Cómo realizar evaluaciones de riesgos de cumplimiento utilizando ISMS Copilot

Visión general

Aprenderás a utilizar ISMS Copilot para realizar evaluaciones exhaustivas de riesgos de seguridad de la información alineadas con ISO 27001, SOC 2 y otros marcos de cumplimiento, desde la definición de la metodología hasta la identificación de riesgos, la evaluación de impactos y la creación de planes de tratamiento de riesgos.

A quién va dirigido

Esta guía es para:

• Profesionales de seguridad que realizan evaluaciones de riesgos anuales
• Oficiales de cumplimiento que gestionan programas de evaluación de riesgos
• Organizaciones que se preparan para auditorías ISO 27001 o SOC 2
• Gestores de riesgos que implementan procesos formales de evaluación de riesgos
• Consultores que realizan evaluaciones de riesgos para clientes

Requisitos previos

Antes de comenzar, asegúrate de tener:

• Una cuenta de ISMS Copilot (prueba gratuita disponible)
• Conocimiento de los activos de información y flujos de datos de tu organización
• Acceso a la documentación de la arquitectura del sistema
• Disponibilidad de las partes interesadas para talleres de riesgos y validación

Antes de comenzar

Fundamentos de la evaluación de riesgos

Evaluación de riesgos vs. gestión de riesgos

Aclara la terminología:

• Evaluación de riesgos: El proceso de identificar, analizar y evaluar riesgos
• Tratamiento de riesgos: Selección e implementación de medidas para modificar los riesgos
• Gestión de riesgos: El proceso completo que incluye evaluación, tratamiento, monitoreo y revisión

Conceptos clave de riesgo

Comprende los elementos básicos:

• Activo: Cualquier cosa de valor para la organización (datos, sistemas, personas, reputación)
• Amenaza: Causa potencial de un incidente no deseado (ransomware, amenaza interna, desastre natural)
• Vulnerabilidad: Debilidad que puede ser explotada por una amenaza (software sin parches, contraseñas débiles)
• Probabilidad: Probabilidad de que una amenaza explote una vulnerabilidad
• Impacto: Consecuencia si un riesgo se materializa (pérdida financiera, sanción regulatoria, daño a la reputación)
• Riesgo: Combinación de probabilidad e impacto (a menudo calculado como Riesgo = Probabilidad × Impacto)
• Responsable del riesgo: Persona encargada de gestionar un riesgo específico

Requisitos del marco

Diferentes marcos tienen requisitos específicos de evaluación de riesgos:

Paso 1: Configura tu espacio de trabajo para la evaluación de riesgos

Crea un espacio de trabajo dedicado

1. Inicia sesión en ISMS Copilot
2. Crea un nuevo espacio de trabajo: "Evaluación de Riesgos [Año] - [Tu Organización]"
3. Añade instrucciones personalizadas:

Risk assessment context:

Organization: [Company name]
Industry: [SaaS, healthcare, fintech, manufacturing, etc.]
Size: [employees, revenue, locations]
Compliance framework: [ISO 27001, SOC 2, NIST, GDPR, multiple]

Information assets:
- Customer data: [types and sensitivity]
- Systems: [critical applications and infrastructure]
- Intellectual property: [products, algorithms, trade secrets]
- Operations: [key business processes]

Risk appetite:
- Regulatory tolerance: [zero tolerance for compliance violations]
- Financial: [maximum acceptable loss per incident]
- Reputation: [brand protection priorities]
- Operational: [acceptable downtime/disruption]

Assessment approach:
- Method: [asset-based, scenario-based, hybrid]
- Risk calculation: [qualitative, quantitative, semi-quantitative]
- Review frequency: [annual, quarterly for high risks]

Preferences:
- Provide practical, framework-aligned guidance
- Reference specific ISO 27001 clauses or SOC 2 criteria
- Suggest realistic threat scenarios for our industry
- Help prioritize based on actual risk, not just compliance boxes

Paso 2: Define tu metodología de evaluación de riesgos

Documenta el enfoque de identificación de riesgos

Pide a ISMS Copilot que te ayude a crear tu metodología:

"Crea un documento de metodología de evaluación de riesgos para el cumplimiento de ISO 27001. Incluye: propósito y alcance de la metodología, cómo se identificarán los activos de información, cómo se identificarán las amenazas y vulnerabilidades (catálogos de amenazas, bases de datos de vulnerabilidades, incidentes históricos), cómo se asignarán los responsables de riesgos y el enfoque de consulta a las partes interesadas."

