Criterios de Riesgo ISO 27001: Plantillas Defendibles de 3x3 a 5x5

Los criterios de riesgo son las reglas documentadas que se utilizan para determinar la probabilidad de un riesgo, la gravedad de su impacto y cuándo resulta aceptable. Defínelos como una escala simple de 3x3 a 5x5 con descripciones en lenguaje claro, vincúlalos a los objetivos del negocio y haz que la alta dirección los apruebe por escrito. Esa combinación es lo que hace que tus criterios sean defendibles en una auditoría ISO 27001.

Resumen rápido:

• Consigue que la alta dirección apruebe por escrito los umbrales, las escalas, el alcance, los disparadores de revisión y la versión; documenta quién puede aceptar o escalar cada riesgo.
• Elige una matriz 3x3 para un alcance pequeño o para el primer año, o una 5x5 para mayor granularidad; define descripciones en lenguaje claro y un horizonte de evaluación fijo.
• Valora el impacto en las dimensiones de negocio relevantes y utiliza el peor caso como valoración global, salvo que tu organización pueda mantener y justificar una puntuación ponderada.
• Asigna a cada categoría de la matriz una acción por defecto, un responsable y una autoridad de escalado, y vincula las decisiones de tratamiento, el riesgo residual y los controles del Annex A a las entradas del registro.
• Conserva la evidencia y la justificación de las valoraciones en el registro y reevalúa los riesgos afectados tras incidentes graves, cambios de alcance o tecnología, nuevas normativas o cambios estratégicos.

Tabla de contenidos

• 1. Qué exige ISO 27001 de tus criterios de riesgo
• 2. Cómo definir umbrales de aceptación, alcance y gobierno
• 3. Evaluar la probabilidad con escalas reproducibles
• 4. Evaluar el impacto en las dimensiones relevantes para el negocio
• 5. Elegir una matriz de riesgos: 3x3, 4x4 o 5x5
• 6. Documentar los criterios y la evidencia de la evaluación para los auditores
• 7. Vincular los criterios de riesgo a las decisiones de tratamiento y la Declaración de Aplicabilidad
• 8. Plantillas de escalas listas para adaptar y un ejemplo práctico
• 9. Por qué puedes confiar en esta guía
• 10. Consejos para implantar los criterios
• 11. Cómo te ayudamos a documentar criterios defendibles más rápido
• Preguntas frecuentes
• Fuentes

1. Qué exige ISO 27001 de tus criterios de riesgo

ISO/IEC 27001 requiere un sistema de gestión de seguridad de la información (SGSI) y sitúa la gestión de riesgos en su centro: el proceso que se emplea para identificar y gestionar los riesgos de seguridad de la información y para preservar la confidencialidad, la integridad y la disponibilidad. La cláusula 6.1.2 es donde esto se concreta. Exige establecer y mantener criterios de riesgo, incluyendo criterios para la aceptación del riesgo y criterios para la realización de evaluaciones, y garantizar que las evaluaciones repetidas produzcan resultados coherentes, válidos y comparables.

Conviene observar lo que la norma no dice. No proporciona una fórmula ni una matriz obligatoria. ISO/IEC 27005 ofrece orientación sobre la gestión de riesgos de seguridad de la información y espera que cada organización defina sus propios criterios de evaluación, criterios de impacto y umbrales de aceptación adaptados a su contexto. En otras palabras, el método es una decisión propia. El razonamiento que lo sustenta no es opcional.

Los auditores suelen examinar tres aspectos:

• Documentación. ¿Están los criterios por escrito, con definiciones de escala, umbrales y la fecha de aprobación?
• Aplicación coherente. ¿Llegarían dos evaluadores que analizan el mismo escenario a la misma valoración? Las guías de implantación, como la guía de implantación ISO 27001 de NQA, subrayan que el método debe aplicarse de forma coherente en todo el alcance del SGSI y revisarse periódicamente.
• Decisiones trazables. ¿Puede el auditor seguir la trayectoria desde una valoración en el registro hasta una decisión de tratamiento y un control en la Declaración de Aplicabilidad?

Piensa en los criterios como el reglamento por el que se rige tu registro de riesgos. Si el reglamento es ambiguo, cada valoración se convierte en un debate, y cada debate en un hallazgo de auditoría. Si es preciso pero poco práctico, nadie lo sigue y el registro se aleja de la realidad.

