Primer plano de las manos sosteniendo una tableta que muestra texto.

¿Qué es una evaluación de riesgos de ciberseguridad?

Descubra lo que implica una evaluación de riesgos de ciberseguridad y cómo ayuda a las organizaciones a implementar medidas de seguridad proactivas y resistentes.

Explore SecOps unificado y con tecnología de inteligencia artificial

Descripción de una evaluación de riesgos de ciberseguridad

Una evaluación de riesgos de ciberseguridad proporciona una forma estructurada de identificar, evaluar y abordar vulnerabilidades que podrían poner en riesgo su organización. En lugar de reaccionar ante incidentes, este enfoque proactivo admite la toma de decisiones más inteligente y la resistencia a largo plazo. Proporciona a los equipos una comprensión más clara de las posibles amenazas y ayuda a priorizar los pasos necesarios para reforzar las defensas, proteger los datos confidenciales y cumplir los requisitos normativos.

Puntos clave

Una evaluación de riesgos de ciberseguridad ayuda a las organizaciones a identificar, evaluar y reducir de forma proactiva vulnerabilidades en sistemas, personas y procesos.
Las evaluaciones periódicas admiten el cumplimiento, minimizan las interrupciones y guían las inversiones más inteligentes en controles de seguridad.
Entre los pasos clave se incluyen la definición del ámbito, la identificación de recursos, la evaluación de amenazas y vulnerabilidades, la evaluación de controles y la priorización de los riesgos.
El uso de marcos comunes como NIST y MITRE ATT&CK® garantiza que las evaluaciones sean coherentes, escalables y accionables.
Las evaluaciones de riesgos deben ser continuas, con conclusiones integradas en el planeamiento empresarial y actualizadas continuamente a medida que cambian los sistemas y los riesgos.

La importancia de una evaluación de riesgos de ciberseguridad

Con una escasez de experiencia en seguridad y un aumento de las amenazas basadas en la nube y la inteligencia artificial, una evaluación de riesgos de ciberseguridad proporciona a las organizaciones una visión más clara de dónde se encuentra y lo que necesita atención antes de que se produzca un incidente.

Este es el motivo por el que es importante:

Potencia la seguridad proactiva. Identificar los riesgos con antelación ayuda a evitar costosos tiempos de inactividad, pérdida de datos e interrupciones empresariales.
Protege los datos confidenciales. Al comprender dónde reside la información confidencial y cómo podría exponerse, puede aplicar las protecciones adecuadas antes de que se produzca un incidente.
Admite el cumplimiento. Muchas normativas, como la Reglamento general de protección de datos (RGPD), la Ley de transferencia y responsabilidad de seguros de salud (HIPAA) y la Ley Sarbanes-Oxley (SOX), requieren evaluaciones de riesgos como parte de los esfuerzos de cumplimiento continuos.
Guía la inversión inteligente. Muestra a las organizaciones dónde centrar el tiempo y los recursos, en lugar de adivinar o reaccionar después de un ataque.
Reduce los errores humanos y sistémicos. Al descubrir brechas en las directivas, los procesos y el aprendizaje, ayuda a minimizar los errores que provocan infracciones.
Genera resistencia y confianza. Las evaluaciones periódicas refuerzan su capacidad para responder y recuperarse, y muestran a los clientes, asociados y reguladores que se toma la seguridad en serio.

Componentes clave de una evaluación de riesgos de ciberseguridad

Una evaluación completa del riesgo de ciberseguridad evalúa varias capas de la posición de seguridad de una organización, desde la infraestructura técnica hasta los factores humanos. Esto permite a las organizaciones identificar sistemáticamente los riesgos y desarrollar estrategias dirigidas para mitigarlos.

Elementos básicos de una evaluación de riesgos de ciberseguridad

Una evaluación de riesgos bien estructurada incluye varios pasos esenciales:

1. Definición del ámbito

Una evaluación de riesgos de ciberseguridad comienza con la definición del ámbito. Esto significa identificar exactamente qué parte de la organización se evaluará, ya sea una unidad de negocio específica, una aplicación o todo el entorno de TI empresarial. Un ámbito claro evita puntos invidentes y ayuda a mantener el foco. Debe incluir:

Infraestructura física como servidores, escritorios, dispositivos móviles y puntos de conexión de IoT.
Sistemas de software, como herramientas internas, plataformas en la nube, aplicaciones de terceros y bases de datos.
La capa de red, incluida la segmentación, el acceso remoto y los servicios orientados externamente.
Personas, incluidos los roles de usuario, los niveles de acceso y las actividades digitales de empleados, contratistas y proveedores.

