La aceptación del riesgo consiste en mantener conscientemente un riesgo residual, mientras que el tratamiento del riesgo implica tomar medidas para modificarlo. La regla general es la siguiente: acepte cuando el coste, el tiempo o la complejidad de la mitigación supere el impacto esperado y el riesgo se encuentre dentro de su apetito. Trate cuando estén en juego los objetivos, la continuidad o el cumplimiento normativo. En cualquier caso, la decisión debe ser deliberada, autorizada y documentada.
Resumen ejecutivo:
- Trate los riesgos que amenacen los objetivos, la continuidad o el cumplimiento normativo; acéptelos solo cuando encajen en la tolerancia documentada y los costes de mitigación superen el impacto esperado.
- Elija entre evitación, mitigación, transferencia y aceptación; el seguro traslada las consecuencias financieras pero no reduce la probabilidad de incidente, a diferencia de los controles que modifican el riesgo en sí.
- Compare el tiempo de explotación más el tiempo de mitigación con la vida útil restante del activo: si su suma supera ese período, considere la aceptación o la retirada del activo.
- Documente un propietario, un aprobador, la justificación, los controles, los desencadenantes de reevaluación, las métricas de seguimiento y la fecha de revisión; los nuevos exploits o cambios en el uso del activo deben devolver el riesgo al tratamiento.
Tabla de contenidos
- ¿Qué significan realmente riesgo, riesgo residual, tratamiento y aceptación?
- ¿Cuáles son las cuatro respuestas habituales ante el riesgo?
- ¿Cómo se decide entre aceptar y tratar un riesgo?
- ¿Qué debe documentarse al aceptar un riesgo?
- ¿Cómo son en la práctica las decisiones de aceptar o tratar?
- ¿Qué normas y documentos debe consultar?
- ¿Dónde fallan los equipos y cómo se corrige?
- ¿Cómo podemos ayudarle a delimitar y justificar el tratamiento?
- Preguntas frecuentes
- Fuentes
¿Qué significan realmente riesgo, riesgo residual, tratamiento y aceptación?
Un vocabulario claro mantiene las decisiones defendibles. ISO 31000 enmarca la gestión del riesgo como un ciclo estructurado de identificación, análisis, evaluación y tratamiento de riesgos, y las directrices del NIST se construyen sobre la misma lógica.
- Riesgo: el efecto de la incertidumbre sobre los objetivos, como un servidor sin parchear que provoca una interrupción del servicio.
- Riesgo residual: lo que permanece tras aplicar los controles.
- Tratamiento del riesgo: acciones que modifican el riesgo, desde controles técnicos hasta seguros o el abandono de la actividad.
- Aceptación del riesgo: una decisión deliberada de retener un riesgo específico porque se considera tolerable.
La aceptación se presenta en dos formas. La aceptación activa está documentada, con umbrales, un plan de contingencia y seguimiento. La aceptación pasiva significa que nadie planificó nada, y los auditores la interpretan como negligencia en lugar de una decisión. Una herramienta de informes heredada con bajo impacto empresarial que se supervisa y se tiene previsto retirar es aceptación activa. La misma herramienta ignorada porque nadie es responsable de ella es pasiva.
TechTarget señala que la aceptación es justificable cuando la probabilidad es baja, el impacto es marginal, el coste de mitigación es elevado, el riesgo encaja en el apetito de la organización y se cumplen los requisitos normativos.
¿Cuáles son las cuatro respuestas habituales ante el riesgo?
La mayoría de los marcos, incluida la guía de modelado de amenazas del NCCoE, agrupan las respuestas en cuatro opciones: eliminar, disrumpir, transferir y aceptar. A continuación se muestra cómo se desarrolla cada una en la práctica.
- Evitar (eliminar): Detener la actividad que genera el riesgo; por ejemplo, retirar un servicio que almacena datos que ya no son necesarios. Esto elimina el riesgo por completo, pero también elimina la función empresarial.
- Mitigar (disrumpir): Añadir controles técnicos o de proceso que reduzcan la probabilidad o el impacto, como la segmentación de red, la autenticación multifactor o las copias de seguridad probadas. Esta es la respuesta habitual para riesgos de alto impacto.
- Transferir: Trasladar parte de las consecuencias financieras a un tercero mediante ciberseguros o cláusulas contractuales con proveedores. La transferencia no reduce la probabilidad de un incidente; cambia quién paga cuando ocurre. Esta es la diferencia clave respecto a la mitigación, que modifica el riesgo en sí.
- Aceptar: Retener el riesgo con una justificación documentada, un propietario y una fecha de revisión. Esta es la respuesta adecuada cuando las opciones anteriores cuestan más de lo que vale el riesgo.
