La seguridad no es reactiva.
Planificar es anticiparse a lo que puede ocurrir.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| ⚠️ | Riesgos. Eventos o situaciones que pueden afectar negativamente a la consecución de los objetivos del SGSI. Pueden ser estratégicos, tácticos u operacionales. |
| ✨ | Oportunidades. Posibilidades de mejorar el rendimiento del SGSI, optimizar procesos o aprovechar ventajas competitivas derivadas de la seguridad. |
| 1️⃣ | Enfoque basado en eventos. Considera las fuentes de riesgo de forma genérica. Los eventos considerados pueden haber ocurrido en el pasado o preverse para el futuro. |
| 2️⃣ | Enfoque basado en activos, amenazas y vulnerabilidades. Considera dos tipos de fuentes de riesgo: activos con vulnerabilidades intrínsecas y amenazas que pueden explotarlas. |
| 📊 | Análisis cualitativo. Utiliza escalas de atributos (ej: alto, medio, bajo). Es el más común en seguridad de la información. |
| 🔢 | Análisis cuantitativo. Utiliza escalas con valores numéricos (coste monetario, frecuencia anual esperada). Más preciso pero más complejo. |
| ⚖️ | Análisis semicuantitativo. Utiliza escalas cualitativas con valores asignados. Combina lo mejor de ambos enfoques. |
| 🎯 | Evaluación de riesgos. Compara el nivel de riesgo analizado con los criterios de aceptación predeterminados para determinar las opciones de tratamiento. |
| 🚫 | Evitar el riesgo. Decidir no iniciar o continuar con la actividad que genera el riesgo. |
| ✅ | Aceptar el riesgo. Decisión informada de asumir el riesgo (cuando está dentro del apetito de riesgo). |
| 🔄 | Modificar el riesgo. Implementar controles para reducir la probabilidad o el impacto. |
| 🤝 | Compartir el riesgo. Transferir parte del riesgo a un tercero (ej: seguro, outsourcing). |
| 📋 | Retener el riesgo. Aceptar el riesgo residual después del tratamiento. Debe documentarse con justificación. |
| 📝 | Todos los controles necesarios determinados en el paso anterior |
| 💡 | Para cada control: la justificación de su inclusión |
| 📊 | El estado de implementación del control (implementado, en progreso, no iniciado) |
| ❌ | La justificación de exclusión de cualquier control del Anexo A de ISO/IEC 27001 |
| 🎯 | Ser coherentes con la política de seguridad |
| 📏 | Ser medibles (cuantitativa o cualitativamente) |
| 🌍 | Tener en cuenta los requisitos aplicables |
| 👀 | Ser objeto de seguimiento y comunicación |
| 🔄 | Actualizarse periódicamente según corresponda |
| 📄 | Estar documentados como información documentada |
| 1 | La planificación aborda riesgos y oportunidades identificados en el contexto |
| 2 | La identificación de riesgos puede basarse en eventos o en activos, amenazas y vulnerabilidades |
| 3 | El análisis puede ser cualitativo, cuantitativo o semicuantitativo |
| 4 | Las opciones de tratamiento son: evitar, aceptar, modificar, compartir o retener |
| 5 | La Declaración de Aplicabilidad (SoA) documenta qué controles del Anexo A aplican y por qué |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Planificación: anticiparse a los riesgos», comienza delimitando criterios, escenarios, consecuencias, controles existentes y tratamiento. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterios, escenarios, consecuencias, controles existentes y tratamiento.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
La organización identifica “ciberataque” como riesgo único y propone implantar todos los controles del Anexo A.
Activos cloud, red, endpoints, datos personales y terceros.
¿Qué falta para que “ciberataque” sea evaluable?
Respuesta orientativa: Activo o proceso afectado, escenario, vulnerabilidad, consecuencia y controles existentes.
Dirección tiene una tolerancia al riesgo muy baja?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Separa percepción de impacto, criterio definido y hechos del caso.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Acciones para abordar riesgos y oportunidades
Riesgos y oportunidades
Identificación de riesgos de seguridad de la información