2. Identificación de recursos

Una vez establecido el ámbito, el siguiente paso es identificar los recursos. Esto implica catalogar todo el valor dentro del ámbito definido que admite operaciones empresariales. Los recursos incluyen:

Hardware físico como portátiles, servidores, enrutadores y dispositivos de almacenamiento.
Sistemas de software como sistemas operativos, aplicaciones de línea de negocio, herramientas de seguridad y código personalizado.
Infraestructura de red, incluidos puntos de acceso inalámbricos, VPN, firewalls y sistemas DNS.
Personas, como miembros del personal, administradores, usuarios de terceros y sus credenciales de identidad y acceso asociadas.

Cada recurso debe clasificarse en función de lo crítico que sea para la empresa.

3. Identificar amenazas

Una amenaza es cualquier evento, actor o condición potencial que podría causar daños aprovechando una vulnerabilidad en un sistema, red, aplicación o proceso. Es lo "que podría ir mal" en un escenario de riesgo.

Las amenazas pueden ser:

Intencionadamente, como un ciberdelincuencia que inicia un ataque de suplantación de identidad (phishing) o un usuario interno que utiliza incorrectamente su acceso.
Accidental, como un firewall mal configurado o un empleado que envía datos confidenciales a la persona equivocada.
De origen ambiental, como incendios, inundaciones o cortes de energía que interrumpen las operaciones o dañan los equipos.

Pueden dirigirse a hardware (como robar un portátil), software (aprovechar un error en una aplicación), redes (interceptar tráfico sin cifrar) o personas (engañar a los usuarios para que compartan contraseñas).

4. Evaluación de vulnerabilidades

Una vulnerabilidad es un punto débil en un sistema, aplicación, proceso o comportamiento humano que una amenaza podría aprovechar para causar daños o resultados no autorizados. Es la parte de la situación de riesgo en la que "podrían salir mal las cosas".

Las vulnerabilidades pueden aparecer de muchas maneras:

Hardware. Portátiles sin cifrar, firmware obsoleto o puertos no seguros.
Software. Aplicaciones sin revisiones, credenciales predeterminadas o código que no es seguro.
Redes. Puertos abiertos, cifrado débil o segmentación deficiente.
Factores humanos. Contraseñas reutilizadas, falta de entrenamiento o privilegios de acceso excesivos.

Una vulnerabilidad no conduce automáticamente a un incidente, pero cuando se combina con una amenaza relevante, abre la puerta al riesgo. Por ejemplo, un servidor web que ejecuta software obsoleto es vulnerable. Si un actor de amenazas busca esa vulnerabilidad y la aprovecha, la organización podría enfrentarse a una vulneración de datos.

5. Evaluación de los controles existentes

Una vez identificadas las amenazas y vulnerabilidades, es el momento de evaluar los controles actualmente en vigor para mitigarlos. Los controles se dividen en tres tipos generales:

Preventivo. Como firewalls, software antivirus y autenticación multifactor.
Detective. Incluidos los sistemas de detección de intrusiones y las herramientas de administración de eventos e información de seguridad (SIEM).
Correctivo. Algunos ejemplos son las copias de seguridad y los planes de recuperación ante desastres.

Es importante evaluar la cobertura en:

Hardware. ¿Existen medidas de seguridad físicas como el acceso a distintivos, el cifrado de dispositivos o los procedimientos de eliminación segura?
Software. ¿Se aplican las prácticas de administración de revisiones y desarrollo seguro?
Redes. ¿Segmenta el tráfico, registra adecuadamente y usa TLS para las comunicaciones cifradas?
Personas. ¿El personal está formado en el reconocimiento de la suplantación de identidad? ¿Las directivas de acceso siguen el principio de privilegios mínimos?

Esta evaluación proporciona información sobre la eficacia de las defensas actuales y dónde permanecen las brechas.

6. Identificar la probabilidad y el impacto

Para cada escenario de riesgo identificado, calcule:

Probabilidad. ¿Qué probabilidad tiene la amenaza, dados los controles actuales?
Impacto. ¿Qué ocurriría si se realizara correctamente: pérdida financiera, exposición de datos, tiempo de inactividad?

