ISO 27005: guía de gestión de riesgos de seguridad de la información

ISO 27001 exige una evaluación de riesgos pero no prescribe la metodología. ISO 27005:2022 llena ese vacío: es la norma de la familia ISO 27000 que proporciona directrices específicas para la gestión de riesgos de seguridad de la información, alineada con ISO 31000 (gestión de riesgos genérica) y diseñada para soportar los requisitos de evaluación y tratamiento de riesgos de ISO 27001.

ISO 27005 vs ISO 31000

Proceso de gestión de riesgos según ISO 27005

ISO 27005 define un proceso cíclico que incluye el establecimiento del contexto (alcance, criterios, organización), la identificación de riesgos (activos, amenazas, vulnerabilidades, controles existentes, consecuencias), el análisis de riesgos (estimación de probabilidad e impacto), la evaluación de riesgos (comparación contra criterios, priorización), el tratamiento de riesgos (selección de opciones y controles), la aceptación del riesgo residual, y la comunicación, monitoreo y revisión continua.

Enfoques de análisis

ISO 27005 describe dos enfoques principales: el análisis cualitativo (escalas descriptivas como bajo, medio, alto; más rápido y subjetivo) y el análisis cuantitativo (valores numéricos y financieros; más preciso pero requiere más datos). La mayoría de las organizaciones usa un enfoque cualitativo o semicuantitativo para la evaluación de riesgos de ISO 27001.

Complementa con evaluación de riesgos paso a paso, plan de tratamiento y ISO 31000.