Ejemplo : Un ataque que interrumpa el sistema de pagos en línea de una tienda podría paralizar las ventas y la atención al cliente.

En cambio la gestión de riesgos tiene la finalidad de identificar, evaluar y tratar los riesgos asociados a la seguridad de la información para proteger los activos.

Ejemplo:

Un atacante acceda al sistema de gestión estudiantil de Micampus (Moodle) a través de credenciales robadas de un docente de la Universidad y modifica las notas de los estudiantes.

Referencias:

1. PECB, PECB Candidate Handbook ISO/IEC 27005 Risk Manager. PECB, 2024. [Online]. Available: https://pecb.com/pdf/candidate-handbooks/pecb-candidate-handbook-iso-27005-risk-manager-es.pdf

Ejemplo práctico:

Una empresa financiera adopta la ISO/IEC 27001 para proteger los datos de sus clientes frente a ciberataques. Implementa medidas como autenticación multifactor, cifrado de datos y monitoreo de sistemas en tiempo real. Esto no solo reduce riesgos, sino que también cumple con normativas legales, mejorando su reputación y competitividad.

Fuente:

NSF. (2024). ISO/IEC 27001: Information Security Management. Recuperado de https://www.nsf.org/management-systems/iso-iec-27001

Ejemplo: Una organización financiera utiliza ISO/IEC 27005 para evaluar el riesgo de ataques cibernéticos. Identifica que su sistema de autenticación es débil y decide implementar autenticación multifactorial para reducir el riesgo.

Ejemplo:

Un fallo en el sistema de almacenamiento de datos en la nube podría llevar a una pérdida masiva de información y a la paralización de operaciones si no se realiza un análisis adecuado de riesgos de infraestructura.

Referencias:

for, O. (2019). IEC 31010:2019. ISO. https://www.iso.org/standard/72140.html

‌

Ejemplo:
Una empresa de logística implementa la norma ISO/IEC 22301 para garantizar que sus servicios de transporte no se vean afectados ante desastres naturales. Esto incluye la creación de un plan de contingencia para reubicar operaciones, sistemas redundantes para rastreo de envíos y simulacros periódicos para evaluar la preparación del personal.

Referencia:
ISO/IEC 22301:2019. Gestión de la continuidad del negocio. Recuperado de ISO.

Ejemplo:

una empresa que recopila datos de clientes para un servicio online puede usar la ISO/IEC 29100 para diseñar políticas que limiten el uso de la información solo al propósito indicado, asegurando confidencialidad y cumplimiento legal.

Referencia:

SGI Consulting Group. (2019). ISO/IEC 29100: Marco de privacidad para la protección de datos personales. Recuperado de https://sgi-consulting-group.com​

Conexión ESAN. (s.f.). ¿Qué es la ISO/IEC 29100 y para qué sirve?. Recuperado de https://www.esan.edu.pe

Ejemplo práctico:

Supón que una empresa es investigada por una fuga de datos. Usando esta norma, la empresa realiza un proceso estructurado de e-discovery para identificar, preservar y revisar correos electrónicos relevantes, asegurándose de que no se alteren y de que solo personas autorizadas accedan a ellos, garantizando así que la evidencia sea válida en un tribunal. Referencia:

ISO/IEC. (2016). ISO/IEC 27050:2016 - Information technology - Security techniques - Electronic discovery (e-discovery). International Organization for Standardization. https://www.iso.org/standard/45103.html

EJEMPLO PRACTICO.

Fredrickson International es una agencia líder de cobro de deudas. Tras implantar ISO/IEC 27001, ahora cuenta con una mayor cultura de seguridad en toda la organización. La certificación ha reducido significativamente el tiempo necesario para licitar por contratos y ha proporcionado al mercado una mayor confianza en sus prácticas

REFERENCIAS BIBLIOGRAFICA

ISOTools. (2024, 17 abril). ISO 27001 - Sistemas de Gestión de Seguridad de la información. Software ISO. https://www.isotools.us/normas/riesgos-y-seguridad/iso-27001/#:~:text=La%20norma%20ISO%2027001%3A2022,la%20seguridad%20de%20la%20informaci%C3%B3n.

Ejemplo:

Ante una falla masiva en sus sistemas TIC, una organización aplica su plan de continuidad basado en la ISO 27031, previamente diseñado con medidas como respaldos y procedimientos de recuperación. Activan su plan para restaurar servicios mediante servidores de respaldo, monitorean las acciones para garantizar su efectividad y, tras resolver el incidente, evalúan y mejoran el plan para prevenir futuros problemas, minimizando así el impacto y protegiendo su reputación.

Referencia:

[1]

N. Estruga, «Claves de la ISO 27031 para la continuidad de negocio en las TIC,» 2021 Mayo 08. [En línea]. Available: https://www.ealde.es/iso-27031/#:~:text=Qu%C3%A9%20es%20la%20normativa%20ISO%2027031,-La%20ISO%2027031&text=Mediante%20la%20descripci%C3%B3n%20de%20una,inform%C3%A1tica%20como%20virus%20o%20malwares.

Ejemplo práctico:

Supongamos que una empresa de construcción está planificando la edificación de un nuevo complejo residencial. Para garantizar la seguridad y el éxito del proyecto, se realiza un análisis de riesgos siguiendo los lineamientos de la ISO 31000:2018.

Referencia:

Mundo Posgrado. (n.d.). Análisis de riesgos en un proyecto: cómo se hace y ejemplos. Recuperado el 21 de noviembre de 2024, de https://www.mundoposgrado.com/analisis-de-riesgos-en-un-proyecto-como-se-hace-y-ejemplos/

Este estándar está diseñado para ayudar a las organizaciones a cumplir con regulaciones de privacidad como el Reglamento General de Protección de Datos (GDPR) y otras leyes de privacidad internacionales.

Ejemplo:

Una empresa de comercio electrónico adopta la norma ISO/IEC 27701 para proteger la información personal de sus clientes al implementar medidas para identificar y clasificar datos sensibles. Además, desarrolla políticas claras de retención y eliminación de datos, reduciendo el riesgo de violaciones de privacidad y fortaleciendo la confianza de sus usuarios.

Referencia:

ISO/IEC, “ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines,” International Organization for Standardization, 2019. Disponible en: https://www.iso.org/standard/71670.html

Esta directriz asegura que todas las partes involucradas estén bien informadas y colaboren en la gestión efectiva de los riesgos.

Ejemplo:

Una empresa de manufactura introduce un nuevo procedimiento de seguridad. Como parte de la comunicación y consulta:

1. Interna: La empresa realiza talleres y sesiones de formación para empleados, explicando los nuevos procedimientos de seguridad y los riesgos asociados.

2. Externa: La empresa también comunica estos cambios a sus proveedores y clientes para asegurarse de que todos entienden las nuevas prácticas de seguridad.

Referencia:

International Organization for Standardization. (2018). ISO 31000:2018: Risk management – Guidelines. ISO.

Disponible en: ISO 31000:2018(es), Gestión del riesgo — Directrices