Análisis de Riesgos de Seguridad de la Información
Vítaly aplica una metodología estructurada para identificar, valorar y tratar los riesgos de seguridad de la información y privacidad de los datos.
Este marco cumple con las normas ISO/IEC 27001:2022 e ISO/IEC 27005:2022, las directrices de ISO 31000 y los principios de la metodología MAGERIT v3. Asimismo, responde a los requisitos del Esquema Nacional de Seguridad (ENS) en categoría Alta (Real Decreto 311/2022), del Reglamento General de Protección de Datos (RGPD) y de la Directiva europea NIS2.
1. Identificación y Escenarios de Riesgo
El modelo se orienta a eventos. Se evalúan amenazas potenciales y vulnerabilidades sobre los activos técnicos en centros de trabajo, oficinas corporativas, centros de datos y plataformas en la nube. Las fuentes principales de detección incluyen:
- Evaluaciones periódicas (assessments): Reuniones de trabajo coordinadas por el analista de riesgos con los responsables de área técnica, operaciones y recursos humanos.
- Auditorías internas: Revisiones programadas que ejecuta el auditor interno sobre los procesos e infraestructuras.
- Evaluaciones de Impacto (EIPD): Análisis específicos de riesgos para la privacidad de datos personales.
- Pruebas técnicas: Test de vulnerabilidades e intrusión en redes y aplicaciones.
- Cadena de suministro: Control de proveedores externos y sus accesos.
- Puestos de trabajo: Notificaciones de incidencias o puntos débiles transmitidas por los propios empleados.
2. Criterios de Evaluación
Cada riesgo se mide frente a cinco dimensiones de seguridad: Confidencialidad, Integridad, Disponibilidad, Trazabilidad y Autenticidad.
- La probabilidad se califica en tres niveles: Baja, Media o Alta.
- El impacto se valora de Nulo a Crítico (escala numérica de 10 a 50). Para vulnerabilidades de software se emplea la escala cuantitativa CVSS del NIST.
- El cruce entre probabilidad e impacto determina el nivel de riesgo: Bajo, Medio, Alto o Crítico.
3. Apetito de Riesgo y Tratamiento
Vítaly fija su apetito de riesgo en el umbral Medio (valor 30). Cuando un riesgo iguala o supera este nivel, el propietario del riesgo (Risk Owner) define un plan de tratamiento seleccionando una de estas acciones:
- Mitigar: implantar salvaguardas técnicas u organizativas.
- Transferir: derivar la cobertura a terceros o pólizas de seguros.
- Evitar: suprimir la actividad, el software o el proceso afectado.
- Asumir: aceptar de forma justificada el riesgo residual cuando se encuentra dentro de los límites tolerables.
Toda la operativa y su vinculación con los controles de ISO 27001 y las medidas del ENS se gestiona de forma centralizada mediante una plataforma corporativa de gobierno, riesgo y cumplimiento (GRC).
