Gobierno, Evaluación y Respuesta al Riesgo en TI: Un Enfoque Integral

Gobierno de Riesgo (RG)

Objetivo: Garantizar que las tecnologías de administración de riesgos están asignadas en la empresa.

RG1: Marco y Métodos de Gestión de Riesgo

• RG1.1: Desarrollar el marco específico de gestión de riesgo.
• RG1.2: Desarrollar métodos de gestión de riesgo.
• RG1.3: Evaluación de riesgo.
• RG1.4: Establecer umbrales de tolerancia al riesgo.
• RG1.5: Aprobar umbrales de tolerancia.
• RG1.6: Alinear políticas y normas de TI con los umbrales de riesgo.

RG2: Interacción con la Administración de Riesgos Empresariales (ERM)

• RG2.1: Establecer la rendición de cuentas de riesgo de TI en toda la empresa.
• RG2.2: Coordinar estrategias de riesgo de TI con la estrategia de riesgo empresarial.
• RG2.3: Adaptar las prácticas de riesgo de TI con las prácticas de riesgo empresarial.
• RG2.4: Proporcionar recursos para la gestión de riesgos.
• RG2.5: Garantizar la supervisión de riesgo.

RG3: Gestión y Toma de Decisiones

• RG3.1: Ganancia de la gestión.
• RG3.2: Aprobación del análisis de riesgo.
• RG3.3: Incorporar riesgo de TI en la toma de decisiones de negocio.
• RG3.4: Aceptar los riesgos de TI.
• RG3.5: Priorizar respuestas al riesgo.

Evaluación de Riesgo (RE)

Objetivo: Identificar los datos pertinentes para hacer viable la identificación, análisis y reporte de riesgo.

RE1: Recolección de Datos

• RE1.1: Establecer el método de recolección de datos.
• RE1.2: Recopilar datos sobre eventos de entorno.
• RE1.3: Recopilar datos sobre eventos de riesgo.
• RE1.4: Identificar factores de riesgo.

RE2: Análisis y Respuesta al Riesgo

• RE2.1: Definir alcance del análisis del riesgo.
• RE2.2: Estimación de riesgo.
• RE2.3: Respuesta al riesgo.
• RE2.4: Revisar resultados de análisis de riesgo.

RE3: Recursos TI y Escenarios de Riesgo

• RE3.1: Mapeo de recursos de TI para el proceso de negocio.
• RE3.2: Determinar criticidad de recursos de TI.
• RE3.3: Entender la capacidad de TI.
• RE3.4: Actualizar escenarios de riesgo.
• RE3.5: Mantener registros de riesgo.
• RE3.6: Diseñar y comunicar indicadores de riesgo.

Respuesta de Riesgo (RR)

Objetivo: Asegurarse de que en TI los riesgos se tratan de manera rentable en la línea con las prioridades del negocio.

RR1: Informe y Oportunidades

• RR1.1: Informe de los resultados de análisis de riesgo.
• RR1.2: Informe de las actividades de gestión de riesgo.
• RR1.3: Interpretar resultados.
• RR1.4: Identificar oportunidades relacionadas.

RR2: Control y Supervisión

• RR2.1: Controladores de inventarios.
• RR2.2: Supervisar los umbrales de tolerancia al riesgo.
• RR2.3: Responder al riesgo/oportunidad.
• RR2.4: Implementar controles.
• RR2.5: Informe de proceso del plan de acción.

RR3: Planes de Respuesta y Lecciones Aprendidas

• RR3.1: Planes de respuesta a incidentes.
• RR3.2: Supervisión de riesgo de TI.
• RR3.3: Iniciar planes de respuesta.
• RR3.4: Comunicar las lecciones aprendidas.