Monitoreo, revisión y registro de decisiones

5 tareas · 40 min · Principiante

Es 31 de marzo de 2027 y el comité de riesgos de El Cántaro quiere saber si sus decisiones siguen siendo válidas. Hay un registro de decisiones con su última revisión, una lista de cambios que ocurrieron en el trimestre y cuatro indicadores de riesgo. Tu trabajo es leerlos contra las reglas de revisión del propio comité y decir qué venció, qué se movió sin revisión y qué señal ya cruzó su umbral. Todo es lectura de documentos ficticios.

0 de 5 · 0%

Objetivo de la sala

La cláusula 8.2 de ISO/IEC 27001:2022 pide valorar los riesgos a intervalos planificados o cuando se propongan u ocurran cambios significativos, y conservar información documentada de los resultados. Son dos disparadores distintos: el calendario y el cambio. El segundo no espera al primero: si cambia el proveedor de nube de la tienda en línea, el riesgo asociado se revisa aunque su fecha no haya llegado.

La guía ISO/IEC 27005 trata el seguimiento en el mismo sentido: el riesgo no es una foto, y el contexto, los activos y las amenazas cambian.

Responde para continuar

¿Qué hace que un riesgo se revise antes de la fecha prevista?

El hecho de que su último nivel haya sido Medio, porque los riesgos Medios se revisan siempre antes Un cambio significativo en el activo o en el contexto, aunque no haya vencido el plazo La llegada de una nueva auditoría externa, que sustituye al calendario de revisiones del comité

Ver pista de ayuda

Dos disparadores: el calendario y el cambio.

Las reglas del comité fijan el intervalo según el nivel: cada 6 meses para Alto o Muy alto, cada 12 para Medio o Bajo. La fecha límite es la última revisión más ese intervalo; si pasó el corte del análisis sin revisión, la decisión está vencida y el riesgo se maneja con información vieja.

Calcula, para los riesgos Altos, cuál ya pasó su plazo al 31 de marzo de 2027.

Responde para continuar

Escribe el identificador de la decisión sobre un riesgo Alto cuya revisión ya venció al corte.

Ver pista de ayuda

Ejecuta `SELECT * FROM reglas_de_revision` y `SELECT * FROM registro_de_decisiones`; suma 6 meses a cada última revisión de un riesgo Alto.

La regla del comité dice que un cambio significativo obliga a revisar el riesgo afectado dentro de los 30 días siguientes. Para saber si se cumplió se compara la fecha del cambio con la fecha de la última revisión del riesgo: si la revisión es posterior al cambio, se hizo; si es anterior y ya pasaron 30 días, no se hizo.

Revisa los tres cambios del trimestre contra la última revisión del riesgo que cada uno afecta.

Responde para continuar

Escribe el identificador del cambio cuyo plazo de revisión extraordinaria ya venció sin que se revisara el riesgo.

Ver pista de ayuda

Ejecuta `SELECT * FROM cambios_ocurridos` y compara con la columna ultima_revision de `SELECT * FROM registro_de_decisiones`.

Los indicadores de riesgo son mediciones que avisan antes de que el riesgo se materialice: cada uno tiene un umbral que el comité fijó de antemano. Cuando una medición supera el umbral, no es una opinión: es una señal que obliga a mirar el riesgo.

Compara cada medición de marzo con el umbral de su indicador.

Responde para continuar

Escribe el nombre del indicador cuya medición supera su umbral.

Ver pista de ayuda

Ejecuta `SELECT * FROM indicadores_de_riesgo` y compara medicion_a_marzo con umbral.

Un registro de decisiones sirve si cada decisión dice quién decidió, en qué se basó y cuándo se revisó. Sin base documentada, la decisión no se puede defender ante un auditor ni ante el siguiente comité, que no sabrá por qué se aceptó un riesgo.

Cuenta las decisiones del registro cuya columna base indica que no hay documento.

Responde para continuar

Escribe cuántas decisiones del registro no tienen base documentada.

Ver pista de ayuda

Ejecuta `SELECT * FROM registro_de_decisiones` y revisa la columna base de cada fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cuándo se revisa

2 La revisión que venció Lab

3 El cambio que nadie revisó Lab

4 Una señal que ya saltó Lab

5 Decisiones con respaldo Lab

Whoami-Labs Pro utiliza cookies