Estas respuestas se combinan bien. Podría mitigar un sistema de pagos con controles, transferir la exposición financiera restante mediante un seguro y aceptar un pequeño riesgo residual. Los riesgos de alto impacto suelen recibir tratamiento primero, mientras que la aceptación se reserva para los elementos que claramente se encuentran dentro de su tolerancia. La guía del NCCoE también señala que amenazas similares pueden compartir controles de disrupción, lo que mantiene el tratamiento coste-eficiente.
¿Cómo se decide entre aceptar y tratar un riesgo?
Utilice una prueba repetible en lugar de la intuición. Pondere estos factores para cada entrada del registro:
- Probabilidad e impacto del riesgo
- Coste y tiempo necesarios para mitigar
- Vida útil restante del activo
- Restricciones normativas o contractuales
- Su apetito y tolerancia al riesgo documentados
Una heurística práctica proviene del Marco de Evaluación del Riesgo de Agilidad Criptográfica. Sea X el tiempo hasta que el riesgo pueda ser explotado, Y el tiempo necesario para mitigarlo y Z la vida útil restante del activo. Si X+Y < Z, la mitigación es factible dentro de la vida del activo. Si X+Y > Z, el activo habrá desaparecido o quedado comprometido antes de que el tratamiento resulte rentable, por lo que la cuestión pasa a ser si aceptar el riesgo o retirar el activo.
Trabájelo en orden: clasifique el riesgo, estime el coste y el tiempo de mitigación, compare el resultado con el impacto y la tolerancia, escale todo lo que supere el umbral y formalice la decisión con una cadencia de revisión. Las declaraciones de apetito y tolerancia, junto con los propietarios de riesgo designados, son lo que el NIST SP 1308 señala al orientar la selección del tratamiento. Si aún no los ha definido, nuestra guía sobre el apetito al riesgo en ISO 27001 es un buen punto de partida.
Consejo práctico: Incluya las estimaciones de X, Y y Z en la propia entrada del registro. Un auditor que vea la aritmética detrás de una aceptación raramente la cuestionará.
¿Qué debe documentarse al aceptar un riesgo?
La aceptación es una decisión formal, no una ausencia de acción. Requiere autorización a un nivel de dirección acorde con la magnitud del riesgo, además de revisión periódica. La guía del NCCoE es explícita en que las amenazas aceptadas necesitan razonamiento documentado y revisión periódica.
Registre al menos los siguientes elementos:
- Propietario del riesgo y aprobador que lo ha firmado
- Justificación y los supuestos que la sustentan
- Controles compensatorios que permanecen en vigor
- Desencadenantes que obligarían a una reevaluación, como un nuevo exploit o un cambio en el uso del activo
- Métricas que supervisará y la fecha de revisión
Los auditores suelen buscar la aprobación firmada, la entrada en el registro, los registros de seguimiento y la evidencia de que las revisiones realmente se produjeron. Los desencadenantes y el seguimiento son lo que convierte la aceptación pasiva en aceptación activa: si se produce un evento definido, el riesgo vuelve directamente a la cola de tratamiento. Nuestra plantilla de plan de tratamiento del riesgo le proporciona campos para cada uno de estos elementos, y nuestra guía sobre el tratamiento del riesgo en ISO 27001 muestra cómo los leen los auditores.
¿Cómo son en la práctica las decisiones de aceptar o tratar?
Estos breves escenarios muestran el marco en acción.
- Servicio heredado de bajo impacto. Una wiki interna funciona sobre una plataforma antigua y la migración costaría más que los datos que protege. La aceptación activa es adecuada. Registre el propietario, los controles compensatorios (aislamiento de red, limitaciones de acceso) y un desencadenante como la publicación de un exploit. Revise periódicamente.
- Riesgo de cadena de suministro difícil de eliminar. Una biblioteca de código abierto de uso extendido no puede reemplazarse a corto plazo. Acéptela con controles compensatorios: fuentes de inteligencia de amenazas, análisis de dependencias y cláusulas contractuales más estrictas con los proveedores. Para la exposición a terceros, las prácticas de colaboración segura recogidas en este artículo de colaboración sobre colaboraciones externas pueden orientar sus cláusulas con proveedores. Registre las fuentes de seguimiento y revise cada vez que se divulgue una vulnerabilidad.
- Exfiltración de datos de alto impacto. Los registros de clientes podrían salir a través de un servicio expuesto. La aceptación está descartada. Mitigue con controles de acceso y registros de actividad, o evite el riesgo cerrando la exposición. Registre el plan de tratamiento, los plazos y el riesgo residual tras aplicar los controles.
