Gestión de riesgos
Identifique, evalúe y trate cada riesgo en un solo registro
SecureSlate puntúa cada escenario de riesgo por probabilidad e impacto según escalas que usted mismo redacta, de modo que una puntuación significa lo mismo la ponga quien la ponga. Después, cada riesgo puede asignarse a los controles que lo reducen, cada uno con la cláusula del marco que cumple, para que el registro que entrega a su auditor ya incluya el razonamiento que hay detrás.
Por qué importa la gestión de riesgos
Una puntuación de riesgo que nadie sabe explicar es un número, no una evaluación.
Cada persona puntúa de forma distinta
Lo que para una persona es alto, para otra es medio. Sin definiciones escritas para cada nivel, el registro refleja quién rellenó la fila, no cuánto riesgo asume realmente la empresa.
El registro y los controles van por libre
Los riesgos viven en una hoja de cálculo y los controles en la herramienta de cumplimiento. Nada conecta la medida con aquello que mitiga, así que nadie puede demostrar que el tratamiento fue algo más que una intención.
Se hace una vez, para la auditoría
La evaluación se elabora el mes anterior al trabajo de campo y luego se olvida durante un año. Cuando llega la siguiente auditoría, la empresa ha cambiado, los riesgos han cambiado y el documento describe una compañía que ya no existe.
Puntúe cada riesgo, decida cómo tratarlo y justifique su criterio
Escalas de puntuación que usted define, riesgo inherente y residual puntuados por separado, cada riesgo asignado a los controles que lo reducen y una revisión con IA que su equipo aprueba.
Deje que la IA redacte la evaluación
Confirme los datos de su empresa y SecureSlate AI recomienda puntuaciones inherentes y residuales, un plan de tratamiento y notas de apoyo para cada escenario, en unos dos minutos por riesgo. Rellena la información a partir del perfil de su empresa y puntúa conjuntamente probabilidad, impacto y tratamiento. No se aplica nada hasta que usted lo aprueba, de modo que el registro sigue reflejando el criterio de su equipo y no el del modelo.
Escalas de puntuación redactadas por usted
Cada nivel de las escalas de probabilidad e impacto tiene una puntuación, una etiqueta y una definición escrita, para que un tres signifique lo mismo para su ingeniera y para su director financiero. Establezca los rangos que convierten una puntuación combinada en bajo, medio, alto o crítico, y añada sus propias categorías. Esto es lo que hace defendible el número cuando un auditor pregunta cómo llegó a él.
Riesgo inherente y residual, uno junto a otro
El registro muestra cada escenario con su puntuación inherente, su puntuación residual, cuántos controles tiene asignados, quién es su responsable y en qué punto se encuentra entre incompleto, en curso, pendiente de aprobación y aprobado. Puntuar el riesgo residual por separado, en lugar de derivarlo, hace que el registro refleje un juicio sobre lo que los controles consiguen realmente.
Asigne cada riesgo a los controles que lo reducen
Cada escenario recibe uno de los cuatro tratamientos: mitigar, evitar, transferir o aceptar, cada uno con una descripción sencilla para que la elección sea deliberada. Después asigne los controles que reducen la puntuación residual. Cada uno indica la cláusula del marco que cumple, como ISO 27001:2022 A.8.26, de modo que la trazabilidad del riesgo al control y a la cláusula se ve en un solo lugar.
Dónde está realmente el riesgo
La vista general combina un gráfico de anillo de estado, que muestra qué parte del registro está aprobada frente a lo que aún necesita aprobación, con un mapa de calor del riesgo inherente según probabilidad e impacto. De un vistazo sabe si su exposición se concentra en la esquina superior derecha o está repartida, y qué parte de la evaluación está realmente terminada.
Empiece con una biblioteca, no con una hoja en blanco
La biblioteca de riesgos contiene escenarios ya redactados y agrupados por categoría, desde la seguridad de las operaciones y el control de acceso hasta la continuidad de negocio, la privacidad, el fraude y las relaciones con proveedores, cada uno con los controles recomendados ya asignados. Añada los que correspondan y redacte los suyos para todo lo que sea específico de su empresa.
Recursos
Infórmese antes de su próxima evaluación.
