Models i registres · ISO 27001 · Apartat 6.1.2
Model d'anàlisi de riscos de seguretat ISO 27001
L'anàlisi que identifica què pot comprometre la confidencialitat, la integritat o la disponibilitat de la informació, qui respon de cada risc i quant pesa.
En una frase
L'anàlisi de riscos de seguretat de la informació identifica els riscos per a la confidencialitat, la integritat i la disponibilitat, n'assigna un propietari a cadascun, en valora la probabilitat i les conseqüències i els compara amb criteris d'acceptació fixats per endavant; ISO/IEC 27001 exigeix documentar el procés (6.1.2) i conservar-ne els resultats (8.2).
- On ho demana la norma
- ISO 27001 · Apartat 6.1.2 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Registre obligatori Procés documentat (6.1.2) i resultats que cal conservar (8.2)
- Qui l'emplena
- Responsable de seguretat amb els propietaris Cada risc té un propietari amb autoritat per decidir-ne el tractament
- Quan
- Com a mínim una vegada l'any I davant de canvis rellevants: un servei nou, un proveïdor crític, un incident greu
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
La norma demana definir un procés d'anàlisi amb criteris d'acceptació del risc i criteris per dur-lo a terme, de manera que, repetit, doni resultats coherents i comparables. Dins d'aquest procés cal identificar els riscos, designar-ne el propietari, valorar les conseqüències i la probabilitat, determinar-ne el nivell i prioritzar.
No imposa cap mètode. Des de 2013 no exigeix partir dels actius: es pot treballar per escenaris, per processos o per actius. ISO/IEC 27005 ofereix orientació, però no és certificable ni obligatòria.
L'anàlisi es repeteix a intervals planificats i quan hi ha canvis significatius (8.2). El que es conserva són els resultats de cada execució, no només la versió més recent.
Estructura
Camps que ha de tenir el model
- Criteris d'acceptació i escales de probabilitat i impacte
- Identificador i descripció del risc (amenaça i vulnerabilitat o escenari)
- Actiu, procés o servei afectat
- Dimensió afectada: confidencialitat, integritat o disponibilitat
- Propietari del risc
- Controls existents
- Probabilitat, impacte i nivell de risc
- Decisió: acceptar o tractar
- Data de l'anàlisi i versió
Exemple
Exemple: un risc de l'anàlisi anual
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Risc | R-07 · Caiguda prolongada del proveïdor d'allotjament de la plataforma |
| Servei afectat | Plataforma SaaS de Nubeta (fictícia) |
| Dimensió | Disponibilitat |
| Propietària | Directora d'operacions |
| Controls existents | Còpies diàries en una altra regió; contracte amb un nivell de servei del 99,9 % |
| Valoració | Probabilitat 2 sobre 5 · Impacte 5 sobre 5 · Nivell 10, alt |
| Criteri d'acceptació | S'accepten riscos de nivell 6 o inferior |
| Decisió | Tractar · passa al pla de tractament com a acció T-07 |
| Data | Anàlisi anual, 2 de setembre de 2026 |
A l'auditoria
Errors que solen assenyalar els auditors
- No hi ha criteris d'acceptació escrits, o es fixen després de veure els resultats.
- Riscos sense propietari, o amb «Informàtica» com a propietari de tots.
- L'anàlisi no es repeteix després d'un incident greu o d'un canvi de proveïdor.
- S'esborra la versió anterior en actualitzar-la: no queda cap resultat per conservar.
- Les escales canvien d'un any a l'altre i els resultats deixen de ser comparables.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Cada risc es registra amb el seu actiu, el seu tractament i el seu propietari.
- 2El propietari de cada risc i de cada actiu s'assigna directament al sistema.
- 3Cada versió de l'anàlisi queda guardada, i després d'un incident rellevant s'actualitza des de la mateixa acció correctiva.
Preguntes freqüents
El que ens pregunten abans de començar
Cal partir de l'inventari d'actius?
No és obligatori des de l'edició de 2013, tot i que moltes empreses ho continuen fent perquè ajuda a no deixar-se res. Es pot analitzar per escenaris o per processos, sempre que els resultats siguin coherents i comparables.
Què és el propietari del risc?
La persona amb autoritat i responsabilitat per gestionar un risc. És qui aprova el pla de tractament i accepta el risc residual, i sol ser un responsable de negoci, no el tècnic de sistemes.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Planificació
Planificar en ISO 27001 significa analitzar el risc de cada actiu i decidir, amb criteri, quins controls de…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model de pla de tractament de riscos ISO 27001
Què ha d'incloure el pla de tractament de riscos d'ISO 27001 (6.1.3 e): opció triada, controls, responsable…
Model d'inventari d'actius d'informació ISO 27001
Com muntar l'inventari d'actius d'informació que demana el control 5.9 d'ISO 27001: tipus, propietari…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27005:2022 — Orientació sobre la gestió dels riscos de seguretat de la informació ISO/IEC · Octubre de 2022