Qué es el riesgo residual en ISO 27001

La matriz de riesgos de seguridad de la información tenía 64 renglones y todos terminaban en verde en la columna de riesgo después de controles. En la auditoría de certificación, el auditor tomó el riesgo de pérdida de datos de clientes por un proveedor de nube y preguntó quién había aceptado que quedara en ese nivel y con qué criterio. La respuesta fue que el oficial de seguridad había llenado la matriz. El dueño del proceso nunca la había visto.

Qué es el riesgo residual

El riesgo residual es el riesgo que permanece después de aplicar el tratamiento. Se distingue del riesgo inherente, que es el nivel que tiene el riesgo antes de considerar los controles que se decidieron. Ningún tratamiento lleva el riesgo a cero: un respaldo diario reduce el impacto de un ataque de ransomware, pero sigue existiendo la pérdida de un día de información y el tiempo de restauración. Ese remanente es el que alguien con autoridad tiene que decidir si es aceptable.

Qué exige la ISO 27001

La norma trata el riesgo residual en dos cláusulas. La 6.1.2 exige establecer criterios de aceptación del riesgo antes de evaluar. La 6.1.3, sobre el tratamiento, pide:

• —Seleccionar opciones de tratamiento adecuadas para cada riesgo.
• —Determinar los controles necesarios y compararlos con el Anexo A para no omitir ninguno.
• —Elaborar la declaración de aplicabilidad.
• —Formular un plan de tratamiento de riesgos.
• —Obtener la aprobación del plan por parte de los dueños de los riesgos y su aceptación de los riesgos residuales.

Además, la cláusula 8.2 exige repetir la evaluación a intervalos planificados o cuando haya cambios significativos, y conservar la información documentada de los resultados. El riesgo residual no se acepta una vez para siempre.

Las opciones de tratamiento

La ISO 27005, la guía de gestión de riesgos de la familia, describe cuatro opciones. Cada una deja un riesgo residual distinto:

• —Modificar el riesgo con controles que reducen la probabilidad o el impacto.
• —Retener el riesgo, es decir, aceptarlo tal como está porque ya cumple los criterios.
• —Evitar el riesgo eliminando la actividad o la condición que lo genera.
• —Compartir el riesgo con un tercero, como una aseguradora o un proveedor, sin olvidar que la responsabilidad frente al cliente no se transfiere.

Quién acepta y con qué evidencia

El dueño del riesgo es la persona con la autoridad y la responsabilidad para gestionarlo, normalmente el responsable del proceso o del activo, no el área de seguridad. Su aceptación debe quedar registrada y ser rastreable a los criterios de 6.1.2. Además, el nivel residual tiene que estar respaldado: si la matriz baja un riesgo de alto a bajo por un control que todavía no se implementa, o que se implementó pero nunca se probó, el cálculo es una suposición. El auditor suele pedir la evidencia de que el control opera antes de aceptar el nivel residual que se le atribuye.

Errores frecuentes

• —Que el oficial de seguridad acepte todos los riesgos residuales en nombre de la dirección.
• —Calcular el residual suponiendo controles planeados como si ya estuvieran operando.
• —No tener criterios de aceptación escritos, o tenerlos pero no aplicarlos.
• —Dejar riesgos residuales por encima del criterio sin plan de tratamiento ni aceptación explícita.
• —No reevaluar el residual después de un incidente, un cambio de proveedor o una migración.

Cómo se mantiene vivo

Una matriz en hoja de cálculo congela el riesgo en el día en que se llenó. Lo que la norma pide es un ciclo: evaluar, tratar, aceptar, reevaluar y dejar rastro de cada decisión. Un Software de gestión de riesgos y oportunidades mantiene por cada riesgo su nivel inherente y residual, los controles ligados, el plan de tratamiento con responsables y fechas, y la aceptación del dueño con su fecha, de modo que la reevaluación se dispare cuando cambia algo y no solo antes de la auditoría.

En resumen

El riesgo residual es el que queda después del tratamiento. La ISO 27001 exige criterios de aceptación definidos de antemano, un plan de tratamiento aprobado y la aceptación explícita del riesgo residual por parte de los dueños de los riesgos, con reevaluación a intervalos planificados y ante cambios significativos. El nivel residual solo vale si los controles que lo sostienen están implementados y probados.