Define los criterios de evaluación de riesgos

Crea tus escalas de probabilidad e impacto:

"Define escalas de probabilidad e impacto de 5 niveles para la evaluación de riesgos de seguridad de la información en una [descripción de la empresa]. Para la probabilidad: define niveles 1-5 con rangos de probabilidad y criterios descriptivos. Para el impacto: define niveles 1-5 considerando pérdida financiera, interrupción operativa, sanciones regulatorias y daño a la reputación. Proporciona ejemplos para cada nivel específicos de [industria]."

Ejemplo de salida esperado:

Crea una matriz de cálculo de riesgos

Define cómo se calculan las puntuaciones de riesgo:

"Crea una matriz de riesgo de 5×5 que muestre las puntuaciones de riesgo de probabilidad × impacto. Codifica por colores los niveles de riesgo: Bajo (verde, puntuaciones 1-6), Medio (amarillo, puntuaciones 8-12), Alto (naranja, puntuaciones 15-16), Crítico (rojo, puntuaciones 20-25). Esto determinará las prioridades de tratamiento de riesgos."

Establece los criterios de aceptación de riesgos

Define el apetito de riesgo de tu organización:

"Define los criterios de aceptación de riesgos para nuestra metodología de evaluación de riesgos. Para los niveles de riesgo (Bajo, Medio, Alto, Crítico), especifica: cuáles pueden aceptarse tal cual, cuáles requieren planes de tratamiento, cuáles requieren aprobación ejecutiva y cuáles son inaceptables. Considera nuestros [requisitos regulatorios, industria, expectativas de los clientes]."

Paso 3: Identifica e inventaría los activos de información

Crea un inventario de activos

Comienza con una lista exhaustiva de activos:

"Crea una plantilla de inventario de activos de información para la evaluación de riesgos que incluya columnas: ID del Activo, Nombre del Activo, Categoría del Activo (datos, sistema, servicio, personas, instalación), Descripción, Propietario, Custodio, Usuarios, Clasificación (público, interno, confidencial, restringido), Ubicación, Dependencias y Criticidad para el Negocio. Proporciona ejemplos de entradas para un [tipo de empresa]."

Categoriza los activos

Organiza los activos de manera lógica:

"Para nuestra [plataforma SaaS / sistema de salud / aplicación fintech], categoriza los activos de información en: datos de clientes, datos de empleados, propiedad intelectual, sistemas empresariales (CRM, finanzas, RRHH), infraestructura (servidores, red, nube), activos físicos y servicios de terceros. Para cada categoría, enumera ejemplos típicos relevantes para nuestro negocio."

Clasifica los activos por criticidad

No todos los activos tienen la misma importancia:

"Define criterios de clasificación de activos basados en: requisitos de confidencialidad (de público a altamente restringido), requisitos de integridad (criticidad de la precisión de los datos), requisitos de disponibilidad (tiempo de inactividad aceptable) y criticidad para el negocio (impacto si se ve comprometido o no está disponible). Crea un esquema de clasificación con 3-4 niveles y ejemplos para cada uno."

Sube la documentación existente

Aprovecha lo que ya tienes:

1. Sube diagramas de arquitectura del sistema, diagramas de flujo de datos o inventarios de activos (PDF, DOCX)
2. Pregunta: "Revisa esta arquitectura del sistema y extrae activos de información para la evaluación de riesgos. Identifica: almacenes de datos, aplicaciones, componentes de infraestructura, integraciones de terceros y procesos empresariales críticos. Crea un inventario inicial de activos a partir de esta documentación."

Paso 4: Identifica amenazas y vulnerabilidades

Identifica amenazas relevantes

Utiliza IA para generar escenarios de amenazas:

"Para una organización de [industria], identifica amenazas de seguridad de la información en categorías: amenazas cibernéticas (ransomware, phishing, DDoS, filtraciones de datos, amenazas internas), amenazas físicas (incendio, inundación, robo, acceso no autorizado), amenazas ambientales (corte de energía, fallo de HVAC), amenazas humanas (errores, negligencia, insiders maliciosos) y amenazas de terceros (brecha de proveedor, caída del proveedor de nube). Prioriza según la relevancia para nuestra industria."

Análisis de amenazas específico para activos

Para cada activo crítico, identifica amenazas aplicables:

"Para nuestra base de datos de clientes que contiene [tipos de datos], identifica amenazas específicas: escenarios de acceso no autorizado, métodos de exfiltración de datos, riesgos de corrupción de datos, amenazas a la disponibilidad (eliminación, cifrado, fallo del sistema) y escenarios de amenazas internas. Para cada amenaza, describe: vector de ataque, tipo de actor de amenaza y motivación típica."

