⚙️

Gestión de Riesgos IT - ISO 31000 & ISO/IEC 27005:2022

Análisis, Evaluación, Controles y Observaciones de Auditoría

1
Ficha Técnica del Análisis de Riesgos IT

Identificación del alcance tecnológico y responsables del proceso de gestión de riesgos.

2
Matriz de Probabilidad por Ocurrencia y Criterios de Tolerancia

Escala de Ocurrencia (Frecuencia) e Impacto basados en ISO 31000.

Escala de Probabilidad por Frecuencia de Ocurrencia (1 al 5)

Nivel Descriptor Criterio de Ocurrencia en TI
5Muy Alto / FrecuenteEl evento ocurre constantemente (varias veces al mes o semana).
4Alto / ProbableEl evento ocurre regularmente (al menos una vez al trimestre).
3Medio / OcasionalEl evento puede ocurrir en circunstancias específicas (anualmente).
2Bajo / RemotoPoco probable que ocurra, pero es posible en el ciclo de vida (cada 2-3 años).
1Muy Bajo / ImprobableExcepcional, solo ocurre bajo condiciones extremas y fortuitas.
BAJO (1 - 4)RIESGO ACEPTABLE
Controlado por mecanismos actuales de TI. Solo requiere monitoreo periódico de rutina.
MEDIO (5 - 9)RIESGO TOLERABLE
Requiere atención planificada a mediano plazo para implementar controles mitigantes.
ALTO (10 - 15)RIESGO SIGNIFICATIVO
Intervención prioritaria de la Jefatura de TI mediante Plan de Tratamiento formal.
CRÍTICO (16 - 25)RIESGO INACEPTABLE
Amenaza severa para la continuidad operativa. Exige acción correctiva inmediata y urgencia gerencial.
3
Inventario y Valoración de Activos Tecnológicos

Identificación de hardware, software, bases de datos y redes críticas (Tríada CIA).

Cód. Nombre del Activo Categoría Custodio / Resp. C (1-3) I (1-3) D (1-3) Descripción / Ubicación Acción
4
Matriz de Identificación y Evaluación de Riesgos IT

Evaluación de amenazas, vulnerabilidades y cálculo de riesgo inherente (Probabilidad x Impacto).

Cód. Activo Afectado Amenaza & Vulnerabilidad Prob. (P) Imp. (I) Riesgo Inherente Controles Actuales Acción
5
Plan de Tratamiento de Riesgos y Controles ISO/IEC 27005

Definición de opciones de tratamiento (Mitigar, Evitar, Transferir, Retener) y controles aplicados.

Cód. Tratamiento Acciones / Controles de Referencia Responsable Plazo Prob. (Res.) Imp. (Res.) Riesgo Residual
6
Registro de Observaciones y No Conformidades del Auditor

Desvíos constatados en campo respecto a los controles de seguridad y gestión de riesgos.

8
Cuantificación Financiera y Análisis de Pérdida Esperada (ALE / SLE)

Evaluación económica de incidentes críticos menores y mayores traducidos a impacto monetario (Dinero) para la toma de decisiones.

Pérdida Anual Esperada (ALE Total)
$ 0.00
Inversión Total en Controles
$ 0.00
Exposición Financiera Neta
$ 0.00
Cód. Riesgo / Incidente Asociado Pérdida por Incidente (SLE) Frecuencia Anual (ARO) Pérdida Anual (ALE) Costo del Control Justificación Financiera / Retorno (ROI)
7
Resumen Ejecutivo y Suscripción del Análisis

Métricas consolidadas y validación formal de los riesgos tecnológicos.

BAJO
0
MEDIO
0
ALTO
0
CRÍTICO
0
TOTAL RIESGOS
0

Mapa de Calor: Matriz de Riesgo 5x5 (Distribución de Riesgos IT)

Ubicación visual de los riesgos analizados según su probabilidad de ocurrencia e impacto operativo.

Probabilidad \ Impacto 1 - Insignificante 2 - Menor 3 - Moderado / Sig. 4 - Mayor 5 - Severo / Crítico
Elaborado por
(Firma / Sello)
Nombre del Gestor de Riesgos
Gestor de Riesgos / Auditor IT
Aprobado por
(Firma / Sello)
Nombre del Director IT
Gerente / Director de Tecnologías