Los modelos de riesgo también importan. NIST SP 800-30 Revisión 1 describe el riesgo mediante factores como amenaza, vulnerabilidad, impacto y probabilidad, y recomienda definir escalas y horizontes temporales adaptados al contexto de la organización. Es un documento del gobierno estadounidense, pero su lógica encaja perfectamente con ISO 27001 y aporta un vocabulario que cualquier auditor reconocerá.

Una consecuencia práctica: escribe tus criterios antes de empezar a rellenar el registro. Los equipos que valoran los riesgos primero y justifican la escala después acaban diseñando retroactivamente descripciones que encajen con los números ya elegidos, y los auditores lo detectan con rapidez. La escala va primero, las valoraciones la siguen, y cualquier cambio en la escala desencadena una revisión documentada de las valoraciones existentes.

2. Cómo definir umbrales de aceptación, alcance y gobierno

Comienza por separar tres términos que suelen confundirse. El apetito de riesgo es la cantidad general de riesgo que la organización está dispuesta a asumir para alcanzar sus objetivos. La tolerancia al riesgo es la variación aceptable en torno a un objetivo concreto. Los criterios de aceptación del riesgo son los umbrales operativos que aplican los evaluadores: por debajo de esta puntuación aceptamos, por encima tratamos. El apetito es una declaración de la dirección, la tolerancia es un límite a nivel de objetivo y los criterios son las reglas de trabajo. Si deseas profundizar en el primer concepto, nuestra guía sobre el apetito de riesgo en ISO 27001 muestra cómo definirlo y medirlo.

Expresa los umbrales en un lenguaje que un directivo pueda leer sin necesidad de un glosario, y vincula cada uno a un objetivo de negocio. Algunos ejemplos:

• "Aceptamos los riesgos que puedan causar como máximo una interrupción menor y resuelta en el mismo día en los servicios orientados al cliente."
• "Ningún riesgo que pueda exponer datos regulados de clientes se acepta sin un plan de tratamiento documentado."
• "Los riesgos valorados como Altos requieren un responsable nombrado y una fecha de tratamiento dentro del trimestre en curso."

Observa que cada afirmación vincula una valoración con algo que le importa al negocio: disponibilidad, cumplimiento normativo, confianza del cliente. Esa conexión es lo que resiste la pregunta del auditor: "¿por qué este umbral?"

El gobierno es donde muchos programas fallan. La alta dirección debe aprobar los criterios y los umbrales de aceptación, no solo el equipo de seguridad. Los profesionales coinciden en que obtener un acuerdo formal desde el principio, especialmente sobre los umbrales de aceptación, proporciona un mandato claro y facilita las conversaciones presupuestarias posteriores, porque la dirección ya ha acordado qué significa "demasiado arriesgado". Registra quién aprobó, cuándo y qué versión.

El alcance merece la misma disciplina. Indica qué activos, procesos, ubicaciones y unidades de negocio cubren los criterios. Si un departamento utiliza una escala diferente a otro, documenta el motivo. Las escalas mixtas dentro de un mismo alcance de SGSI son una fuente habitual de no conformidades, porque los resultados dejan de ser comparables.

Un registro de gobierno que funciona en la práctica incluye:

• Las escalas aprobadas de probabilidad e impacto, con sus descripciones
• El umbral de aceptación y quién puede aceptar riesgos por encima o por debajo de él
• El alcance al que se aplican los criterios
• La cadencia de revisión y los disparadores que obligan a una revisión anticipada
• El nombre del aprobador, su cargo, la fecha y el número de versión

Limítalo a una o dos páginas. Los documentos de criterios breves se leen, se siguen y se auditan sin fricciones.

3. Evaluar la probabilidad con escalas reproducibles

La probabilidad es la valoración que con mayor facilidad varía entre evaluadores, por lo que debe tener las descripciones más precisas. Existen tres opciones comunes, y cualquiera de ellas puede superar una auditoría si se aplica de forma coherente:

• Etiquetas cualitativas: Rara, Posible, Probable. Sencillas y rápidas, pero fáciles de interpretar de forma diferente.
• Escalas semicuantitativas de 1 a 5: Cada número tiene una descripción escrita. Es la opción más habitual en los programas ISO 27001.
• Redacción basada en frecuencia: "Podría ocurrir aproximadamente una vez cada cinco años" frente a "podría ocurrir varias veces al año." Más fácil de defender porque apunta a algo observable.

