Uno de los desafíos más comunes al implementar la ISO/IEC 27001 es documentar adecuadamente los riesgos y seleccionar los controles más adecuados para mitigarlos. Muchas organizaciones no saben cómo estructurar esta documentación, lo que puede llevar a una gestión de riesgos deficiente y no conformidades durante una auditoría.

¿Te imaginas identificar un riesgo crítico, pero no documentarlo correctamente, y que la auditoría lo señale como una falta? ¿O implementar un control que no sea eficaz porque no responde al riesgo real? Estos errores pueden poner en peligro la certificación y, lo más importante, la seguridad de tu información.

Aquí te presentamos un ejemplo práctico y estructurado de cómo documentar un riesgo y aplicar un control utilizando un enfoque alineado con la ISO/IEC 27001:2022.

Ejemplo: Riesgo de Acceso No Autorizado a Información Confidencial

1. Identificación del Riesgo

• Descripción del Riesgo: Existe la posibilidad de que usuarios no autorizados accedan a información confidencial almacenada en la red interna debido a contraseñas débiles o compartidas.
• Activo Afectado: Servidores de la red interna que almacenan información confidencial de clientes y proyectos.
• Amenaza: Acceso no autorizado por parte de empleados, atacantes externos o dispositivos comprometidos.
• Vulnerabilidad: Uso de contraseñas débiles, ausencia de autenticación multifactor (MFA) y políticas de cambio de contraseña inexistentes.

2. Evaluación del Riesgo

• Probabilidad: Alta (los empleados actualmente no reciben capacitación sobre buenas prácticas de contraseñas).
• Impacto: Alto (la fuga de información confidencial podría dañar la reputación de la organización y generar multas por incumplimiento normativo).
• Nivel de Riesgo: Crítico.

3. Plan de Tratamiento del Riesgo

• Opciones de Tratamiento:
  • Implementar controles para mitigar el riesgo.
  • Capacitar al personal sobre gestión de contraseñas.
  • Monitorear accesos a los servidores.
• Decisión: Implementar controles para reducir el riesgo.

4. Selección y Aplicación del Control

• Control Seleccionado:
  Según el Anexo A de la ISO/IEC 27001:2022, se selecciona el control A.5.15 – Gestión de Identidades y Autenticación de Accesos.
  • Este control establece la necesidad de implementar mecanismos que garanticen que solo usuarios autorizados puedan acceder a los sistemas y datos.
• Acciones a Implementar:
  1. Configurar un sistema de autenticación multifactor (MFA) para todos los accesos a los servidores.
  2. Establecer políticas de contraseñas robustas:
     • Longitud mínima de 12 caracteres.
     • Uso de caracteres especiales, números y letras mayúsculas/minúsculas.
  3. Capacitar a los empleados sobre la importancia de no compartir contraseñas.
  4. Realizar auditorías regulares de accesos para detectar comportamientos sospechosos.

5. Documentación del Riesgo y el Control

Registro del Riesgo:

• Riesgo ID: 001
• Descripción: Acceso no autorizado a información confidencial debido a contraseñas débiles.
• Activo Afectado: Servidores internos.
• Nivel de Riesgo: Crítico.
• Control Aplicado: Implementación de MFA y políticas de contraseñas robustas.
• Fecha de Implementación: [Fecha].
• Propietario del Riesgo: Departamento de IT.

Plan de Tratamiento del Riesgo:

• Estado: En Progreso / Completado.
• Fecha de Revisión: [Fecha programada para auditoría interna].

6. Monitoreo y Mejora Continua

• Realizar auditorías internas periódicas para evaluar la efectividad del control implementado.
• Actualizar el registro de riesgos si surgen nuevas amenazas o vulnerabilidades relacionadas.
• Reforzar la capacitación del personal cada 6 meses.

Conclusión

Este ejemplo muestra cómo documentar un riesgo y aplicar un control de manera clara, estructurada y alineada con la ISO/IEC 27001:2022. Este enfoque no solo facilita el cumplimiento con la norma, sino que también protege los activos más valiosos de tu organización.