Identifica vulnerabilidades

Relaciona vulnerabilidades con amenazas:

"Para nuestro entorno [describe infraestructura, pila tecnológica], identifica vulnerabilidades comunes: vulnerabilidades técnicas (sistemas sin parches, configuraciones incorrectas, cifrado débil), vulnerabilidades de proceso (falta de procedimientos, revisiones inadecuadas), vulnerabilidades físicas (debilidades de acceso a las instalaciones) y vulnerabilidades humanas (formación insuficiente, susceptibilidad al ingeniería social). Referencia bases de datos CVE y OWASP Top 10 cuando sea aplicable."

Considera amenazas específicas de la industria

Obtén inteligencia de amenazas con contexto:

"¿Cuáles son las amenazas de seguridad de la información más significativas que enfrentan las organizaciones de [salud / servicios financieros / SaaS / manufactura] en 2024-2025? Para cada amenaza, proporciona: datos de prevalencia, patrones típicos de ataque, ejemplos de incidentes reales y por qué esta industria es un objetivo. Prioriza según probabilidad e impacto."

Paso 5: Evalúa los controles existentes

Inventario de controles actuales

Documenta qué protecciones existen:

"Actualmente tenemos estos controles de seguridad: [lista de políticas, controles técnicos, herramientas, procedimientos]. Categorízalos por: controles preventivos (evitan que ocurran incidentes), controles detectivos (identifican cuándo ocurren incidentes), controles correctivos (restablecen las operaciones normales) y controles disuasorios (disuaden a los actores de amenazas). Evalúa su efectividad."

Evalúa la efectividad de los controles

Los controles en papel no equivalen a controles funcionales:

"Para cada control [revisiones de acceso, cifrado, copias de seguridad, formación en concienciación de seguridad], define criterios para evaluar la efectividad: ¿Está implementado según lo diseñado? ¿Opera de manera consistente? ¿Hay evidencia de su operación? ¿Adecuadamente aborda el riesgo? Crea una escala de calificación de efectividad (No Implementado, Parcialmente Efectivo, Mayormente Efectivo, Totalmente Efectivo)."

Identifica brechas de control

Encuentra dónde falta protección:

"Para estas amenazas identificadas [lista amenazas clave], relaciónalas con nuestros controles existentes [lista controles]. Identifica: amenazas sin controles (no mitigadas), amenazas con controles inadecuados (parcialmente mitigadas) y amenazas con múltiples controles superpuestos (defensa en profundidad). Destaca las brechas de control que requieren nuevos controles."

Paso 6: Evalúa la probabilidad y el impacto

Evalúa la probabilidad con controles existentes

Considera las protecciones actuales al evaluar la probabilidad:

"Para la amenaza de [ataque de ransomware en sistemas de producción], evalúa la probabilidad considerando nuestros controles existentes: protección de endpoints, filtrado de correo electrónico, MFA, copias de seguridad, formación en concienciación de seguridad, segmentación de red. Usando nuestra escala de probabilidad de 1-5, ¿qué calificación es apropiada? Proporciona una justificación que haga referencia a la efectividad de los controles."

Evalúa escenarios de impacto

Cuantifica las posibles consecuencias:

"Si la [base de datos de clientes que contiene PII] fuera comprometida a través de [acceso no autorizado], evalúa el impacto en varias dimensiones: Financiero (costos de respuesta a la brecha, multas regulatorias, pérdida de ingresos), Operativo (tiempo de inactividad del sistema, desviación de recursos), Regulatorio (sanciones del GDPR, escrutinio regulatorio) y Reputación (confianza del cliente, daño a la marca, cobertura mediática). Usando nuestra escala de impacto de 1-5, proporciona calificaciones con justificación."

Considera múltiples escenarios

Los impactos de los riesgos varían según el escenario:

"Para nuestro [sistema de copias de seguridad], evalúa el impacto de diferentes escenarios: 1) Las copias de seguridad fallan durante las operaciones normales (descubierto durante las pruebas), 2) Las copias de seguridad fallan y necesitamos recuperarnos de un ransomware, 3) Las copias de seguridad son comprometidas por un atacante. Para cada escenario, evalúa el nivel de impacto y explica por qué difieren a pesar de involucrar el mismo activo."

Paso 7: Calcula y prioriza los riesgos

Calcula las puntuaciones de riesgo

Aplica tu metodología de manera consistente:

"Usando nuestra matriz de riesgo (Probabilidad × Impacto), calcula las puntuaciones de riesgo para estos escenarios: [lista 5-10 riesgos identificados con sus calificaciones de probabilidad e impacto]. Para cada uno, proporciona: cálculo del riesgo, nivel de riesgo (Bajo/Medio/Alto/Crítico) y prioridad de clasificación. Muestra tu trabajo."