Sea cual sea tu elección, fija el horizonte temporal. Un riesgo poco probable el mes próximo puede ser casi seguro a lo largo de una década. Indica el horizonte en los criterios, como un horizonte de evaluación definido, y regístralo en el registro para que cada valoración signifique lo mismo. NIST SP 800-30 hace la misma observación desde la perspectiva del ciclo de vida: elige escalas y modelos de evaluación apropiados para el contexto y la fase de la evaluación.

Las descripciones son lo que hace reproducibles las valoraciones. Una escala de 5 puntos de ejemplo podría ser:

• 1, Rara: No se espera dentro del horizonte; no hay ocurrencia conocida en nuestro sector ni en nuestra historia.
• 2, Improbable: Podría ocurrir, pero requeriría circunstancias inusuales.
• 3, Posible: Ha ocurrido en organizaciones comparables; plausible dentro del horizonte.
• 4, Probable: Ha ocurrido en nuestra organización o en entidades cercanas; esperado con los controles actuales.
• 5, Casi segura: Está ocurriendo ahora o de forma repetida; los controles actuales no la previenen.

La redacción es deliberadamente clara. Si un nuevo evaluador no puede aplicar un punto de la escala tras leer una sola frase, es necesario reescribirla.

La evidencia refuerza las valoraciones de probabilidad. Utiliza tu propio historial de incidentes, registros de casi-incidentes, resultados de análisis de vulnerabilidades e inteligencia de amenazas relevante para justificar una valoración, y anota la fuente en el registro. Una valoración de "Probable" respaldada por incidentes de phishing documentados es mucho más fácil de defender que la misma valoración basada en la intuición. Guías antiguas del NIST, como el Risk Management Guide for IT Systems archivado, incluyen tablas de ejemplo de definiciones de probabilidad que puedes adaptar en lugar de crear desde cero.

Consejo práctico: Pide a tus colegas que valoren los mismos riesgos de forma independiente utilizando únicamente tus descripciones escritas. Allí donde sus valoraciones difieran, el problema está en la redacción de la descripción; corrígelo antes de la implantación.

4. Evaluar el impacto en las dimensiones relevantes para el negocio

El impacto responde a una pregunta diferente: si este riesgo se materializara, ¿cuán grave sería? Dado que los fallos de seguridad de la información generan daños de distintos tipos, define el impacto en varias dimensiones en lugar de una única "gravedad" vaga. El conjunto habitual para los programas ISO 27001 es:

• Confidencialidad: divulgación no autorizada de datos sensibles o regulados
• Integridad: corrupción o modificación no autorizada de datos o sistemas
• Disponibilidad: pérdida de acceso a sistemas o información
• Financiero: pérdida directa, coste de recuperación, sanciones, pérdida de ingresos
• Regulatorio y legal: incumplimiento de la ley, contratos o expectativas del regulador
• Reputacional: pérdida de confianza de clientes, socios o el público
• Operacional: interrupción en la entrega de productos o servicios

No es necesario incluir todas las dimensiones en todos los programas. Elige las que reflejen tus objetivos y explícalo en los criterios. Un proveedor de SaaS ponderará con más peso la disponibilidad y la confidencialidad; una clínica ponderará la confidencialidad y la exposición regulatoria.

Para cada dimensión, escribe descripciones para Bajo, Medio y Alto, o para cada punto de una escala de 1 a 5. Por ejemplo, en disponibilidad: Bajo podría significar una breve interrupción que afecta solo a herramientas internas; Medio podría significar una interrupción prolongada que afecta a algunos clientes; Alto podría significar una interrupción prolongada de un servicio esencial. Si deseas umbrales numéricos, como bandas de pérdida financiera, establécelos con el área financiera y que la dirección los confirme. Nunca copies las cifras en euros o dólares de otra empresa; no corresponderán a tu tamaño ni a tu apetito.

A continuación, decide cómo se combinan varias dimensiones en una única valoración de impacto. Predominan dos enfoques:

• Peor caso: el impacto global equivale a la dimensión más alta. Sencillo, conservador y muy fácil de explicar a un auditor.
• Ponderado: cada dimensión recibe un peso que refleja la prioridad del negocio. Más matizado, pero más difícil de defender y mantener.

Para la mayoría de las organizaciones, el peor caso es la mejor opción por defecto. Evita el riesgo de que un impacto grave en confidencialidad quede diluido por un impacto operacional trivial.

