Modelos y registros · ISO 27001 · Apartado 6.1.2
Modelo de análisis de riesgos de seguridad ISO 27001
El análisis que identifica qué puede comprometer la confidencialidad, la integridad o la disponibilidad de la información, quién responde de cada riesgo y cuánto pesa.
En una frase
El análisis de riesgos de seguridad de la información identifica los riesgos para la confidencialidad, la integridad y la disponibilidad, asigna a cada uno un propietario, valora su probabilidad y sus consecuencias y los compara con criterios de aceptación fijados de antemano; ISO/IEC 27001 exige documentar el proceso (6.1.2) y conservar sus resultados (8.2).
- Dónde lo pide la norma
- ISO 27001 · Apartado 6.1.2 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Registro obligatorio Proceso documentado (6.1.2) y resultados que hay que conservar (8.2)
- Quién lo rellena
- Responsable de seguridad con los propietarios Cada riesgo tiene un propietario con autoridad para decidir su tratamiento
- Cuándo
- Al menos una vez al año Y ante cambios relevantes: un servicio nuevo, un proveedor crítico, un incidente grave
- Cuánto se conserva
- Lo fija la organización ISO/IEC 27001 no da plazos: pide decidir la conservación y la eliminación de la información documentada (7.5.3). Cubrir el ciclo de certificación de tres años permite enseñar el histórico en la renovación.
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
La norma pide definir un proceso de análisis con criterios de aceptación del riesgo y criterios para realizarlo, de modo que repetido dé resultados coherentes y comparables. Dentro de ese proceso hay que identificar los riesgos, nombrar a su propietario, valorar consecuencias y probabilidad, determinar el nivel y priorizar.
No impone método. Desde 2013 no exige partir de los activos: se puede trabajar por escenarios, por procesos o por activos. ISO/IEC 27005 ofrece orientación, pero no es certificable ni obligatoria.
El análisis se repite a intervalos planificados y cuando hay cambios significativos (8.2). Lo que se conserva son los resultados de cada ejecución, no solo la versión más reciente.
Estructura
Campos que debe tener el modelo
- Criterios de aceptación y escalas de probabilidad e impacto
- Identificador y descripción del riesgo (amenaza y vulnerabilidad o escenario)
- Activo, proceso o servicio afectado
- Dimensión afectada: confidencialidad, integridad o disponibilidad
- Propietario del riesgo
- Controles existentes
- Probabilidad, impacto y nivel de riesgo
- Decisión: aceptar o tratar
- Fecha del análisis y versión
Ejemplo
Ejemplo: un riesgo del análisis anual
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Riesgo | R-07 · Caída prolongada del proveedor de alojamiento de la plataforma |
| Servicio afectado | Plataforma SaaS de Nubeta (ficticia) |
| Dimensión | Disponibilidad |
| Propietaria | Directora de operaciones |
| Controles existentes | Copias diarias en otra región; contrato con nivel de servicio del 99,9 % |
| Valoración | Probabilidad 2 sobre 5 · Impacto 5 sobre 5 · Nivel 10, alto |
| Criterio de aceptación | Se aceptan riesgos de nivel 6 o inferior |
| Decisión | Tratar · pasa al plan de tratamiento como acción T-07 |
| Fecha | Análisis anual, 2 de septiembre de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- No hay criterios de aceptación escritos, o se fijan después de ver los resultados.
- Riesgos sin propietario, o con «Informática» como propietario de todos.
- El análisis no se repite tras un incidente grave o un cambio de proveedor.
- Se borra la versión anterior al actualizar: no queda resultado que conservar.
- Las escalas cambian de un año a otro y los resultados dejan de ser comparables.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Cada riesgo se registra con su activo, su tratamiento y su propietario.
- 2El propietario de cada riesgo y de cada activo se asigna directamente en el sistema.
- 3Cada versión del análisis queda guardada, y tras un incidente relevante se actualiza desde la propia acción correctiva.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Hay que partir del inventario de activos?
No es obligatorio desde la edición de 2013, aunque muchas empresas lo siguen haciendo porque ayuda a no dejarse nada. Se puede analizar por escenarios o por procesos, siempre que los resultados sean coherentes y comparables.
¿Qué es el propietario del riesgo?
La persona con autoridad y responsabilidad para gestionar un riesgo. Es quien aprueba el plan de tratamiento y acepta el riesgo residual, y suele ser un responsable de negocio, no el técnico de sistemas.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Planificación
Planificar en ISO 27001 significa analizar el riesgo de cada activo y decidir, con criterio, qué controles…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de plan de tratamiento de riesgos ISO 27001
Qué debe incluir el plan de tratamiento de riesgos de ISO 27001 (6.1.3 e): opción elegida, controles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27005:2022 — Orientación sobre la gestión de los riesgos de seguridad de la información ISO/IEC · Octubre de 2022