Análisis de riesgos según ISO 27001:2022: metodología paso a paso

El análisis de riesgos como núcleo del SGSI

ISO 27001:2022 no prescribe qué controles aplicar de forma universal. En cambio, exige que cada organización identifique sus propios riesgos y decida qué controles son necesarios para tratarlos. Este enfoque basado en riesgos es la razón por la que dos organizaciones con la misma norma pueden tener declaraciones de aplicabilidad muy diferentes.

La cláusula 6.1.2 de ISO 27001:2022 establece los requisitos del proceso de valoración de riesgos. No es un trámite puntual: es un proceso vivo que debe repetirse con periodicidad o cuando se produzcan cambios significativos en la organización, la tecnología o el contexto.

Fase 1: Identificación de activos

El proceso comienza por saber qué se protege. Un activo de información es cualquier elemento que tiene valor para la organización. La clasificación habitual agrupa los activos en seis categorías:

• Información: bases de datos, contratos, expedientes, correos electrónicos, backups.
• Software: sistemas operativos, aplicaciones de negocio, herramientas de desarrollo.
• Hardware: servidores, estaciones de trabajo, dispositivos móviles, equipos de red.
• Personas: empleados, contratistas, administradores de sistemas con acceso privilegiado.
• Instalaciones: centros de datos, oficinas, armarios de comunicaciones.
• Servicios: conectividad a Internet, servicios cloud, suministro eléctrico.

Cada activo debe tener un propietario designado, que es el responsable de definir el nivel de protección requerido. El inventario de activos no es solo una lista: es la base sobre la que se construye todo el análisis posterior.

Fase 2: Identificación de amenazas y vulnerabilidades

Para cada activo, se identifican las amenazas que podrían afectarle y las vulnerabilidades que facilitarían que esas amenazas se materialicen. Las amenazas se clasifican habitualmente en tres tipos:

• Deliberadas: ataques externos (ransomware, phishing, intrusión), sabotaje interno, robo de información.
• Accidentales: errores de configuración, borrado involuntario de datos, fallo humano en operaciones críticas.
• Ambientales: incendio, inundación, corte de suministro eléctrico, fenómenos meteorológicos.

MAGERIT v3, la metodología de análisis y gestión de riesgos de las Administraciones Públicas españolas publicada por el Ministerio de Hacienda, incluye catálogos detallados de amenazas organizadas por tipo de activo. Su uso no es obligatorio para organizaciones privadas que buscan ISO 27001, pero es una referencia de gran calidad que facilita enormemente la fase de identificación.

Fase 3: Valoración del riesgo

Una vez identificadas las amenazas y vulnerabilidades, se calcula el nivel de riesgo para cada combinación. La fórmula conceptual es:

Riesgo = Probabilidad × Impacto

Tanto la probabilidad como el impacto se expresan en escalas que la organización define previamente en sus criterios de valoración. Una escala típica es de 1 a 5, donde 1 es muy bajo y 5 es crítico. El resultado es una matriz de riesgos que permite visualizar cuáles son los riesgos más graves.

El impacto debe evaluarse en las tres dimensiones de seguridad: confidencialidad (qué pasaría si esta información se revelara), integridad (qué pasaría si fuera alterada) y disponibilidad (qué pasaría si no estuviera accesible). Para activos con implicaciones legales, como datos de carácter personal, el impacto incluye también la vertiente de cumplimiento normativo.

Fase 4: Evaluación y priorización

No todos los riesgos identificados requieren tratamiento inmediato. En esta fase se compara cada riesgo calculado con los criterios de aceptación de riesgo que la organización ha establecido de antemano. Estos criterios deben estar documentados y aprobados por la dirección.

Los riesgos que superan el umbral de aceptación son los que requieren tratamiento. Los que quedan por debajo pueden ser aceptados formalmente, lo que también debe documentarse. Este proceso genera el concepto de riesgo residual: el riesgo que permanece tras aplicar los controles de tratamiento.

La herramienta PILAR, desarrollada por el Centro Criptológico Nacional (CCN), automatiza gran parte de estos cálculos siguiendo la metodología MAGERIT. Es una herramienta de uso gratuito para las Administraciones Públicas españolas y muy extendida también en el sector privado.

Fase 5: Tratamiento del riesgo

ISO 27001:2022 establece cuatro opciones de tratamiento para cada riesgo identificado como no aceptable:

• Mitigar: aplicar controles de seguridad que reduzcan la probabilidad o el impacto. Es la opción más habitual y la que conduce a la selección de controles del Anexo A.
• Transferir: trasladar el riesgo a un tercero, por ejemplo mediante seguros de ciberriesgos o contratos con proveedores que asuman responsabilidad.
• Aceptar: decidir conscientemente convivir con el riesgo, cuando el coste del tratamiento supera el beneficio. Debe documentarse la justificación y la aprobación de la dirección.
• Evitar: eliminar la actividad o el activo que genera el riesgo. Por ejemplo, dejar de procesar ciertos datos o abandonar una tecnología obsoleta.

El resultado del tratamiento es el Plan de Tratamiento de Riesgos (PTR), un documento que recoge qué controles se van a implementar, quién es el responsable, el plazo y el estado de avance.

Análisis cualitativo vs. cuantitativo

El análisis cualitativo usa escalas descriptivas (bajo, medio, alto, crítico). Es más rápido de implementar y suficiente para la mayoría de organizaciones que buscan la certificación ISO 27001. El análisis cuantitativo asigna valores monetarios a los activos y calcula el riesgo en términos económicos (pérdida esperada anual, ALE). Este segundo enfoque es más preciso pero requiere datos históricos fiables que pocas organizaciones tienen disponibles.

ISO 27001:2022 no exige un método concreto: lo importante es que el método sea reproducible, comparable y documentado.

Documentación obligatoria

El auditor de certificación exigirá, como mínimo, la siguiente documentación:

• Metodología de análisis de riesgos: documento que describe el proceso, las escalas y los criterios de aceptación.
• Inventario de activos con propietarios asignados.
• Informe de análisis de riesgos: resultado del proceso con todas las valoraciones.
• Registro de riesgos: listado de riesgos con su nivel, tratamiento seleccionado y estado.
• Plan de Tratamiento de Riesgos (PTR) con responsables y plazos.

El análisis de riesgos en la auditoría de certificación

Durante la auditoría de certificación ISO 27001, el análisis de riesgos es uno de los puntos de revisión más exhaustivos. El auditor comprobará que existe una metodología documentada y aprobada, que el inventario de activos es completo y actualizado, que los riesgos identificados son coherentes con el contexto de la organización, y que los controles del Anexo A seleccionados en la Declaración de Aplicabilidad están justificados por el resultado del análisis de riesgos.

Un error frecuente es presentar un análisis de riesgos que parece completo en papel pero que no está conectado con la realidad operativa. El auditor entrevistará a los propietarios de activos y comprobará que realmente conocen y han participado en el proceso. La trazabilidad entre riesgos, controles y la Declaración de Aplicabilidad debe ser clara y demostrable.

La revisión del análisis de riesgos debe realizarse al menos una vez al año o cuando se produzcan cambios organizativos, tecnológicos o del contexto de amenazas significativos. Esta periodicidad debe quedar evidenciada con las fechas de las sucesivas revisiones y las actas de revisión por la dirección que las aprueban.