Recurso gratuito
Plantilla de evaluación de riesgos ISO 27001
Una metodología de evaluación de riesgos ISO 27001:2022 lista para usar — puntuación, opciones de tratamiento y estructura del registro. Cópiela para su SGSI, o deje que CATAAM ejecute la evaluación de riesgos y la supervisión del Anexo A por usted.
1. Metodología de puntuación
Puntuación de riesgo = Probabilidad × Impacto (1–25).
Probabilidad
| Puntuación | Descripción |
|---|---|
| 1 | Rara — una vez cada 5 años o más |
| 2 | Improbable — una vez cada 2–5 años |
| 3 | Posible — una vez al año |
| 4 | Probable — varias veces al año |
| 5 | Casi segura — mensual o más frecuente |
Impacto
| Puntuación | Descripción |
|---|---|
| 1 | Insignificante — sin impacto operativo, sin exposición de datos |
| 2 | Menor — impacto limitado, resuelto rápidamente |
| 3 | Moderado — interrupción significativa, exposición de datos limitada |
| 4 | Mayor — daño grave, notificación regulatoria probable |
| 5 | Crítico — continuidad del negocio amenazada, brecha masiva de datos |
Niveles de riesgo y plazos de tratamiento
| Puntuación | Nivel | Tratamiento |
|---|---|---|
| 1–4 | Bajo | Aceptar o supervisar |
| 5–9 | Medio | Tratar en 90 días |
| 10–16 | Alto | Tratar en 30 días |
| 17–25 | Crítico | Tratar de inmediato |
2. Opciones de tratamiento del riesgo
| Opción | Cuándo usarla |
|---|---|
| Mitigar | Implementar controles para reducir la probabilidad o el impacto |
| Transferir | Seguro o transferencia contractual de la responsabilidad |
| Aceptar | Documentar y aceptar el riesgo residual (requiere aprobación de la dirección) |
| Evitar | Eliminar la actividad que genera el riesgo |
3. Columnas del registro de riesgos
Registre cada riesgo con estos campos; vincule cada uno a un control del Anexo A para su declaración de aplicabilidad.
ID del riesgoActivo / áreaAmenazaVulnerabilidadProbabilidad (1–5)Impacto (1–5)PuntuaciónTratamientoResponsableFecha límiteControl del Anexo A
Evaluación de riesgos ISO 27001 — FAQ
- ¿Qué es una evaluación de riesgos ISO 27001?
- Es el proceso estructurado de identificar los riesgos de seguridad de la información para sus activos dentro del alcance, puntuar cada uno por probabilidad e impacto y decidir cómo tratarlos. ISO 27001:2022 (cláusula 6.1.2) exige una metodología documentada y repetible y un registro de riesgos — es la columna vertebral de su SGSI.
- ¿Cómo se puntúa el riesgo en ISO 27001?
- La mayoría de los equipos usan probabilidad × impacto en una escala de 1 a 5, lo que da una puntuación de 1 a 25 que se corresponde con bandas Bajo / Medio / Alto / Crítico con plazos de tratamiento asociados. La escala exacta la decide usted, pero debe ser coherente y estar documentada.
- ¿Cuáles son las cuatro opciones de tratamiento del riesgo?
- Mitigar (añadir controles), Transferir (seguros/contratos), Aceptar (documentar el riesgo residual con aprobación) o Evitar (cesar la actividad). Cada riesgo del registro debe indicar qué opción se eligió y por qué.
- ¿Cubre esta plantilla el Anexo A de ISO 27001:2022?
- Sí — el registro vincula cada riesgo tratado al control del Anexo A correspondiente, lo que alimenta su declaración de aplicabilidad (DdA). CATAAM puede generar la DdA y supervisar esos controles de forma continua.
Del registro de riesgos al SGSI certificado
CATAAM automatiza las evidencias ISO 27001, genera su DdA y supervisa continuamente los controles del Anexo A.
ISO 27001 con CATAAM