Crea un registro de riesgos

Documenta todos los riesgos evaluados:

"Crea una plantilla de registro de riesgos que incluya columnas: ID del Riesgo, Descripción del Riesgo, Activo(s) Relacionado(s), Amenaza, Vulnerabilidad, Controles Existentes, Probabilidad (1-5), Impacto (1-5), Puntuación de Riesgo Inherente, Efectividad del Control, Puntuación de Riesgo Residual, Nivel de Riesgo, Responsable del Riesgo, Decisión de Tratamiento (Aceptar/Mitigar/Transferir/Evitar), Estado del Tratamiento. Completa con ejemplos de entradas de nuestra evaluación."

Prioriza para el tratamiento

No todos los riesgos requieren acción inmediata:

"A partir de nuestro registro de riesgos, prioriza los riesgos para la planificación del tratamiento. Considera: puntuación de riesgo, costo del tratamiento vs. costo del impacto, requisitos regulatorios, expectativas de los clientes, tendencia (aumentando o disminuyendo) y complejidad del tratamiento. Crea un backlog de tratamiento priorizado con la justificación de la secuencia."

Paso 8: Desarrolla planes de tratamiento de riesgos

Selecciona opciones de tratamiento

Para cada riesgo, elige la respuesta adecuada:

"Para estos riesgos altos y críticos [lista riesgos], recomienda una estrategia de tratamiento: Mitigar (implementar controles adicionales para reducir la probabilidad o el impacto), Aceptar (documentar la aceptación con justificación), Transferir (seguro, externalización) o Evitar (eliminar la actividad que causa el riesgo). Para la mitigación, sugiere controles específicos con un análisis de costo-beneficio."

Diseña controles de mitigación

Especifica acciones concretas:

"Para el riesgo de [acceso no autorizado a bases de datos de producción], los controles actuales son [lista controles existentes], el riesgo residual es Alto (puntuación 15). Diseña un plan de mitigación que incluya: controles adicionales a implementar (técnicos y procedimentales), cronograma de implementación, requisitos de recursos, responsable, reducción esperada del riesgo (nivel de riesgo residual objetivo) y estimación de costos de implementación."

Crea una hoja de ruta de tratamiento

Secuencia las iniciativas de tratamiento de riesgos:

"A partir de nuestros planes de tratamiento de riesgos, crea una hoja de ruta de implementación para los próximos 12 meses. Organiza por: Victorias rápidas (0-3 meses, bajo esfuerzo/alto impacto), Iniciativas estratégicas (3-6 meses, inversión significativa), Proyectos a largo plazo (6-12 meses, complejos o costosos). Para cada iniciativa, especifica: riesgos abordados, controles a implementar, dependencias, necesidades de recursos y criterios de éxito."

Paso 9: Mapea los riesgos a los controles de cumplimiento

Mapeo de controles ISO 27001

Relaciona los riesgos con los controles del Anexo A:

"Para estos riesgos identificados [sube o lista riesgos], mapea los controles del Anexo A de ISO 27001:2022 que los mitigarían. Crea un mapeo que muestre: ID del Riesgo, Descripción del Riesgo, Control(es) Aplicable(s) (ej. A.8.2, A.8.23), Objetivo del Control y cómo el control reduce la probabilidad o el impacto. Esto respaldará nuestra Declaración de Aplicabilidad."

Alineación con los criterios SOC 2

Conecta los riesgos con los Criterios de Servicios de Confianza:

"Mapea los resultados de nuestra evaluación de riesgos a los Criterios Comunes de SOC 2. Para cada categoría de riesgo [riesgos de control de acceso, riesgos de gestión de cambios, riesgos de disponibilidad, etc.], identifica: objetivos de control de los Criterios Comunes relevantes (CC1-CC9), controles específicos que abordan el riesgo y qué evidencia demuestra la mitigación del riesgo. Esto respalda nuestra descripción del sistema SOC 2."

Justifica la selección de controles

Demuestra un enfoque basado en riesgos:

"Para nuestra Declaración de Aplicabilidad, documenta por qué seleccionamos estos controles de ISO 27001 [lista controles]. Para cada control, referencia: qué riesgos identificados aborda (IDs de Riesgo), puntuaciones de riesgo antes del control, reducción esperada del riesgo y por qué este control es apropiado para nuestro contexto. Esto demuestra que la selección de controles está impulsada por riesgos, no es arbitraria."

