Models i registres · ISO 27001 · Apartat 6.1.3
Model de pla de tractament de riscos ISO 27001
El que es farà amb cada risc que no s'accepta: amb quins controls, qui, per a quan i quin risc queda després, aprovat pel seu propietari.
En una frase
El pla de tractament de riscos recull, per a cada risc que no s'accepta, l'opció triada —mitigar, evitar, transferir o acceptar—, els controls que s'aplicaran, el responsable i el termini, i l'aprovació del propietari juntament amb la seva acceptació del risc residual, que és el que exigeix l'apartat 6.1.3 e) i f) d'ISO/IEC 27001.
- On ho demana la norma
- ISO 27001 · Apartat 6.1.3 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Registre obligatori Procés documentat (6.1.3) i resultats que cal conservar (8.3)
- Qui l'emplena
- Responsable de seguretat i propietaris El propietari aprova el pla i signa l'acceptació del risc residual
- Quan
- Després de cada anàlisi de riscos El seu avenç es revisa al comitè de seguretat i a la revisió per la direcció
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
Amb els riscos valorats, la norma demana triar opcions de tractament, determinar els controls necessaris, formular un pla i obtenir dels propietaris l'aprovació del pla i l'acceptació del risc residual.
El pla no és la declaració d'aplicabilitat: la SoA diu quins controls existeixen i per què; el pla diu què es fa, qui ho fa i quan per arribar a aquest estat. Tots dos s'alimenten de la mateixa anàlisi.
L'execució del pla se segueix al capítol 8: cal implantar-lo i conservar-ne els resultats, de manera que a l'auditoria es vegi què s'ha fet, què queda pendent i per què.
Estructura
Camps que ha de tenir el model
- Risc tractat i nivell abans del tractament
- Opció de tractament: mitigar, evitar, transferir o acceptar
- Controls o accions previstos (amb la referència a l'annex A, si en té)
- Responsable i data prevista
- Recursos necessaris
- Nivell de risc residual esperat
- Aprovació del propietari i acceptació del risc residual
- Estat i data de tancament
Exemple
Exemple: tractament del risc de caiguda del proveïdor
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Risc | R-07 · Nivell 10, alt |
| Opció | Mitigar |
| Acció T-07 | Rèplica de la plataforma en una segona regió amb commutació provada (controls 5.30 i 8.14) |
| Responsable i termini | Cap d'infraestructura · 31 de gener de 2027 |
| Recursos | Pressupost aprovat de 18.000 € anuals |
| Risc residual esperat | Nivell 5, acceptable |
| Aprovació | Directora d'operacions, 10 de setembre de 2026; accepta el risc residual |
| Estat | En curs · 60 % |
A l'auditoria
Errors que solen assenyalar els auditors
- El pla no té dates ni responsables: és una llista de bones intencions.
- No hi consta l'acceptació del risc residual per part del propietari.
- Riscos «transferits» a una assegurança o a un proveïdor sense revisar què cobreix el contracte.
- Accions tancades al pla que no es reflecteixen a la declaració d'aplicabilitat.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Cada acció del pla s'assigna a un responsable amb data, i el sistema avisa si es retarda.
- 2El tractament queda registrat al costat del risc i del seu propietari, amb la seva aprovació.
- 3La revisió per la direcció parteix d'una plantilla amb els incidents de seguretat i els riscos ja agregats.
Preguntes freqüents
El que ens pregunten abans de començar
Es pot acceptar un risc alt?
Sí, si el seu propietari l'accepta de manera conscient i queda registrat. La norma no prohibeix acceptar riscos per sobre del criteri; demana que la decisió sigui explícita i que la prengui qui té autoritat per fer-ho.
El pla de tractament i la SoA poden ser el mateix document?
Poden conviure a la mateixa eina, però responen preguntes diferents. Barrejar-los sol fer que es perdi el seguiment de les accions o la justificació dels controls.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Planificació
Planificar en ISO 27001 significa analitzar el risc de cada actiu i decidir, amb criteri, quins controls de…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Model d'inventari d'actius d'informació ISO 27001
Com muntar l'inventari d'actius d'informació que demana el control 5.9 d'ISO 27001: tipus, propietari…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27005:2022 — Orientació sobre la gestió dels riscos de seguretat de la informació ISO/IEC · Octubre de 2022