Política de gestión del riesgo

La Política de gestión del riesgo (P06) proporciona un marco riguroso, en toda la organización, para la identificación, análisis, evaluación y tratamiento de los riesgos de seguridad de la información. Su propósito es operacionalizar principios basados en el riesgo para proteger la confidencialidad, integridad y disponibilidad de los activos de información, e integrar la gestión de riesgos de seguridad de la información en todos los niveles de toma de decisiones. La política garantiza que se cumplan tanto los objetivos estratégicos internos como los requisitos regulatorios externos, lo que la convierte en un componente fundamental del Sistema de gestión de la seguridad de la información (SGSI). En concreto, la política cumple los requisitos de la Cláusula 6.1 de ISO/IEC 27001:2022, los principios de ISO 31000:2018 y se ajusta a las metodologías detalladas de ISO/IEC 27005. El alcance de la política es integral y se aplica a todas las unidades de negocio, procesos, personal, sistemas de información (físicos, digitales y sistemas alojados en la nube) y terceros implicados con activos de información. Cada etapa en la que pueda introducirse riesgo, como nuevos proyectos, implantaciones de sistemas, cambios en la arquitectura, incorporación de proveedores, respuesta a incidentes y revisiones periódicas, queda dentro del ámbito de esta política. Este enfoque unificado garantiza que no se pase por alto ningún riesgo de seguridad de la información, ya surja de cambios del negocio, actualizaciones tecnológicas o asociaciones externas. Las responsabilidades están claramente delimitadas. La alta dirección define el apetito de riesgo y aprueba los tratamientos de riesgo para el riesgo residual por encima de los umbrales de aceptación del riesgo. El Responsable del SGSI o el Responsable de riesgos son propietarios del marco, garantizando la alineación de la política, liderando la evaluación de riesgos y manteniendo el registro de riesgos central y el plan de tratamiento de riesgos. El Propietario del riesgo y el Equipo de seguridad de la información identifican, evalúan y tratan los riesgos para activos o procesos específicos. El Equipo de auditoría interna y los Equipos de cumplimiento validan la eficacia y la trazabilidad de las actividades de gestión del riesgo, activando acciones correctivas ante brechas o incumplimientos. Esta estructura de gobernanza clara garantiza una supervisión rigurosa y un escalado eficaz de los riesgos inaceptables. Los requisitos de gobernanza exigen el mantenimiento de un registro de riesgos central que documente todos los riesgos conocidos, sus propietarios, puntuaciones, planes de tratamiento y vínculos con controles. Las evaluaciones de riesgos deben seguir metodologías documentadas, incluida la clasificación de activos, el mapeo de amenazas y vulnerabilidades y la evaluación de controles. La Declaración de aplicabilidad (SoA) se mantiene actualizada para trazar las decisiones de tratamiento y el estado de los controles. Las opciones de tratamiento del riesgo (evitar, transferir, aceptar, reducir) se documentan formalmente, y las excepciones a los procedimientos se controlan estrictamente, requiriendo aprobaciones de nivel superior con justificación y plazos. El seguimiento regular, los indicadores clave de riesgo y el cuadro de mando de riesgos respaldan la elaboración de informes eficaces a la alta dirección. La aplicación es una característica central: el incumplimiento está sujeto a medidas disciplinarias, y el Responsable del SGSI junto con Auditoría revisa periódicamente la integridad, trazabilidad y puntualidad de las actividades de gestión del riesgo. La política se revisa al menos anualmente, o tras incidentes significativos o cambios organizativos, garantizando que se mantenga actualizada con las necesidades cambiantes del negocio y los entornos regulatorios. Este enfoque estructurado respalda directamente la rendición de cuentas, la transparencia y la mejora continua en la gestión de riesgos de seguridad de la información, lo que la hace integral para la resiliencia general de la organización.