Opciones de tratamiento y riesgo residual aceptado

Tratar un riesgo no significa siempre añadir un control. Las opciones que describe la guía ISO/IEC 27005 son modificar el riesgo (con controles que cambien probabilidad o consecuencia), retener el riesgo (aceptarlo con conocimiento de causa), evitar el riesgo (dejar la actividad que lo origina) y compartir el riesgo (trasladar parte de la pérdida a un tercero, por ejemplo con un seguro o un contrato).

Compartir cambia quién carga con una parte de la pérdida, no la probabilidad de que el evento ocurra, y casi siempre trae condiciones que hay que cumplir para que responda.

Después del tratamiento queda el riesgo residual. La cláusula 6.1.3 de ISO/IEC 27001:2022 pide obtener la aprobación de los dueños de los riesgos tanto para el plan de tratamiento como para la aceptación de los riesgos residuales. Pero la aprobación vale solo si la da quien tiene autoridad: las reglas del comité dicen quién puede aceptar cada nivel de residual.

Cruza el residual declarado de cada riesgo con las reglas y con la persona que lo aceptó.

Un residual solo puede contar medidas que operan hoy. Una medida planificada es una intención: mientras no esté implementada no reduce nada, y declarar un residual más bajo por ella subestima el riesgo. La cláusula 8.3 pide además conservar información documentada del resultado del tratamiento, que es la prueba de que la medida existe.

Revisa la columna medida_contada del residual y busca el estado de esa medida en las opciones de tratamiento.

Cada medida de tratamiento tiene un costo anual, y el comité necesita separar lo que ya es gasto real de lo que todavía es propuesta. Las medidas implementadas son compromiso ya asumido; las contratadas, planificadas o aprobadas se cuentan aparte porque dependen de otros estados.

Suma el costo anual de las medidas cuyo estado sea Implementada, sin contar las demás.

Hay dos residuales que no se sostienen: uno cuenta una medida que no existe y otro lo aceptó quien no puede. El comité debe saber qué hacer con cada uno sin rehacer todo el plan.