Después de leerlo, podrá ver lo que pide realmente el apartado 6.1.2 y preparar las evidencias que examinará un auditor de certificación.
Definición
El apartado 6.1.2 pide criterios de aceptación de riesgos y criterios sobre cómo se realizan las evaluaciones. Los resultados deben ser coherentes, válidos y comparables, y los riesgos considerados son los que afectan a la confidencialidad, la integridad y la disponibilidad de la información dentro del alcance del sistema de gestión.
La norma no impone ningún método, y desde su edición de 2013 ya no es obligatorio partir de una lista de activos. La ISO/IEC 27005 ofrece orientación sobre cómo hacer el trabajo.
Por qué importa
El resto del sistema de gestión depende de este trabajo. La elección de los controles del anexo A, la declaración de aplicabilidad y el plan de tratamiento se derivan de sus resultados, y por eso los auditores lo revisan tan pronto.
Cómo funciona
Haga que primero se definan y aprueben los criterios. Dentro del alcance, identifique los riesgos para la confidencialidad, la integridad y la disponibilidad, y nombre un propietario para cada uno.
Evalúe las consecuencias y la probabilidad realistas, determine el nivel de riesgo, compárelo con los criterios y ordene los resultados.
Conserve información documentada tanto del proceso (apartado 6.1.2) como de los resultados (apartado 8.2). Repita en sus intervalos planificados y cuando se produzca un cambio significativo.
Un caso práctico
Una empresa de software de 60 personas limita su sistema de gestión a su plataforma SaaS y aprueba una matriz de 5×5 con un nivel de aceptación de 8. Identifica 32 escenarios, 11 de ellos por encima del nivel.
Esos 11 pasan al plan de tratamiento, y los propietarios aceptan los otros 21. Para la auditoría, la empresa entrega la metodología, los resultados fechados y el acta de la aprobación por la dirección.
Buenas prácticas
- Haga que la alta dirección apruebe los criterios de aceptación. De lo contrario, es el evaluador quien decide cuánto riesgo puede asumir la empresa.
- Incorpore el registro de incidentes a cada ronda, porque los sucesos reales son su mejor calibración.
- Conserve versiones fechadas, para demostrar que el proceso se repite de verdad.
- Contraste después sus resultados con el anexo A para detectar controles que falten. Es una red de seguridad y nunca debe convertirse en su lista de riesgos.
- Incluya a los proveedores y los servicios en la nube en la discusión si el alcance depende de ellos.
Errores frecuentes
- Partir del anexo A y llamar al resultado evaluación de riesgos. Eso es una revisión de controles, y un auditor verá la diferencia.
- No tener criterios de aceptación escritos, lo que deja cada aceptación abierta a discusión.
- Evaluar una vez para obtener el certificado y nunca más, de modo que la auditoría de seguimiento encuentra un expediente desfasado.
Preguntas
- ¿Hace falta un inventario de activos para la evaluación de riesgos?
- El apartado 6.1.2 ya no lo exige desde 2013. Sin embargo, el control 5.9 del anexo A pide un inventario, y muchas empresas siguen partiendo de él.
- ¿Qué metodología exige la ISO 27001?
- Ninguna. Fija requisitos sobre los criterios y sobre los resultados.
- ¿Con qué frecuencia hay que hacer la evaluación?
- A intervalos planificados que fija usted mismo y cuando se producen cambios significativos (apartado 8.2). Una vez al año es habitual.
- ¿Qué quiere ver un auditor de certificación?
- El proceso y los criterios documentados, los resultados fechados, los propietarios y un camino claro desde los resultados hasta el plan de tratamiento y la declaración de aplicabilidad.
- ¿Qué cambió en la edición de 2022?
- El núcleo del apartado 6.1.2 sigue igual. El anexo A se reorganizó en 93 controles agrupados en cuatro temas.