¿Para qué me sirve esta actividad? 📚
Esta actividad te ayuda a establecer las "reglas del juego" dentro de tu organización sobre cómo se van a identificar, clasificar, evaluar y tratar los riesgos o amenazas que puedan interrumpir la operación de tus procesos prioritarios.
Este documento tiene como objetivo principal definir el flujo de proceso y criterios estandarizados para evaluar de forma objetiva qué tan vulnerable es tu negocio ante contingencias. Debe definirse y documentarse antes de llevar a cabo la evaluación de tu Matriz de Riesgos, y aplicarse y actualizarse anualmente, o cada vez que existan cambios significativos en el contexto interno o externo de tu organización.
¿Qué tengo que hacer? 🚀
Nuestro template te proporciona una metodología ya estructurada y alineada con el uso de la plataforma Hackmetrix (tanto con el módulo de Activos como con el módulo de Riesgos), así como también con el cumplimiento normativo. Pero recomendamos ampliamente leer el documento y revisarlo en su totalidad para así comprender la información que deberás documentar posteriormente.
Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Define el objetivo y alcance de la metodología.
Establece que el objetivo principal es identificar, evaluar, tratar y dar seguimiento a los riesgos de continuidad operacional e interrupción de negocio.
El alcance debe cubrir todos los activos de información, procesos prioritarios, áreas funcionales, componentes tecnológicos y proveedores críticos bajo el alcance de tu SGCN.
Identifica los eventos detonantes que activarán una revisión extraordinaria de la metodología (por ejemplo, la incorporación de nuevos sistemas, cambios en la infraestructura de nube, incidentes graves o cambios normativos).
Criterios para la valorización de activos.
Debes documentar aquí todos los lineamientos y criterios para la valorización de activos que vas a utilizar.
Recuerda que si vas a utilizar nuestro módulo de Activos, nuestro template ya se encuentra estructurado y alineado a su funcionamiento.
Antes de evaluar riesgos, debes registrar y clasificar los activos que soportan tus procesos clave para generar tu inventario.
Evalúa la criticidad del activo considerando su impacto en la continuidad de la operación y el cumplimiento de las métricas de recuperación (RTO y MTPD) ante fallas de disponibilidad, confidencialidad o integridad.
Identifica los escenarios de riesgo de continuidad.
Analiza las amenazas tecnológicas e informáticas como accesos no autorizados, infecciones por ransomware, fallas de hardware, caídas de servidores en la nube, fuga de datos, entre otros, que puedan impactar la continuidad de tus operaciones.
Incluye también riesgos operativos y de continuidad como indisponibilidad de personal clave, cortes de suministros o fallas en proveedores críticos de la cadena de servicio.
Asigna dueños de riesgo (risk owners) adecuados para garantizar su monitoreo y rendición de cuentas.
Criterios de evaluación de riesgos.
Debes documentar aquí todos los lineamientos y criterios para la evaluación de riesgos que vas a utilizar para asegurar que sea objetiva.
Revisa las tablas de medición ubicadas en los anexos de nuestro template y verifica que la información esté alineada a las necesidades de la empresa.
Recuerda que si vas a utilizar nuestro módulo de Riesgos, nuestro template ya se encuentra estructurado y alineado a su funcionamiento.
Asegúrate de que las descripciones de impacto (por ejemplo, pérdidas financieras, daño reputacional o interrupción de procesos) reflejen lo que tu empresa considera una afectación leve, moderada o desastrosa.
Basa la evaluación en datos reales, reportes de incidentes previos y contexto operativo.
Lo que te proponemos en el template de esta metodología consiste en identificar, por medio de una escala de valores previamente establecida (del 1 al 5) la probabilidad de ocurrencia de los riesgos y el impacto que éstos pueden tener en tus operaciones, activos y/o servicios. La asignación de estos valores te permitirá, por medio de una multiplicación, definir el nivel del riesgo (muy alto, alto, medio, bajo o muy bajo).
Opciones de tratamiento de riesgos y criterios de aceptación.
Para cada riesgo identificado, se deberá determinar la estrategia de tratamiento, que corresponde a mitigar, aceptar, eliminar o transferir.
Dentro de nuestro template podrás encontrar el detalle de cada una de estas decisiones, pero es de suma importancia comprender la información para así seleccionar la opción más adecuada para cada riesgo.
Los criterios de aceptación o transferencia de un riesgo no deben utilizarse para justificar el incumplimiento de obligaciones legales, regulaciones o compromisos de SLA con clientes.
Incluso se recomienda establecer como regla para la aceptación de riesgos que superen el nivel de tolerancia definido (por ejemplo los clasificados como "altos" y "muy altos") que se requiere la aprobación obligatoria, justificada y documentada de la Alta Dirección y/ Comité de Continuidad.
Esta evidencia se podría documentar desde el Informe de Análisis de Riesgos.
Establece la coordinación, seguimiento y comunicación.
Asegúrate de que cada dueño de riesgo revise el avance de sus planes de tratamiento y el estado de sus medidas de mitigación, según corresponda.
Registra los avances en el módulo de Riesgos y comunica los resultados al Comité de Continuidad, a la Alta Dirección y/o a las áreas operativas involucradas.
Completa el versionado del documento.
Al finalizar, ingresa la información de elaboración, aprobación, fecha y clasificación de la información.
Considera clasificar esta metodología como información confidencial u organizacional, según el contenido y los detalles que incluya sobre riesgos, activos y controles internos.
Recuerda que nuestro template está estructurado con criterios de inventario, evaluación, tratamiento, seguimiento y anexos de probabilidad e impacto que te servirán para gestionar riesgos de forma clara y ordenada. Además, se encuentra alineada en el uso y funcionamiento de nuestros módulos de Activos y Riesgos, pero debes ajustarlo al contexto real de tu empresa.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Asegúrate de que los niveles de criticidad, probabilidades e impactos definidos en esta metodología coincidan con los utilizados en tu Matriz de Riesgos o en el módulo de Riesgos de la plataforma.
Evita modificar las tablas de medición a mitad de ciclo anual. Conservar la misma metodología permite comparar la evolución real de tus riesgos en el tiempo.
Involucra a la Alta Dirección para que comprendan cuándo un riesgo requerirá su autorización explícita.
Asegúrate de que los líderes asignados como responsables de riesgo comprendan la metodología para que sus evaluaciones sean objetivas y homogéneas.
Realiza breves reuniones de trabajo con los dueños de riesgos, procesos y activos para evitar evaluaciones subjetivas o sesgadas.
Define reglas claras para escalar inmediatamente al Comité de Continuidad o a la Alta Dirección cualquier riesgo clasificado como Alto o Muy Alto.
Mantén un historial de los cambios realizados en la metodología, en las tablas de medición o en la reevaluación periódica de los activos.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.