Tenga en cuenta la interrupción del negocio, las infracciones normativas, los daños en la reputación y los costes operativos. Los errores de hardware o de red, por ejemplo, pueden provocar interrupciones generalizadas, mientras que un ataque de suplantación de identidad (phishing) podría provocar la pérdida de datos a través de credenciales en peligro.

7. Cálculo del riesgo

Ahora combine la probabilidad y el impacto para determinar una clasificación de riesgo para cada escenario.

Por ejemplo:

Escenario de riesgo	Probabilidad	Impacto	Nivel de riesgo
Ransomware en servidores obsoletos	Alto	Alto	Crítico
Regla de firewall mal configurada	Medio	Medio	Moderado
Filtros de omisión de correo de suplantación de identidad (phishing)	Alto	Bajo	Moderado

Esto ayuda a priorizar qué problemas requieren atención urgente y cuáles son aceptables o tolerables.

8. Recomendar mitigaciones

Para cada riesgo alto o crítico, sugiera acciones para reducirlo. Las recomendaciones pueden incluir:

Hardware. Aplique el almacenamiento cifrado, proteja la configuración de arranque y bloquee los puertos no usados.
Software. Implemente revisiones periódicas y use herramientas de análisis de código en la canalización de desarrollo.
Redes. Introduzca la segmentación de red e implemente sistemas de prevención de intrusiones.
Personas. Amplíe el aprendizaje de reconocimiento de la seguridad y aplique controles de acceso y verificación de identidad más seguros.

Las recomendaciones deben equilibrar la reducción de riesgos con el coste, la complejidad y el impacto en la facilidad de uso.

9. Documento e informe

Una evaluación de riesgos exhaustiva debe documentarse claramente y compartirse con las partes interesadas en varios niveles. El informe normalmente incluye un resumen de alto nivel para ejecutivos, conclusiones técnicas detalladas para equipos de TI y seguridad, y elementos de acción prioritarios. Los elementos visuales como mapas térmicos, diagramas de arquitectura y tablas a menudo ayudan a comunicar riesgos complejos de forma más eficaz. La documentación debe incluir un inventario de recursos, amenazas y vulnerabilidades identificadas, controles actuales, clasificaciones de riesgo y mitigaciones recomendadas. El informe también debe especificar quién es responsable de cada acción y cuándo se planean las evaluaciones de seguimiento. La transparencia y la claridad le ayudarán a proteger la compra y alinear a los equipos.

10. Revisar y repetir

Las evaluaciones de riesgos no son únicas, sino que forman parte de un ciclo continuo. La tecnología evoluciona, los procesos empresariales cambian y surgen nuevas amenazas constantemente. Estas son algunas sugerencias para ayudarle a mantenerse resistente y preparado.

Programe evaluaciones periódicas (trimestrales, anuales o después de cambios importantes).
Automatice siempre que sea práctico (examen continuo de vulnerabilidades, supervisión de puntos de conexión).
Ajuste los controles a medida que surjan nuevos riesgos, especialmente en torno al trabajo remoto, las dependencias de la cadena de suministro o las herramientas de inteligencia artificial generativas.

Métodos para llevar a cabo una evaluación de riesgos de ciberseguridad

Las evaluaciones de riesgos de ciberseguridad se basan en una combinación de herramientas automatizadas y técnicas manuales para identificar y analizar vulnerabilidades. Entre los enfoques comunes se incluyen:

Herramientas de digitalización automatizadas que identifican brechas de seguridad en redes, puntos de conexión y entornos en la nube.
Pruebas de penetración que simulan ciberataques reales para probar las defensas de seguridad.
Auditorías de seguridad que evalúan las directivas de seguridad, el cumplimiento y los controles de gobernanza.
Análisis de comportamiento que supervisa la actividad digital de las personas en busca de anomalías que podrían indicar amenazas internas o cuentas en peligro.

El uso de varios métodos ayuda a garantizar una evaluación exhaustiva que captura los riesgos técnicos y relacionados con las personas.

Marcos y estándares del sector

Para mantener la coherencia y el cumplimiento, las evaluaciones de riesgos de ciberseguridad a menudo siguen los marcos establecidos, como:

El Marco de ciberseguridad de NIST lo elabora el National Institute of Standards and Technology, una agencia gubernamental de Estados Unidos no reguladora, y ofrece directrices para identificar, proteger, detectar, responder y recuperarse de las ciberamenazas.
ISO/IEC 27001 establece un estándar internacional para los sistemas de administración de la seguridad de la información.
CIS Controls describe las mejores prácticas para proteger los entornos de TI.

