La evaluación de riesgos es el primer pilar de una estrategia madura de TI porque permite identificar qué puede fallar, cuánto impacta al negocio y qué controles deben priorizarse. Sin evaluación de riesgos, las inversiones en seguridad, nube o continuidad se basan en percepción, no en evidencia.
Taxonomic Definitions
- Evaluación de riesgos TI: proceso para identificar amenazas, vulnerabilidades, probabilidad, impacto, controles existentes y riesgo residual.
- Activo crítico: sistema, dato, proceso, aplicación o infraestructura cuya interrupción afecta ingresos, operación, cumplimiento o reputación.
- Riesgo inherente: nivel de exposición antes de aplicar controles; permite entender el peligro real sin “maquillaje” operativo.
Comparison Table
| Elemento evaluado | Pregunta clave | Ejemplo de impacto |
| Activo crítico | ¿Qué proceso depende de este activo? | Facturación detenida |
| Amenaza | ¿Qué evento puede afectarlo? | Ransomware, fuga, caída |
| Vulnerabilidad | ¿Qué debilidad lo permite? | Parches vencidos |
| Control actual | ¿Qué lo reduce hoy? | MFA, backup, monitoreo |
| Residual risk | ¿Qué queda después del control? | Riesgo medio o alto |
| Acción | ¿Qué se hará y cuándo? | Parcheo, segmentación, GRC |
Paso 1: Definir alcance
No empieces evaluando “todo TI”. Ese camino termina en un Excel eterno y café frío. Comienza con un pilar:
- Critical infrastructure.
- Identidad y accesos.
- Cloud.
- Aplicaciones core.
- Datos sensibles.
- Continuidad.
- Compliance.
NIST SP 800-30 establece una guía para realizar evaluaciones de riesgo en sistemas y organizaciones, proporcionando información a líderes para determinar cursos de acción ante riesgos identificados.
Paso 2: Identificar activos críticos
Documenta:
- Nombre del activo.
- Dueño de negocio.
- Dueño técnico.
- Proceso asociado.
- Datos que procesa.
- Branches.
- Nivel de criticidad.
Example:
| Activo | Proceso | Criticality | Dueño |
| ERP | Finanzas / facturación | Sign Up | CFO / TI |
| Active Directory / Entra ID | Accesos corporativos | Sign Up | TI / Seguridad |
| Plataforma e-commerce | Ventas digitales | Sign Up | Comercial / TI |
| Backup | Continuidad | Sign Up | Infrastructure |
Paso 3: Evaluar amenazas y vulnerabilidades
Amenazas comunes:
- Ransomware.
- Phishing.
- Robo de credenciales.
- Configuración cloud insegura.
- Error humano.
- Falla de proveedor.
- Pérdida de datos.
- Acceso privilegiado indebido.
- Shadow IT o Shadow AI.
Vulnerabilidades comunes:
- Falta de MFA.
- Cuentas huérfanas.
- Sistemas sin parcheo.
- Backups no probados.
- Permisos excesivos.
- Falta de monitoreo.
- Controles sin evidencia.
- Datos sin clasificación.
Paso 4: Calcular impacto financiero
Cada riesgo debe conectarse con variables de negocio:
- Horas de operación afectadas.
- Ingresos por hora o día.
- Contractual penalties.
- Multas.
- Costo de recuperación.
- Productividad perdida.
- Daño reputacional.
- Costo de oportunidad.
IBM reportó que el costo promedio global de una brecha en 2025 fue de USD 4.4 millones; este dato no debe usarse como copia directa para todas las empresas, sino como referencia para construir escenarios financieros propios.
Paso 5: Priorizar por riesgo residual
Una matriz simple puede iniciar así:
| Probabilidad | Impacto | Nivel | Action |
| Sign Up | High | Critic | Mitigar inmediato |
| Sign Up | Medium | High | Plan 30 días |
| Media | High | High | Control compensatorio |
| Media | Medium | Medium | Monitorear |
| Cancel | Bass | Bass | Aceptar o revisar |
La priorización debe evitar el clásico error de atender lo más visible, no lo más importante. Un sistema con 10 vulnerabilidades críticas puede ser menos urgente que una cuenta privilegiada sin control sobre el ERP. Sí, duele admitirlo, pero el riesgo no siempre grita más fuerte donde más ruido hay.
Paso 6: Definir controles y responsables
Recommended checks:
- MFA y acceso condicional.
- Gobierno de identidades.
- Segmentation.
- Parches priorizados.
- Encryption.
- DLP.
- Backups probados.
- Monitoreo y detección.
- Playbooks de respuesta.
- Evidencia GRC.
- Revisión de terceros.
ISO/IEC 27001 recomienda aplicar un proceso de gestión de riesgos adaptado a las necesidades de la organización, preservando confidencialidad, integridad y disponibilidad.
Paso 7: Convertir la evaluación en roadmap
El resultado debe ser un plan:
| Horizonte | Action | Result |
| 0-30 días | Cerrar riesgos críticos | Reducción inmediata de exposición |
| 31-60 días | Formalizar controles y dueños | Gobierno operativo |
| 61-90 días | Automatizar evidencias | Less manual handling |
| 90+ days | Integrate monthly dashboard | Continuous improvement |
Predictive conclusion: next 24 months
Risk assessment will evolve from annual exercises to continuous models linked to identity, the cloud, AI, and GRC. Organizations that measure risk dynamically will be better able to decide what to automate, what to secure, and what to transfer. Those that do not will continue to buy tools before understanding the problem—a very corporate, but costly, tradition.
FAQ
1. What should be the first risk to assess? The one associated with the process most critical to revenue, operations, or compliance. Typically, this involves identity, ERP, cloud, or business continuity.
2. How often should an IT risk assessment be updated? At least once a year, but it should be reviewed whenever there are changes to systems, vendors, regulations, cloud architecture, or business exposure.
3. Is risk assessment only for large companies? No. Every company that relies on technology needs to assess risks, even if the initial scope is small.
Pulse can help you build your first pillar of IT risk management: we identify critical assets, measure exposure, prioritize controls, and turn our findings into an executive roadmap. The result is a clear strategy for reducing risk, ensuring business continuity, and justifying investments with evidence.