Paso 10: Documenta y comunica los hallazgos

Crea un resumen ejecutivo

Informa a la dirección:

"Crea un resumen ejecutivo de la evaluación de riesgos para la dirección que incluya: alcance y metodología de la evaluación, riesgos totales identificados por nivel (Crítico: X, Alto: Y, Medio: Z, Bajo: W), los 10 principales riesgos que requieren atención inmediata, temas clave o patrones de riesgo, inversiones recomendadas para el tratamiento, riesgo residual después de los tratamientos planificados y comparación con evaluaciones anteriores (si corresponde). Objetivo: resumen ejecutivo de 2 páginas."

Desarrolla un informe técnico de riesgos

Hallazgos detallados para los profesionales:

"Crea un informe completo de evaluación de riesgos que incluya: resumen ejecutivo, documentación de la metodología, inventario de activos, análisis de amenazas y vulnerabilidades, resultados de la evaluación de riesgos, registro completo de riesgos, visualización de mapa de calor de riesgos, recomendaciones de tratamiento con estimaciones de costos, hoja de ruta de implementación y apéndices (escalas de probabilidad/impacto, catálogo de controles). Formato para presentación en auditoría ISO 27001."

Presenta a las partes interesadas

Comunica a diferentes audiencias:

"Crea tres versiones de la comunicación de la evaluación de riesgos: 1) Presentación para la alta dirección (5 diapositivas: hallazgos clave, principales riesgos, solicitud de presupuesto), 2) Sesión informativa para el equipo técnico (detalles de implementación de controles, responsabilidades), 3) Informe para el comité de riesgos de la junta (gobernanza, alineación con el apetito de riesgo, requisitos de supervisión). Adapta el mensaje y el nivel de detalle para cada audiencia."

Paso 11: Planifica el monitoreo y la revisión

Establece el monitoreo de riesgos

Los riesgos cambian con el tiempo:

"Diseña un programa de monitoreo de riesgos que incluya: qué indicadores de riesgo rastrear (inteligencia de amenazas, frecuencia de incidentes, fallos de controles, resultados de escaneos de vulnerabilidades), frecuencia de monitoreo (continuo, mensual, trimestral), desencadenantes para la reevaluación (nuevas amenazas, cambios importantes, incidentes significativos), calendario de informes a la dirección y asignaciones de responsabilidades."

Programa revisiones periódicas

Mantén actualizada la evaluación de riesgos:

"Crea un calendario de revisiones de riesgos: reevaluación anual exhaustiva (requisito de ISO 27001), revisiones trimestrales de riesgos altos y críticos, actualizaciones mensuales de inteligencia de amenazas, revisiones ad-hoc desencadenadas por [cambios importantes en el sistema, nuevas regulaciones, incidentes significativos, actividad de M&A]. Documenta los procedimientos de revisión y los entregables para cada tipo de revisión."

Realiza seguimiento del progreso del tratamiento de riesgos

Asegúrate de que los planes se hagan realidad:

"Diseña un mecanismo de seguimiento del tratamiento de riesgos que incluya: estado del plan de tratamiento (No Iniciado, En Progreso, Completado), hitos y plazos, bloqueos o problemas, consumo de presupuesto, reducción de la puntuación de riesgo lograda y fechas esperadas de finalización. Crea un formato de panel para revisiones mensuales de la dirección."

Errores comunes en la evaluación de riesgos

Próximos pasos después de la evaluación de riesgos

Has completado tu evaluación de riesgos de cumplimiento:

• ✓ Metodología de riesgos documentada y aprobada
• ✓ Activos de información identificados y clasificados
• ✓ Amenazas y vulnerabilidades catalogadas
• ✓ Controles existentes evaluados
• ✓ Riesgos evaluados con puntuaciones de probabilidad e impacto
• ✓ Registro de riesgos creado y priorizado
• ✓ Planes de tratamiento desarrollados
• ✓ Hallazgos documentados y comunicados
• ✓ Procesos de monitoreo y revisión establecidos

Continúa con la implementación:

• Utiliza los planes de tratamiento de riesgos para guiar la implementación de controles
• Actualiza la Declaración de Aplicabilidad con justificaciones de riesgos
• Comienza a recopilar evidencia de monitoreo y tratamiento de riesgos
• Programa revisiones trimestrales de riesgos para riesgos altos y críticos

Obtener ayuda

• Sube documentación: Aprende a subir diagramas de sistemas y documentación para la identificación de activos
• Verifica escenarios de riesgo: Entiende cómo prevenir alucinaciones de IA al validar la inteligencia de amenazas
• Mejores prácticas: Revisa cómo usar ISMS Copilot de manera responsable para garantizar la calidad de la evaluación de riesgos