Por último, registra tus supuestos. Si valoraste el impacto como Alto porque el activo contiene registros de clientes, indícalo y anota de dónde proviene el dato sobre el volumen de datos. Las valoraciones de impacto sin supuestos declarados parecen arbitrarias; con ellos, parecen razonadas.

5. Elegir una matriz de riesgos: 3x3, 4x4 o 5x5

La matriz es la regla que convierte una valoración de probabilidad y una valoración de impacto en un nivel de riesgo. El tamaño es un equilibrio entre facilidad de uso y granularidad.

• 3x3: La más rápida de aplicar y la más fácil de explicar. Funciona bien para alcances pequeños o programas de primer año, aunque sus nueve celdas agrupan muchos riesgos diferentes, lo que puede hacer que la priorización resulte poco precisa.
• 4x4: Elimina la opción intermedia cómoda, obligando a los evaluadores a decantarse por un lado. Útil, aunque menos habitual, por lo que escasean las plantillas disponibles.
• 5x5: Ofrece distinciones más finas y es ampliamente reconocida por los auditores. El coste es que hay más margen para el desacuerdo entre valoraciones adyacentes, por lo que necesita descripciones sólidas.

Las buenas prácticas de los profesionales favorecen las matrices cualitativas o semicuantitativas simples, en formato 3x3 o 5x5, con descripciones en lenguaje claro, frente a escalas numéricas complejas difíciles de defender. Estamos de acuerdo. La matriz que un evaluador puede aplicar de forma idéntica un martes por la tarde supera a la sofisticada que necesita una hoja de cálculo para interpretarse.

Para la defensa ante auditorías, utiliza una asignación categórica en lugar de fórmulas. En lugar de "el riesgo equivale a probabilidad por impacto, aplicando luego una curva de ponderación", escribe una tabla que indique qué combinaciones son Bajo, Medio, Alto o Crítico. La multiplicación puede estar por debajo, pero las categorías son lo que se gobierna. Nuestra plantilla de matriz de riesgos 5x5 muestra una versión diseñada para auditorías.

Cada categoría debe desencadenar una acción definida y un responsable. Un ejemplo genérico:

Algunas reglas mantienen la asignación honesta:

• Cada celda de la matriz corresponde exactamente a una categoría.
• Cada categoría corresponde a una acción por defecto.
• Las excepciones requieren justificación escrita y un aprobador nombrado.
• Los responsables son personas, no departamentos.

Si tu matriz no puede resumirse en una página, probablemente sea demasiado compleja para aplicarse de forma coherente.

6. Documentar los criterios y la evidencia de la evaluación para los auditores

Una valoración defendible es aquella que otra persona puede reconstruir. Eso significa que tu registro captura suficiente contexto para reproducir el razonamiento meses después. Los campos mínimos son: activo, contexto, amenaza, vulnerabilidad, controles existentes, probabilidad, impacto, puntuación, responsable, fecha, supuestos y evidencia.

Más allá de los campos, sigue estas prácticas:

1. Escribe una justificación de una o dos frases para cada valoración. "Valorada como Probable porque el phishing llegó a los buzones del personal en tres incidentes el año pasado y la formación de concienciación es anual" es una justificación. "Probable" por sí solo no lo es.
2. Vincula cada riesgo al tratamiento y a la Declaración de Aplicabilidad. Registra qué control del Annex A lo aborda y por qué se seleccionó ese control, para que la cadena de riesgo a control sea visible.
3. Controla versiones y aprobaciones. Numera tu documento de criterios, registra los cambios y conserva las versiones anteriores. Los auditores pueden preguntar qué versión era aplicable cuando se realizó una determinada evaluación.
4. Almacena la evidencia donde los auditores puedan encontrarla. Los tickets de incidentes, los informes de análisis, los boletines de inteligencia de amenazas y las actas de reuniones deben referenciarse desde el registro, no dispersarse entre bandejas de entrada.
5. Establece una cadencia de revisión y nombra los disparadores. Revisa los criterios periódicamente, como aconsejan habitualmente las guías de implantación, y antes si ocurre un incidente grave, un cambio significativo en el alcance o la tecnología, una nueva regulación o un cambio en la estrategia de negocio.

Trata el registro como un documento vivo. Un registro que se rellenó perfectamente hace dieciocho meses y no se ha tocado desde entonces es un hallazgo en potencia. Para conocer el flujo de trabajo completo en torno a estos registros, consulta nuestra guía de metodología de evaluación de riesgos ISO 27001.

