán auditados y deben estar disponibles para las revisiones de la dirección.
Herramientas útiles para el análisis de riesgos ISO 27001
Hojas de cálculo personalizadas
Software especializado (como RiskWatch, ISMS.online o LogicManager)
Plantillas predefinidas adaptadas a la norma
Cuestionarios a partes interesadas
Mapas de activos y procesos
Consejos clave para un análisis exitoso
Involucra a líderes de procesos desde el inicio.
Mantén actualizado el análisis al menos una vez al año o ante cambios importantes.
Documenta de forma clara para que otros lo puedan entender y auditar.
Prioriza siempre los riesgos altos.
Usa el análisis como base para la mejora continua del SGSI.
Realizar un análisis de riesgos conforme a ISO 27001 no solo es una exigencia formal, sino una herramienta estratégica que te ayuda a anticiparte a incidentes, proteger tu negocio y cumplir con las expectativas de clientes, reguladores y socios.
Al aplicar este enfoque sistemático, tu organización estará en condiciones de implementar controles efectivos, demostrar compromiso con la seguridad y avanzar hacia la certificación con confianza.