Ventajas y desafíos de una evaluación de riesgos de ciberseguridad

La realización de evaluaciones periódicas de riesgos de ciberseguridad es un movimiento estratégico que respalda los objetivos de seguridad y las prioridades empresariales. Aunque el proceso conlleva desafíos, las ventajas superan con creces las dificultades.

Beneficios

Cuando se realizan de forma coherente, las evaluaciones de riesgos de ciberseguridad ayudan a las organizaciones a reforzar las defensas y crear resistencia a largo plazo. Las ventajas clave incluyen:

Mejora de la posición de seguridad. Las evaluaciones periódicas ayudan a identificar y solucionar los puntos débiles antes de que los atacantes puedan aprovecharlos. Esto conduce a un marco de seguridad más sólido y con capacidad de respuesta.
Cumplimiento normativo. Muchos sectores son necesarios para cumplir los estándares de ciberseguridad. Las evaluaciones de riesgos admiten el cumplimiento de normativas como el GDPR y HIPAA.
Protección proactiva. Las evaluaciones ayudan a los equipos a detectar vulnerabilidades con antelación, evitar infracciones y minimizar los posibles daños. Esto es más eficaz y rentable que reaccionar después de un incidente.
Administración de recursos y costes. Al priorizar los riesgos más críticos, las organizaciones pueden hacer un uso más inteligente de los presupuestos, el personal y las herramientas. Las evaluaciones de riesgos ayudan a garantizar que los recursos se asignan a las áreas más importantes.

Desafíos comunes

A pesar de su valor, las evaluaciones de riesgos de ciberseguridad pueden presentar dificultades, especialmente para organizaciones o equipos en crecimiento con una experiencia limitada. Algunos desafíos comunes incluyen:

Falta de conocimientos internos. Muchos equipos no tienen la combinación adecuada de aptitudes para evaluar entornos complejos.
Restricciones de tiempo y recursos. Las evaluaciones exhaustivas requieren esfuerzo, coordinación y un proceso claro, que puede ser difícil sin un soporte dedicado.
Ejecución incoherente. Sin un enfoque o marco estandarizados, las evaluaciones pueden variar en calidad y ámbito.
Mantener el ritmo del cambio. Las nuevas tecnologías, los entornos en la nube y los modelos de trabajo híbridos presentan complejidad continua.
Varias herramientas de seguridad dispares. Evaluar el riesgo puede ser difícil para las organizaciones que usan muchas herramientas de seguridad que no están bien integradas.

Abordar estos desafíos a menudo requiere la incorporación de conocimientos externos, la adopción de la automatización o el uso de herramientas y marcos estandarizados.

El coste de omitir las evaluaciones de riesgos

Aunque puede ser difícil, es importante empezar a implementar un proceso eficaz de evaluación de riesgos de ciberseguridad. No realizar evaluaciones periódicas puede tener consecuencias graves. Sin visibilidad de los riesgos en evolución, las organizaciones se enfrentan a:

Mayor riesgo de vulneraciones de datos. Las vulnerabilidades sin revisiones y las configuraciones incorrectas se convierten en puertas abiertas para los atacantes.
Pérdidas financieras. Las infracciones suelen conllevar costes elevados, como una menor productividad, tiempo de inactividad y pérdida de negocio.
Penalizaciones legales y reglamentarias. El incumplimiento de la normativa de privacidad y protección de datos puede dar lugar a infracciones o acciones legales.
Daños en la reputación. Los clientes y asociados pierden la confianza rápidamente después de un incidente de seguridad.

Procedimientos recomendados para llevar a cabo una evaluación de riesgos de ciberseguridad

Una evaluación de riesgos de ciberseguridad solo es tan fuerte como el proceso subyacente. Los siguientes procedimientos recomendados ayudan a garantizar que las evaluaciones sean eficaces, repetibles y estén alineadas con las prioridades empresariales.

Empezar con objetivos claros

Antes de profundizar, es importante definir lo que debe lograr la evaluación. Esto podría significar la identificación de recursos críticos y posibles amenazas, el cumplimiento de los requisitos de cumplimiento, la reducción de la probabilidad de incidentes o la inversión en seguridad futura. Establecer objetivos claros por adelantado ayuda a garantizar que la evaluación se mantenga centrada, relevante y procesable durante todo el proceso.