Los equipos que trasladan los criterios al endurecimiento cotidiano a veces necesitan una introducción en lenguaje claro a los fundamentos. Esta introducción a los conceptos básicos de seguridad web cubre pasos prácticos para pequeñas empresas y complementa bien el trabajo de selección de controles que sigue a tu evaluación.

7. Vincular los criterios de riesgo a las decisiones de tratamiento y la Declaración de Aplicabilidad

Los criterios demuestran su valor cuando impulsan decisiones. El umbral de aceptación indica qué riesgos puedes asumir y cuáles exigen acción. La guía de tratamiento de riesgos ISO 27001 de nuestro equipo detalla ese paso, y la lógica es sencilla:

• Por debajo del umbral: aceptar, documentar la aceptación y monitorizar.
• En el umbral o por encima: elegir un tratamiento: reducir mediante controles, transferir mediante seguros o contratos, evitar deteniendo la actividad, o, con aprobación de la dirección, aceptar a pesar de la valoración.
• Por encima de la línea de escalado: remitir a la alta dirección. Define esa línea en tus criterios para que el escalado sea una regla, no una decisión discrecional.

Cuando selecciones controles del Annex A para la Declaración de Aplicabilidad, vincula cada inclusión a un riesgo, un resultado de evaluación o un requisito legal o contractual. "Incluido porque los riesgos R-014 y R-021 fueron valorados como Altos y este control reduce la probabilidad" es una justificación que un auditor puede verificar. Las exclusiones también necesitan motivos.

Para que el tratamiento sea accionable:

• Convierte cada categoría en una cola de trabajo: primero los Críticos, luego los Altos, y así sucesivamente.
• Asigna a cada tarea un responsable, una fecha límite y un enlace a la entrada del registro.
• Estima el esfuerzo y el coste para que los planes estén financiados de forma realista. Nuestra plantilla de plan de tratamiento de riesgos relaciona los riesgos con los controles del Annex A y las entradas de la Declaración de Aplicabilidad en un formato listo para auditoría.
• Registra el riesgo residual tras el tratamiento y confirma que se sitúa dentro del umbral de aceptación.

El cambio es inevitable. Cuando cambien los criterios, el alcance o el contexto de negocio, reevalúa los riesgos afectados, revisa las decisiones de tratamiento y actualiza la Declaración de Aplicabilidad. Mantén un registro de cambios que indique qué cambió y quién lo aprobó. Los auditores raramente penalizan el cambio; penalizan el cambio sin explicación.

8. Plantillas de escalas listas para adaptar y un ejemplo práctico

A continuación se presenta una matriz 3x3 con descripciones en lenguaje claro que puedes copiar en tu documento de criterios.

Y una versión 5x5, con bandas de puntuación aplicadas al producto de las dos valoraciones:

Ejemplo práctico. Los datos que figuran a continuación son ilustrativos, no datos de mercado.

Observa cómo la justificación cita evidencia y la acción cita el umbral. Ese par es lo que un auditor quiere ver.

Texto de ejemplo para la aprobación formal: "La alta dirección ha revisado y aprobado los criterios de riesgo de seguridad de la información, incluyendo las escalas de probabilidad e impacto y el umbral de aceptación del riesgo, para el alcance del SGSI indicado. Los riesgos valorados como Altos o Críticos requieren un plan de tratamiento documentado, y las decisiones de tratamiento se reflejarán en la Declaración de Aplicabilidad. Aprobado por [nombre, cargo], el [fecha]." Completa los campos entre corchetes con nombres y fechas reales antes de archivar.

9. Por qué puedes confiar en esta guía

El enfoque de este artículo sigue la estructura de ISO/IEC 27001, la orientación de ISO/IEC 27005 y los conceptos de riesgo de NIST SP 800-30. ISO/IEC 27001 establece el requisito de que los criterios existan y se apliquen de forma coherente. ISO/IEC 27005 establece la expectativa de que se definan criterios de evaluación, impacto y aceptación adaptados al contexto. NIST SP 800-30 aporta el vocabulario del modelo de riesgo y definiciones de escala de ejemplo que facilitan la redacción de descripciones en lenguaje claro.

Construimos ISMS Calculator en torno a los mismos principios. Nuestra plataforma proporciona estimaciones específicas para cada organización, comparaciones con modelos de referencia, una evaluación de madurez en todos los dominios ISO, plantillas y documentación exportable. Nuestra metodología es trazable y versionada, con supuestos transparentes que puedes inspeccionar y cuestionar.

