Registro de Riesgos

Rastrea, evalúa y gestiona riesgos de seguridad organizacionales.

Descripción General

El Registro de Riesgos te ayuda a:

• Identificar y documentar riesgos
• Evaluar probabilidad e impacto
• Rastrear planes de tratamiento de riesgos
• Monitorear riesgos en el tiempo
• Reportar sobre postura de riesgo

Navega a Registro de Riesgos en la barra lateral.

Estructura de Riesgos

Entrada de Riesgo

Cada riesgo incluye:

Campo	Descripción
ID de Riesgo	Identificador único
Título	Nombre del riesgo
Descripción	Descripción detallada del riesgo
Categoría	Categoría del riesgo
Probabilidad	Probabilidad de ocurrencia
Impacto	Severidad si se materializa
Puntuación de Riesgo	Nivel de riesgo calculado
Propietario	Persona responsable
Estado	Estado actual del riesgo
Tratamiento	Plan de respuesta al riesgo

Categorías de Riesgos

Organiza riesgos por categoría:

• Técnico: Vulnerabilidades del sistema, fallas de arquitectura
• Operacional: Fallas de proceso, error humano
• Cumplimiento: Violaciones regulatorias, fallas de auditoría
• Terceros: Riesgos de proveedores, cadena de suministro
• Físico: Instalación, ambiental
• Estratégico: Negocio, riesgos de mercado

Evaluación de Riesgos

Escala de Probabilidad

Nivel	Puntuación	Descripción
Raro	1	Poco probable que ocurra
Improbable	2	Podría ocurrir ocasionalmente
Posible	3	Podría ocurrir a veces
Probable	4	Probablemente ocurrirá
Casi Seguro	5	Se espera que ocurra

Escala de Impacto

Nivel	Puntuación	Descripción
Insignificante	1	Impacto mínimo
Menor	2	Pequeño impacto, fácilmente gestionable
Moderado	3	Impacto notable
Mayor	4	Impacto significativo
Severo	5	Impacto crítico en operaciones

Cálculo de Puntuación de Riesgo

Puntuación de Riesgo = Probabilidad × Impacto

Rango de Puntuación    Nivel de Riesgo
1-4            Bajo (Verde)
5-9            Medio (Amarillo)
10-16          Alto (Naranja)
17-25          Crítico (Rojo)

Matriz de Riesgo

Matriz visual de evaluación de riesgo:

                    IMPACTO
           1    2    3    4    5
         ┌────┬────┬────┬────┬────┐
    5    │  5 │ 10 │ 15 │ 20 │ 25 │
         ├────┼────┼────┼────┼────┤
    4    │  4 │  8 │ 12 │ 16 │ 20 │
P        ├────┼────┼────┼────┼────┤
R   3    │  3 │  6 │  9 │ 12 │ 15 │
O        ├────┼────┼────┼────┼────┤
B   2    │  2 │  4 │  6 │  8 │ 10 │
A        ├────┼────┼────┼────┼────┤
B   1    │  1 │  2 │  3 │  4 │  5 │
I        └────┴────┴────┴────┴────┘
L
I        ■ Bajo  ■ Medio  ■ Alto  ■ Crítico
D
A
D

Crear Riesgos

Añadir Nuevo Riesgo

1. Ve a Registro de Riesgos
2. Haz clic en Añadir Riesgo
3. Ingresa detalles del riesgo:
   • Título
   • Descripción
   • Categoría
4. Evalúa probabilidad e impacto
5. Asigna propietario
6. Haz clic en Crear

Riesgo desde Hallazgo

Crea riesgos desde hallazgos de seguridad:

1. Abre un hallazgo
2. Haz clic en Crear Riesgo
3. El riesgo se completa automáticamente con detalles del hallazgo
4. Revisa y ajusta evaluación
5. Haz clic en Crear

Importar Riesgos

Importa riesgos desde hoja de cálculo:

1. Haz clic en Importar
2. Descarga plantilla
3. Completa datos de riesgos
4. Sube archivo
5. Revisa y confirma

Tratamiento de Riesgos

Opciones de Tratamiento

Tratamiento	Descripción	Cuándo Usar
Mitigar	Reducir probabilidad o impacto	Riesgo puede reducirse de manera rentable
Aceptar	Reconocer y monitorear	Riesgo dentro de tolerancia
Transferir	Trasladar a tercero	Seguro, outsourcing
Evitar	Eliminar la fuente del riesgo	Riesgo demasiado alto, actividad no esencial

Planes de Tratamiento

Documenta planes de tratamiento:

1. Abre detalle del riesgo
2. Haz clic en pestaña Tratamiento
3. Selecciona tipo de tratamiento
4. Añade detalles del tratamiento:
   • Acciones requeridas
   • Cronograma
   • Recursos necesarios
   • Riesgo residual esperado
5. Haz clic en Guardar

Riesgo Residual

Después del tratamiento, evalúa riesgo residual:

Riesgo Inicial: 16 (Alto)
Tratamiento: Implementar MFA

Evaluación de Riesgo Residual:
- Probabilidad: 4 → 2 (reducida por control)
- Impacto: 4 → 4 (sin cambios)
- Puntuación Residual: 8 (Medio)

Estado del Riesgo

Tipos de Estado

Estado	Descripción
Identificado	Nuevo riesgo, aún no evaluado
Evaluando	Bajo evaluación
Tratando	Tratamiento en progreso
Monitoreando	Aceptado, siendo rastreado
Cerrado	Riesgo eliminado o ya no relevante

Flujo de Estado

Identificado → Evaluando → Tratando → Monitoreando
                            ↓
                         Cerrado

Monitoreo de Riesgos

Revisiones de Riesgos

Programa revisiones regulares de riesgos:

1. Ve a Configuración → Gestión de Riesgos
2. Establece frecuencia de revisión (mensual, trimestral)
3. Asigna revisores
4. El sistema envía recordatorios

Tendencias de Riesgos

Rastrea cambios en puntuación de riesgo en el tiempo:

Riesgo: Acceso No Autorizado a Datos

Historial de Puntuación:
Ene:  ████████████████████ 20 (Crítico)
Feb:  ████████████████ 16 (Alto)
Mar:  ████████████ 12 (Alto)
Abr:  ████████ 8 (Medio)  ← MFA implementado

Indicadores Clave de Riesgo (KRIs)

Función Profesional

El seguimiento de KRI requiere plan Professional o Enterprise.

Configura KRIs para riesgos importantes:

1. Abre detalle del riesgo
2. Haz clic en pestaña KRIs
3. Define indicador:
   • Métrica a rastrear
   • Valores umbral
   • Fuente de datos
4. El sistema alerta cuando se exceden umbrales

Reportes de Riesgos

Resumen de Riesgos

Ver postura general de riesgo:

Resumen del Registro de Riesgos

Riesgos Totales: 24

Por Nivel:
Crítico  ██ 2 (8%)
Alto      ████ 4 (17%)
Medio    ████████ 8 (33%)
Bajo       ██████████ 10 (42%)

Principales Riesgos:
1. Ataque de Ransomware (Puntuación: 20)
2. Violación de Datos vía Terceros (Puntuación: 16)
3. Violación de Cumplimiento (Puntuación: 15)

Mapa de Calor de Riesgos

Representación visual de todos los riesgos:

1. Ve a Reportes → Mapa de Calor de Riesgos
2. Ver riesgos trazados en matriz
3. Haz clic en cualquier celda para ver riesgos en ese nivel
4. Exporta para presentaciones

Reporte de Tendencias

Rastrea cambios en postura de riesgo:

Período	Crítico	Alto	Medio	Bajo	Puntuación Total
Q1	3	5	7	8	156
Q2	2	4	8	10	128
Q3	2	4	8	10	124

Reporte Ejecutivo

Genera reporte de riesgo para nivel directivo:

1. Haz clic en Reportes → Resumen Ejecutivo
2. Selecciona período de tiempo
3. Elige secciones a incluir
4. Genera PDF

Integración con Controles

Mapeo Riesgo-Control

Vincula riesgos a controles mitigadores:

1. Abre detalle del riesgo
2. Haz clic en pestaña Controles
3. Haz clic en Vincular Control
4. Selecciona controles relevantes
5. Haz clic en Vincular

Efectividad del Control

Ver cómo los controles reducen el riesgo:

Riesgo: Ataque de Inyección SQL
Puntuación de Riesgo Inherente: 20

Controles Mitigadores:
- Consultas parametrizadas (efectividad: 80%)
- Validación de entrada (efectividad: 60%)
- WAF (efectividad: 40%)

Puntuación de Riesgo Residual: 6

Acceso API

# Listar riesgos
GET /api/v1/risks?status=monitoring

# Obtener detalles de riesgo
GET /api/v1/risks/{risk_id}

# Crear riesgo
POST /api/v1/risks
{
  "title": "Violación de Datos vía Phishing",
  "description": "Riesgo de violación de datos a través de ataques de phishing",
  "category": "technical",
  "likelihood": 4,
  "impact": 5,
  "owner_id": "user_123"
}

# Actualizar riesgo
PATCH /api/v1/risks/{risk_id}
{
  "treatment_type": "mitigate",
  "treatment_plan": "Implementar capacitación de seguridad de email",
  "residual_likelihood": 2,
  "residual_impact": 5
}

Consulta Referencia API para documentación completa.

Mejores Prácticas

1. Revisiones Regulares: Revisa riesgos al menos trimestralmente
2. Asignar Propietarios: Cada riesgo necesita un propietario
3. Documentar Tratamiento: Detalla cómo se abordan los riesgos
4. Rastrear Tendencias: Monitorea puntuaciones de riesgo en el tiempo
5. Vincular a Controles: Conecta riesgos a controles mitigadores
6. Actualizar Prontamente: Reevalúa después de cambios o incidentes
7. Reportar a Liderazgo: Mantén a ejecutivos informados