¿Qué normas y documentos debe consultar?
Comience con estas referencias y construya sus propios artefactos en torno a ellas:
- ISO 31000: proporciona el marco de política para las opciones de tratamiento y funciona bien como columna vertebral de su política de gestión del riesgo. Enmarca las opciones, pero no es una norma certificable.
- Guías del NCCoE y del NIST: impulsan la elección deliberada y el razonamiento documentado para cada respuesta, y ofrecen ejemplos prácticos de selección de respuestas.
- NIST SP 1308: vincula la capacidad de la plantilla con las decisiones de tratamiento, lo que importa cuando le faltan competencias para mitigar y debe contratar, capacitar, transferir o aceptar en su lugar.
- Artefactos que esperan los auditores: una declaración de apetito al riesgo, entradas del registro de riesgos con propietarios, planes de tratamiento y registros de aceptación firmados. Una metodología de evaluación del riesgo repetible los respalda todos.
¿Dónde fallan los equipos y cómo se corrige?
En mi opinión, el fallo más común es la aceptación pasiva que nunca se documentó. Alguien decide que un riesgo está «bien», no se registra nada y un auditor lo descubre meses después. La solución es económica. Añada un desencadenante, una fuente de seguimiento y una fecha de reevaluación a cada riesgo aceptado, de modo que la aceptación siga siendo una decisión viva. También vinculo las aceptaciones a los ciclos presupuestarios. Si un riesgo se acepta porque el tratamiento es inasumible este año, programe la reevaluación antes de la planificación del año siguiente para que el tratamiento pueda financiarse cuando sea viable.
— Martin
¿Cómo podemos ayudarle a delimitar y justificar el tratamiento?
Una vez que decide tratar un riesgo, la siguiente pregunta es cuánto costará y cuánto tiempo llevará. Nuestra calculadora de coste y esfuerzo de ISO 27001 estima el esfuerzo de implementación según el tamaño de la empresa, el sector y la madurez en seguridad, y le ayuda a planificar la implementación con cronogramas personalizables al estilo Gantt. Esto le proporciona cifras concretas para el valor Y en su prueba X+Y < Z. Puede comenzar con nuestra evaluación de preparación gratuita o ejecutar una estimación instantánea en la Calculadora de Costes de ISO 27001 para ver cómo un tratamiento seleccionado se traduce en presupuesto y calendario.
Preguntas frecuentes
¿Qué significa la aceptación del riesgo?
La aceptación del riesgo es una decisión deliberada de retener un riesgo específico porque se considera tolerable. Debe estar autorizada, documentada y revisada, no simplemente dejada sin atender.
¿Cuáles son los cuatro tipos de tratamiento del riesgo?
Las cuatro respuestas habituales son: evitar (eliminar la actividad), mitigar (disrumpir con controles), transferir (trasladar las consecuencias financieras mediante seguros o contratos) y aceptar. Las respuestas suelen combinarse para un único riesgo.
¿Puede dar un ejemplo de aceptación del riesgo?
Una herramienta interna de bajo impacto sobre una plataforma obsoleta en la que la migración costaría más que una brecha de seguridad. Se registra el propietario y el aprobador, se mantienen los controles de aislamiento, se establece un desencadenante para nuevos exploits y se revisa con periodicidad.
¿Cuándo debe tratar un riesgo en lugar de aceptarlo?
Trate cuando el riesgo amenace los objetivos, la continuidad del negocio o los requisitos normativos, o cuando supere su apetito documentado. La aceptación solo es justificable cuando el riesgo encaja dentro de su tolerancia.
Fuentes
- Pregunta 3: «¿Qué vamos a hacer al respecto?» — Proyecto de Modelado de Amenazas de Datos Genómicos del NCCoE
- Marco de Evaluación del Riesgo de Agilidad Criptográfica
- NIST SP 1308 Segundo Borrador Público, Guía de Inicio Rápido sobre Ciberseguridad, Gestión del Riesgo Empresarial y Gestión de la Plantilla según el CSF 2.0
- ISO 31000:2018 - Gestión del riesgo — Directrices
- ¿Qué es la aceptación del riesgo? | Definición de TechTarget
Recomendado
- Tratamiento del Riesgo en ISO 27001: Una guía lista para auditoría
- Plantilla de Plan de Tratamiento del Riesgo ISO 27001 lista para auditoría para equipos SGSI
- Cláusula 6 de ISO 27001 lista para auditoría para equipos SGSI: Mapeo de resultados a evidencias
- Tipos de evidencias para auditorías ISO 27001: Una guía práctica