El registro de riesgos es la base de cualquier programa de seguridad. Lo piden NIS2 (análisis de riesgos, artículo 21) e ISO 27001 (cláusula 6.1), y también lo suelen preguntar los clientes en sus cuestionarios. La buena noticia: una pyme puede tener uno útil en pocas horas. Te explicamos cómo, paso a paso.
Qué es un registro de riesgos
Es una lista de las cosas que podrían salir mal con tu información y tus sistemas, con una valoración de cada una y lo que vas a hacer al respecto. No es un documento para guardar en un cajón: es una herramienta viva que revisas con regularidad.
Paso 1: identifica lo que quieres proteger
Empieza por los activos importantes:
- Información: datos de clientes, contratos, nóminas, propiedad intelectual.
- Sistemas: correo, ERP o CRM, servicios en la nube, portátiles, la web.
- Proveedores: quien aloja tus datos o tiene acceso a tus sistemas.
- Personas: quién tiene acceso a qué.
Paso 2: piensa qué podría pasar
Para cada activo, describe los riesgos en una frase clara: qué puede pasar, por qué y con qué consecuencia. Por ejemplo:
- "Un empleado cae en un correo de phishing y un atacante accede al correo y a los datos de clientes."
- "Un ransomware cifra los servidores y no podemos facturar durante días."
- "El proveedor de la nube sufre una caída y nuestro servicio deja de funcionar."
Paso 3: valora probabilidad e impacto
Usa una escala sencilla de 1 a 5 para la probabilidad (de "muy improbable" a "casi seguro") y otra de 1 a 5 para el impacto (de "insignificante" a "crítico"). Multiplica ambas: el resultado (de 1 a 25) es el nivel de riesgo. Con un mapa de calor de 5 x 5 verás de un vistazo dónde están los riesgos más graves.
Define antes qué nivel es aceptable para tu empresa: por ejemplo, todo lo que supere 12 necesita un plan.
Paso 4: decide el tratamiento
Para cada riesgo elige una de estas cuatro opciones:
- Reducir: aplicar controles (autenticación multifactor, copias de seguridad, formación).
- Transferir: compartir el riesgo (un seguro, un proveedor especializado).
- Evitar: dejar de hacer la actividad que lo provoca.
- Aceptar: asumirlo de forma consciente, con la aprobación de la dirección.
Paso 5: asigna un responsable y calcula el riesgo residual
Cada riesgo necesita un responsable con nombre y apellidos, y una fecha de revisión. Después de aplicar los controles, vuelve a valorar probabilidad e impacto: ese es el riesgo residual, el que queda. Si sigue por encima de tu nivel aceptable, hace falta más trabajo.
Paso 6: revísalo con regularidad
Revisa el registro al menos una vez al año y siempre que haya un cambio importante: un sistema nuevo, un incidente, un proveedor nuevo o una nueva ley. NIS2 e ISO 27001 esperan que el análisis de riesgos esté actualizado.
Un ejemplo
- Phishing con acceso al correo: probabilidad 4, impacto 4, nivel 16. Tratamiento: reducir con MFA y formación. Responsable: IT.
- Ransomware en los servidores: probabilidad 3, impacto 5, nivel 15. Tratamiento: reducir con copias fuera de línea y parches. Responsable: IT.
- Caída del proveedor de nube: probabilidad 2, impacto 4, nivel 8. Tratamiento: aceptar, con un plan de continuidad. Responsable: dirección.
Cómo te ayuda CloudSignLab
En CloudSignLab tienes un registro de riesgos con mapa de calor 5 x 5, riesgo residual, responsables y fechas de revisión que aparecen en tus tareas. Cada riesgo se vincula a los controles que lo reducen y a los activos afectados, y todo cambio queda en el historial. Es la base de tu preparación para NIS2 e ISO 27001.
Empieza con la comprobación gratuita de NIS2 o crea una cuenta gratuita: el registro de riesgos está incluido en todos los paquetes, también en el gratuito.
Este artículo es informativo y no sustituye una evaluación profesional de riesgos.