Guías prácticas sobre registros y evaluaciones de riesgos, desde construir la matriz hasta traducir una calificación en acciones concretas. Las guías están en inglés.
Qué es un registro de riesgosPlantilla de evaluación de riesgosMarco de gestión de riesgosMatriz de evaluación de riesgosDe las calificaciones a la acciónEstrategia de mitigación de riesgosEvaluación de riesgos ISO 27001Evaluación de riesgos SOC 2Software de gestión de riesgosGestión de riesgos en SecureSlate
Preguntas frecuentes
Lo que conviene saber sobre la gestión de riesgos.
Es la lista de los riesgos que ha identificado su organización, con lo que cada uno podría costarle, quién es su responsable, qué se decidió hacer al respecto y qué queda después de aplicar los controles. Tanto SOC 2 como ISO 27001 lo exigen, y ISO 27001 en particular exige que el método de puntuación esté documentado por escrito y no improvisado.
El riesgo inherente es la exposición antes de que sus controles actúen sobre ella. El riesgo residual es lo que queda cuando ya funcionan. SecureSlate puntúa cada uno por separado con su propia probabilidad e impacto, en lugar de calcular el residual con una fórmula, de modo que el segundo número refleja un juicio sobre lo que sus controles consiguen de verdad.
Sí, y debería hacerlo. Defina la puntuación, la etiqueta y una descripción escrita para cada nivel de las escalas de probabilidad e impacto, establezca los rangos que traducen una puntuación combinada en bajo, medio, alto y crítico, y añada sus propias categorías de riesgo. El mapa de calor y el registro siguen lo que usted configure.
Porque son lo que hace comparables las puntuaciones. Si la probabilidad cuatro indica que se espera que la amenaza se materialice y que el actor está muy motivado, dos responsables distintos que evalúan dos riesgos distintos aplican la misma prueba. Sin eso, un registro es una colección de opiniones, y un auditor que pregunte por qué algo es un tres no tiene nada que leer.
Usted confirma los datos de su empresa y la IA recomienda puntuaciones inherentes y residuales, un plan de tratamiento y notas para cada escenario, en unos dos minutos por riesgo, a partir del perfil de su empresa. Cada recomendación queda pendiente de revisión humana. No se aplica nada hasta que usted lo aprueba, así que le ahorra la hoja en blanco, pero el criterio sigue siendo suyo.
No. La biblioteca de riesgos incluye escenarios ya redactados y agrupados por categoría, que cubren lo que la mayoría de las organizaciones tienen en común, y cada uno llega con los controles recomendados ya asignados. Añada lo que corresponda, ajuste la puntuación a su empresa y redacte escenarios personalizados para los riesgos que nadie más tendría.
Asigne los controles directamente al escenario que reducen. Cada control asignado muestra la cláusula del marco que cumple, de modo que un riesgo apunta a un control y el control apunta a ISO 27001:2022 A.8.26 o su equivalente. Esa cadena es lo que convierte una decisión de tratamiento en una evidencia y no en una intención.
Cada escenario tiene un responsable y pasa por los estados incompleto, en curso, pendiente de aprobación y aprobado. El estado es visible en el registro y se contabiliza en la vista general, así que una evaluación a medias se ve a medias, y no completa solo porque cada fila tenga algo escrito.
Ambas exigen una evaluación de riesgos documentada, e ISO 27001 exige un método repetible que produzca resultados comparables. Un registro con escalas definidas, definiciones por nivel, puntuación separada del riesgo inherente y residual, responsables designados, tratamientos registrados y controles asignados a cláusulas responde a eso directamente, porque el razonamiento acompaña a cada fila.
Al menos una vez al año y después de cualquier cambio que altere su exposición, como un nuevo producto, un nuevo mercado, un proveedor importante o un incidente. El indicador práctico es la vista de estado: si la mayor parte del registro no se ha tocado desde la última auditoría, describe una empresa que ya no es la suya.
Cree un registro que resista cualquier pregunta
Defina sus escalas de puntuación, incorpore desde la biblioteca los escenarios que correspondan y deje que la IA redacte un primer borrador para que su equipo lo apruebe.