Implicar a las partes interesadas adecuadas

Una evaluación de riesgos no es solo una tarea de TI, sino que necesita la entrada de toda la organización. Los equipos de seguridad y TI aportan los conocimientos técnicos, mientras que los legales y de cumplimiento ofrecen orientación sobre los riesgos normativos. Las operaciones y los recursos humanos pueden resaltar las preocupaciones de los procesos y del personal, mientras que la dirección ejecutiva es responsable de la alineación con los objetivos empresariales. La inclusión de varias perspectivas ayuda a garantizar que la evaluación captura una gama completa de riesgos, desde configuraciones incorrectas de software hasta comportamiento humano.

Decidir entre la evaluación interna o externa

No hay un único mejor enfoque para llevar a cabo una evaluación de riesgos. Las evaluaciones internas tienden a ser más rentables y se benefician del conocimiento normativo, pero pueden perderse puntos invidentes o carecer de herramientas especializadas. Las evaluaciones externas ofrecen una perspectiva nueva e imparcial y una experiencia más profunda, aunque pueden ser más costosas y las personas que realizan la evaluación suelen estar menos familiarizados con los sistemas internos. Muchas organizaciones eligen un enfoque híbrido: el uso de equipos internos para revisiones periódicas y la incorporación de expertos externos para profundizar más o cuando el cumplimiento lo exige.

Elegir la estrategia de tratamiento de riesgos adecuada

Una vez identificados los riesgos, las organizaciones deben decidir cómo responder. Se pueden aceptar algunos riesgos si se encuentran dentro de la tolerancia de la empresa. Es posible que otros se eviten por completo eliminando el sistema o la actividad que los introduce. Los riesgos también se pueden transferir a terceros, como a través de seguros o contratos contractuales. Con frecuencia, las organizaciones deciden mitigar los riesgos mediante la aplicación de controles que reducen la probabilidad o el impacto en un nivel aceptable. La estrategia adecuada depende de los objetivos empresariales, el riesgo y los recursos disponibles.

Documento de todo

El mantenimiento de la documentación precisa es fundamental para el éxito a corto y largo plazo. Ayuda a las organizaciones a cumplir con las normativas del sector, realizar un seguimiento de los cambios y tendencias a lo largo del tiempo y tomar decisiones más rápidas y mejor informadas. Una buena documentación también simplifica las auditorías, simplifica las revisiones de seguridad y mantiene la continuidad incluso a medida que los equipos o sistemas evolucionan.

Actuar en función de los resultados

El valor de una evaluación de riesgos reside en cómo se usan los resultados. Las vulnerabilidades de alto riesgo deben abordarse primero y los pasos de corrección deben alinearse con objetivos de seguridad más amplios. Asigne la responsabilidad de cada acción, realice un seguimiento del progreso y vuelva a evaluar periódicamente para asegurarse de que las mejoras se realicen. Trate los resultados como parte de un proceso continuo(no un ejercicio único) y cree un seguimiento en su cultura de seguridad.

Evaluar con la frecuencia correcta

La tecnología evoluciona rápidamente y la actividad de amenazas también lo hace. Esto significa que las evaluaciones de riesgos deben realizarse más de una vez al año, especialmente en entornos de alto riesgo. Sectores como las finanzas y la asistencia sanitaria suelen reevaluar trimestral o semestralmente. Las empresas más pequeñas pueden hacerlo anualmente o después de cambios importantes en la infraestructura. Es posible que las empresas que están en la nube o que crezcan rápidamente necesiten evaluaciones aún más frecuentes para mantenerse al día con las superficies de ataque cambiantes. También es inteligente reevaluar después de grandes eventos, como fusiones, infracciones o actualizaciones normativas.

Tendencias emergentes en la evaluación de riesgos de ciberseguridad

Con el tiempo, las evaluaciones de riesgos de ciberseguridad serán más rápidas, continuas y más integradas con la toma de decisiones empresariales. Las evaluaciones tradicionales (manuales, periódicas y reactivas) están dando lugar a enfoques más inteligentes y en tiempo real que se adaptan a las amenazas y los entornos en evolución.

Las herramientas asistidas por inteligencia artificial desempeñarán un papel más importante mediante la automatización de tareas como la detección de recursos, el examen de vulnerabilidades y la puntuación de riesgos. Estas tecnologías admiten a los seres humanos al exponer patrones y ayudar a los equipos a responder más rápidamente.

