Evaluación de riesgos.

Actividad estructurada dentro de la gestión de riesgos que identifica amenazas, vulnerabilidades e impactos sobre activos concretos y valora el riesgo resultante para decidir su tratamiento. Pertenece a la categoría de Cumplimiento y marcos en ciberseguridad.

Actividad estructurada dentro de la gestión de riesgos que identifica amenazas, vulnerabilidades e impactos sobre activos concretos y valora el riesgo resultante para decidir su tratamiento.

Una evaluación de riesgos combina la identificación, el análisis y la valoración del riesgo para un alcance definido, como un sistema, un proceso de negocio, un proveedor o un nuevo proyecto. Quienes evalúan recopilan inteligencia de amenazas, mapean vulnerabilidades, estiman probabilidad e impacto y producen una lista priorizada de riesgos según los criterios de la organización. Los métodos van desde mapas de calor cualitativos hasta técnicas cuantitativas como FAIR o simulaciones de Monte Carlo, y sus resultados alimentan el registro de riesgos y los planes de tratamiento. Es además una exigencia regulatoria en marcos como NIST SP 800-30, ISO/IEC 27005, las EIPD del RGPD o la Security Rule de HIPAA.

Las defensas contra Evaluación de riesgos combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Evaluación de ciberriesgos, Análisis de riesgos.