Tratamiento de Riesgos (II)

La evaluación de riesgos debe identificar, cuantificar y priorizar riesgos contra el criterio para la aceptación del riesgo y los objetivos relevantes para la organización. Los resultados deben guiar y determinar la apropiada acción de gestión y las prioridades para manejar la información de los riesgos de seguridad y para implementar controles seleccionados para proteger estos riesgos. El proceso de evaluación de riesgos y de seleccionar controles puede requerir que sea realizado un número de veces con el fin de cubrir diferentes partes de la organización o sistemas de información individuales.

La evaluación del riesgo debe incluir un alcance sistemático sobre la estimación de la magnitud del riesgo

(análisis del riesgo) y sobre el proceso de comparar el riesgo estimado con el criterio para determinar el significado de los riesgos (valoración del riesgo). Las evaluaciones del riesgo deben ser realizadas periódicamente para incluir los cambios en los requerimientos del sistema y en la situación del riesgo, por ejemplo en los activos, amenazas, vulnerabilidades, impactos, valoración del riesgo y cuando cambios significativos ocurran. Estas evaluaciones del riesgo deben ser emprendidas de una forma metódica, capaz de producir resultados comparables y reproducibles. La evaluación de la información del riesgo de seguridad debe tener un alcance claro y definido para que este sea efectivo y debe incluir relaciones con las evaluaciones del riesgo en otras áreas, si es apropiado.

Antes de considerar el tratamiento de un riesgo, la organización debe decidir el criterio para determinar si es que los riesgos son aceptados o no. Los riesgos pueden ser aceptados si, por ejemplo, se evalúa que el riesgo es menor o que el costo de tratarlo no es rentable para la organización. Estas decisiones deben ser grabadas. Para cada uno de los riesgos identificados, siguiendo la evaluación del riesgo, se necesita realizar una decisión del tratamiento del riesgo. Posibles opciones para el tratamiento del riesgo incluye:

a) Aplicar controles apropiados para reducir riesgos.

b) Riesgos aceptados objetivamente y con conocimiento, satisfaciendo claramente

el criterio para la aceptación del riesgo y la política de la organización.

c) Evitar riesgos no permitiendo realizar acciones que puedan causar que estos riesgos ocurran.

d) Transferir los riesgos asociados a terceros como son los proveedores y aseguradores.

Deseas saber más?
DESCARGAR