Las evaluaciones de riesgos también serán más dinámicas. En lugar de ser casillas anuales o trimestrales, funcionarán como procesos continuos. Las organizaciones supervisarán continuamente su superficie expuesta a ataques, especialmente en entornos centrados en la nube, híbridos o altamente distribuidos, para que puedan identificar y reevaluar los riesgos a medida que cambien los sistemas.

También veremos más integración entre la ciberseguridad y la estrategia empresarial. A medida que los directivos y ejecutivos sean más conscientes del riesgo, el riesgo de ciberseguridad se tratará como un riesgo financiero o operativo, con métricas claras, propiedad definida y un puesto en la mesa. Las evaluaciones informarán no solo del gasto en seguridad, sino también del planeamiento empresarial, el diseño de productos y la transformación digital.

Por último, los factores humanos recibirán más atención. Los controles técnicos solo forman parte de la imagen: las organizaciones evaluarán y administrarán cada vez más los riesgos asociados al comportamiento, la cultura y la resistencia del personal. Esto significa evaluar no solo los sistemas y el software, sino también cómo trabajan las personas, cómo se toman las decisiones y cómo se adaptan los equipos bajo presión.

Soluciones de evaluación de riesgos de ciberseguridad

Para anticiparse a las amenazas emergentes e incorporar la ciberseguridad en las decisiones empresariales generales, incorpore una evaluación periódica de riesgos de ciberseguridad en sus operaciones de seguridad. Varias soluciones pueden ayudarle a establecer un proceso eficaz. Las soluciones de administración de eventos e información de seguridad (SIEM), como Microsoft Sentinel, ayudan a correlacionar eventos, identifican anomalías y priorizan las alertas con análisis integrados e inteligencia contra amenazas. Las soluciones de detección y respuesta extendidas (XDR) proporcionan una visibilidad profunda de las posibles rutas de ataque en los puntos de conexión, las identidades, el correo electrónico y las aplicaciones en la nube. La unión de SIEM y XDR en una solución SecOps unificada ayuda a los defensores a ver los riesgos en todo su patrimonio digital y a tomar medidas coordinadas más rápido. La inteligencia artificial para soluciones de ciberseguridad, como Microsoft Security Copilot, da sentido a las señales para exponer información y recomienda los pasos siguientes.

RECURSOS

Más información sobre las soluciones de ciberseguridad de Seguridad de Microsoft

Un hombre sosteniendo una pestaña y explicando algo a una mujer.

Solución

SecOps unificada y con tecnología de IA

Unifique las operaciones de seguridad en la prevención, la detección y la respuesta para una protección mejor y más adaptable.

Aprender más

Una persona sentada frente a un escritorio usa un equipo.

Portal de protección contra amenazas

Noticias sobre ciberseguridad e IA

Descubra las últimas tendencias y los procedimientos recomendados en cuanto a protección frente a ciberamenazas e IA para ciberseguridad.

Obtener los recursos más recientes

Un hombre con traje y lazo sentado en un escritorio con un portátil.

Informe

Informe de protección digital de Microsoft 2024

Adelántese al panorama de amenazas en evolución con investigación en profundidad y conclusiones procesables.

Obtener el informe

Una evaluación de riesgos de ciberseguridad suele implicar la identificación de recursos, la identificación de posibles amenazas y vulnerabilidades, el análisis de la probabilidad y el impacto de esas amenazas, la determinación de los niveles de riesgo y la selección de los tratamientos de riesgo adecuados. El proceso finaliza con la documentación y la implementación de estrategias de mitigación de riesgos, seguidas de la supervisión continua y la reevaluación periódica. Este enfoque estructurado ayuda a las organizaciones a administrar y reducir su exposición general al riesgo.
Una evaluación de riesgos de seguridad incluye una revisión del hardware, el software, las redes, los datos y los comportamientos de los usuarios para identificar posibles vulnerabilidades. También evalúa los controles de seguridad existentes, evalúa el posible impacto de varias amenazas y recomienda acciones para reducir o administrar los riesgos. El objetivo es obtener visibilidad de las brechas de seguridad y priorizar los recursos de forma eficaz.
La evaluación de riesgos de NIST se refiere a la metodología descrita por el National Institute of Standards and Technology en su Special Publication 800-30, Revision 1. Proporciona un marco para identificar, evaluar y administrar los riesgos de ciberseguridad entre agencias federales y organizaciones del sector privado. El modelo NIST se adopta ampliamente por su enfoque estructurado y repetible para el análisis de riesgos.