Puedes comenzar con lo que ofrecemos de forma gratuita. Nuestra evaluación gratuita de 2 minutos te proporciona una lectura rápida de tu nivel de preparación, y nuestros artículos de plantillas sobre la matriz de riesgos y el plan de tratamiento están listos para adaptar. Úsalos como punto de partida y ajusta las descripciones a tu propio negocio.

10. Consejos para implantar los criterios

Empieza poco a poco. Elige una unidad de negocio o un dominio, aplica tu matriz borrador allí y obtén la aprobación de la dirección en ese piloto antes de ampliar el alcance. Itera sobre las descripciones y después estandariza.

Contrasta tu escala con la realidad antes de comprometerte con ella. Toma un puñado de incidentes que tu organización haya vivido realmente y valóralos con tus descripciones borrador. Si una interrupción dolorosa cae en la columna Bajo, tus descripciones son incorrectas, y es mucho más barato aprenderlo en un piloto que en una auditoría. Resiste la tentación de añadir precisión. Cada punto adicional de escala es otro lugar donde dos evaluadores pueden discrepar.

— Martin

11. Cómo te ayudamos a documentar criterios defendibles más rápido

Escribir los criterios manualmente funciona, pero el control de versiones, la comparación con referencias y la exportación de la evidencia son donde desaparecen las horas. Construimos ISMS Calculator para quitarte esa carga. Nuestra herramienta te ofrece estimaciones específicas para tu organización, comparaciones con modelos de referencia, mapeo de madurez en todos los dominios ISO e informes exportables con una metodología trazable y versionada. Úsala junto con tus plantillas manuales para mantener la documentación coherente y lista para auditoría. Una vez valorados tus riesgos, nuestra calculadora de costes ISO 27001 estima el coste y el esfuerzo de implantación de ISO 27001, y nuestra evaluación gratuita de 2 minutos muestra dónde te encuentras hoy.

Comienza con la evaluación gratuita de preparación de 2 minutos para obtener una lectura rápida de tu nivel de preparación.

Preguntas frecuentes

¿Qué son los criterios de riesgo en ISO 27001?

Los criterios de riesgo son las reglas documentadas que se utilizan para evaluar el riesgo: las escalas de probabilidad e impacto, el método para combinarlas y los umbrales que determinan si un riesgo es aceptable. ISO/IEC 27001 exige que estén definidos y se mantengan para que las evaluaciones sean coherentes y comparables.

¿Cuál es la norma ISO para la gestión de riesgos?

En materia de seguridad de la información, ISO/IEC 27001 establece el requisito de evaluar y tratar el riesgo dentro de un SGSI, e ISO/IEC 27005 proporciona orientación sobre cómo gestionar ese riesgo. ISO/IEC 27005 no impone un método concreto, por lo que cada organización define los criterios adaptados a su contexto.

¿Cuáles son los pasos de una evaluación de riesgos de seguridad estándar?

La mayoría de los modelos siguen el mismo arco: preparar, identificar activos, amenazas y vulnerabilidades, valorar la probabilidad y el impacto, determinar el nivel de riesgo y, a continuación, comunicar los resultados y mantener la evaluación. La guía de evaluación de riesgos del NIST describe este ciclo de vida de preparación, realización y mantenimiento.

¿Qué tamaño debe tener mi matriz de riesgos?

Elige la matriz más pequeña que aun así separe los riesgos que necesitas priorizar. Una 3x3 es adecuada para alcances pequeños y programas de primer año, mientras que una 5x5 ofrece mayor granularidad si tus descripciones son sólidas. La coherencia importa más que el tamaño.

Fuentes

• NIST Special Publication 800-30 Revision 1, Guide for Conducting Risk Assessments
• Guide for Conducting Risk Assessments | NIST
• ISO/IEC 27001:2022 - Information security management systems
• INTERNATIONAL STANDARD

Recomendado

• Matriz de riesgos ISO 27001: Plantilla 5×5 para seguridad de la información lista para auditoría
• Registro de riesgos ISO 27001 listo para auditoría: Filas Excel copiables y mapeo del Annex A
• Plantilla de plan de tratamiento de riesgos ISO 27001 lista para auditoría para equipos de SGSI
• Evaluación de riesgos ISO 27001: Una guía metodológica completa