Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
Una matriz de riesgos ISO 27001 es la herramienta donde una organización identifica los riesgos para la confidencialidad, integridad y disponibilidad de su información, les asigna un dueño, estima su impacto y probabilidad, calcula un nivel de riesgo y lo compara con criterios de aceptación definidos de antemano. La norma (cláusula 6.1.2) no impone un formato: exige un proceso repetible y documentado; un Excel bien diseñado es suficiente para la mayoría de las pymes.
¿Qué pide ISO/IEC 27001:2022 sobre la evaluación de riesgos?
La cláusula 6.1.2 pide definir y aplicar un proceso de evaluación de riesgos de seguridad de la información. En resumen, ese proceso debe:
- Establecer criterios de aceptación del riesgo y criterios para realizar las evaluaciones.
- Producir resultados consistentes y comparables cuando se repite.
- Identificar los riesgos de pérdida de confidencialidad, integridad y disponibilidad dentro del alcance del SGSI.
- Asignar un dueño a cada riesgo.
- Analizar consecuencias y probabilidad realista, y determinar el nivel de riesgo.
- Evaluar y priorizar los riesgos para su tratamiento.
Además, la cláusula 8.2 pide repetir la evaluación a intervalos planificados o cuando haya cambios importantes, y conservar los resultados como información documentada. El tratamiento (cláusula 6.1.3) usa esos resultados para elegir controles y alimentar la Declaración de Aplicabilidad.
Columnas mínimas de una matriz de riesgos del SGSI
| Columna | Para qué sirve |
|---|---|
| ID del riesgo | Trazabilidad con el plan de tratamiento y la Declaración de Aplicabilidad |
| Proceso o activo | Ubica el riesgo dentro del alcance |
| Escenario de riesgo | Describe qué puede pasar (amenaza que explota una vulnerabilidad) |
| Amenaza y vulnerabilidad | Permiten justificar el análisis ante el auditor |
| Dimensión afectada (C, I, D) | Confidencialidad, integridad o disponibilidad |
| Controles existentes | El análisis se hace considerando lo que ya está implementado |
| Impacto y probabilidad | Escalas definidas en los criterios (por ejemplo, del 1 al 4) |
| Nivel y categoría | Resultado del cálculo y comparación con los criterios de aceptación |
| Dueño del riesgo y tratamiento | Quién decide y qué opción se elige: mitigar, transferir, evitar o aceptar |
¿Cómo se calcula el nivel de riesgo?
El método más usado en pymes es multiplicar impacto por probabilidad en escalas de 1 a 4, lo que da niveles de 1 a 16. Los criterios de la organización definen desde qué nivel un riesgo es medio, alto o crítico; por ejemplo, medio desde 6, alto desde 9 y crítico en 16. Lo importante no es la fórmula exacta, sino que esté documentada, aprobada y se aplique igual en cada evaluación.
El mapa de calor resume cuántos riesgos hay en cada combinación de impacto y probabilidad, y ayuda a la dirección a ver de un vistazo dónde concentrar el esfuerzo.
¿Enfoque por escenarios o por activos?
ISO/IEC 27001:2022 no obliga a partir de un inventario de activos. Muchas organizaciones evalúan escenarios de riesgo por proceso porque es más rápido y fácil de entender; otras prefieren el enfoque por activos porque se conecta directamente con el inventario. Lo recomendable es elegir uno, documentarlo en la metodología y mantenerlo.
Errores comunes que observan los auditores
- Riesgos sin dueño o con un dueño genérico como "TI".
- Escalas de impacto y probabilidad sin definición escrita.
- Copiar riesgos de otra empresa sin adaptarlos al propio contexto.
- No registrar los controles existentes, lo que infla los niveles.
- Evaluar una vez y no repetir tras cambios importantes.
Plantilla: la matriz de riesgos del kit NexoDocs
La matriz del kit NexoDocs es un Excel sin macros con enfoque por escenarios y por activos, criterios configurables, cálculo automático del nivel y la categoría, mapa de calor, registro de riesgos del propio SGSI y de excepciones. Puede descargar gratis una versión reducida (10 escenarios, mapa de calor y criterios) para probarla antes de comprar el kit completo.
Preguntas frecuentes
¿ISO 27001 exige una matriz de riesgos en Excel?
No. Exige un proceso de evaluación de riesgos definido, aplicado y documentado. Excel es una forma práctica de documentarlo, pero también sirven otras herramientas.
¿Qué escala de impacto y probabilidad conviene usar?
Una escala de 1 a 4 o de 1 a 5 es lo más común en pymes. Lo esencial es que cada valor tenga una definición escrita y aprobada.
¿Cada cuánto se debe actualizar la matriz?
A intervalos planificados (por ejemplo, una vez al año) y cada vez que haya cambios importantes en la organización, la tecnología o las amenazas.
¿Una plantilla garantiza pasar la auditoría?
No. La certificación depende de cómo se implementa el SGSI y de la auditoría de un organismo certificador; una buena plantilla ordena el trabajo y deja evidencia clara.
Guías relacionadas
- Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
- Documentos obligatorios de ISO 27001:2022: lista por cláusula
- ¿Qué es un SGSI y cómo se implementa con ISO 27001?
Actualizado: 2026-10-20