Gestión de Riesgos de Seguridad de la Información — ISO/IEC 27005

A quién va dirigido

Dirigido a responsables de seguridad de la información, analistas de riesgos y miembros del equipo del SGSI que necesitan aplicar una metodología estructurada de evaluación y tratamiento de riesgos.

Objetivo del curso

Al finalizar el taller, el participante será capaz de aplicar el proceso de gestión de riesgos descrito en ISO/IEC 27005 para identificar, analizar, evaluar y tratar los riesgos de seguridad de la información dentro del alcance del SGSI, generando los registros que exige ISO/IEC 27001.

Competencias en formación

• Establecer el contexto y los criterios de riesgo de seguridad de la información
• Identificar activos, amenazas y vulnerabilidades relevantes
• Analizar el riesgo en términos de probabilidad e impacto
• Evaluar el riesgo frente a los criterios de aceptación definidos
• Seleccionar opciones de tratamiento de riesgo y controles asociados
• Elaborar el plan de tratamiento de riesgos
• Documentar y mantener actualizado el registro de riesgos

Temario propuesto

1. Panorama del proceso de gestión de riesgos según ISO/IEC 27005
2. Establecimiento del contexto y criterios de riesgo
3. Identificación de activos, amenazas y vulnerabilidades
4. Métodos de análisis de riesgo cualitativo y semicuantitativo
5. Evaluación de riesgos y priorización
6. Opciones de tratamiento: mitigar, transferir, evitar y aceptar
7. Selección de controles y elaboración del plan de tratamiento
8. Registro, comunicación y revisión periódica de riesgos

Método de evaluación

La evaluación se realiza mediante un caso práctico en el que el equipo participante identifica, analiza y trata los riesgos de un escenario de seguridad de la información, entregando un registro de riesgos completo.