Una evaluación de riesgos de seguridad permite decidir qué proteger, frente a qué situaciones y con qué medidas, sin basarse solo en percepciones o en listas genéricas de peligros. El resultado útil no es un informe extenso, sino una visión priorizada de escenarios que relaciona activos, amenazas, vulnerabilidades, controles existentes, posibles consecuencias, responsables y fechas de revisión. Así se pueden asignar recursos de forma proporcional y justificar las decisiones tomadas.
El proceso de evaluación de riesgos de seguridad, paso a paso
Una evaluación de riesgos de seguridad es un proceso para entender qué puede afectar a los objetivos de una organización y decidir qué hacer al respecto. Su valor no está en asignar una puntuación por sí sola, sino en convertir información dispersa en decisiones trazables: qué riesgos requieren actuación inmediata, cuáles se pueden aceptar temporalmente y qué controles conviene mejorar.
El proceso debe ser proporcional al contexto. Una pequeña instalación puede trabajar con una reunión estructurada, una visita al lugar y un registro sencillo; una organización con varias sedes, procesos críticos o sistemas conectados necesitará entrevistas, evidencias, análisis por áreas y evaluaciones especializadas. En ambos casos, la lógica es la misma:
- Definir el alcance, los objetivos y los criterios de valoración.
- Identificar activos críticos y asignarles responsables.
- Construir escenarios de riesgo concretos.
- Analizar amenazas, vulnerabilidades y controles ya implantados.
- Estimar probabilidad e impacto con una escala coherente.
- Priorizar, tratar, aceptar, transferir o evitar los riesgos.
- Documentar decisiones, responsables, plazos y revisiones.
Conviene distinguir los conceptos desde el inicio. Una amenaza es una posible fuente de daño, intencionada o accidental; una vulnerabilidad es una debilidad que puede facilitar ese daño; el riesgo expresa el efecto de la incertidumbre sobre un objetivo; el impacto es la consecuencia si el escenario ocurre; un control reduce la probabilidad, el impacto o ambos; y el riesgo residual es el que permanece después de aplicar los controles.
Delimitar el alcance y los activos que deben protegerse
El alcance evita que la evaluación se convierta en una lista interminable o, en sentido contrario, que deje fuera una dependencia decisiva. Debe indicar qué sedes, procesos, horarios, personas, activos de información, proveedores y sistemas quedan incluidos. También debe aclarar el objetivo: proteger la continuidad de una operación, reducir intrusiones, preservar información sensible, mejorar la respuesta ante incidentes o una combinación de estos fines.
Después se identifican los activos. No son solo bienes de alto valor económico. Un activo puede ser una persona, una zona de acceso restringido, una llave o credencial, una carga, un servidor, una base de datos, un sistema de videovigilancia, un procedimiento operativo o la capacidad de atender al público.
La criticidad depende de las consecuencias de perder, alterar, divulgar, bloquear o dañar ese activo. Para evitar valoraciones abstractas, resulta útil asignar a cada uno un propietario o responsable que conozca su función y valide las consecuencias operativas.
- Personas: personal, visitantes, contratistas y usuarios expuestos.
- Instalaciones y bienes: edificios, perímetros, equipos, existencias y zonas críticas.
- Operación: procesos, suministros, comunicaciones y capacidad de continuidad.
- Información y sistemas: datos, dispositivos, aplicaciones, redes y copias de respaldo.
Seguridad física, electrónica, operativa y ciberseguridad se relacionan, pero no son intercambiables. Una puerta sin gestión de credenciales plantea un problema físico y operativo; un sistema de control de acceso conectado incorpora además componentes tecnológicos. La evaluación general debe detectar las interdependencias, mientras que los análisis técnicos profundos se realizan con criterios específicos de cada disciplina.
Convertir amenazas y vulnerabilidades en escenarios de riesgo
El paso decisivo consiste en dejar de escribir términos aislados como “robo”, “incendio”, “fallo de cámara” o “acceso no autorizado”. Esas expresiones describen amenazas o eventos, pero no explican qué está en juego ni permiten elegir una respuesta proporcionada.
Un escenario de riesgo conecta causa, debilidad, activo y consecuencia. Puede formularse así: “Si una persona no autorizada accede a una zona de expedición aprovechando una identificación deficiente de visitantes, podría retirar mercancía o interferir en la preparación de pedidos, con pérdidas y retrasos operativos”. Esta redacción obliga a comprobar qué controles existen, si funcionan y qué parte del problema sigue abierta.
Para cada escenario, conviene responder de forma concreta:
- ¿Qué activo o proceso podría resultar afectado?
- ¿Qué amenaza podría desencadenar el evento?
- ¿Qué vulnerabilidad o condición lo facilita?
- ¿Qué controles preventivos, detectivos y de respuesta están activos?
- ¿Qué consecuencias razonables tendría para personas, operación, información, patrimonio o reputación?
Los controles preventivos buscan evitar o dificultar el evento; los detectivos ayudan a identificarlo con rapidez; y los de respuesta limitan sus consecuencias y favorecen la recuperación. No basta con que un control exista en un procedimiento o en una instalación: debe estar configurado, mantenido, conocido por quien lo utiliza y verificado en condiciones reales de operación.
También conviene separar escenarios intencionados, accidentales, ambientales y derivados de fallos técnicos o de proveedores. Esta distinción mejora el análisis porque las causas, señales tempranas y medidas adecuadas no son las mismas.
Valorar probabilidad e impacto con criterios consistentes
La probabilidad y el impacto deben estimarse con criterios definidos antes de calificar cada escenario. Si “alto” significa una posibilidad frecuente para una persona y una posibilidad remota para otra, la matriz solo reflejará opiniones. La coherencia es más importante que una aparente precisión matemática.
La probabilidad puede considerar la exposición del activo, antecedentes relevantes, facilidad de ocurrencia, atractivo para una amenaza, dependencia de terceros y eficacia demostrada de los controles. No debe confundirse con la gravedad: un evento poco probable puede tener consecuencias muy severas.
El impacto puede evaluarse en varias dimensiones. Por ejemplo, daños a personas, interrupción de la actividad, pérdida económica, incumplimientos contractuales o regulatorios aplicables, afectación de la confidencialidad o integridad de la información y deterioro de la confianza. No todos los impactos deben agregarse automáticamente: en algunos contextos, la protección de las personas exige un umbral de decisión propio.
Una escala cualitativa de tres niveles suele ser suficiente para una primera evaluación:
- Probabilidad baja: requiere circunstancias poco habituales o varios fallos simultáneos.
- Probabilidad media: puede ocurrir bajo condiciones conocidas y plausibles.
- Probabilidad alta: existe exposición recurrente, señales previas o controles insuficientes.
- Impacto bajo: afecta de forma limitada y permite recuperación sencilla.
- Impacto medio: provoca una alteración relevante que exige recursos de recuperación.
- Impacto alto: puede comprometer a personas, activos críticos, continuidad o información sensible.
Las definiciones deben adaptarse al contexto y conservarse para futuras revisiones. Si cambian los criterios, debe quedar registrado para no comparar evaluaciones incompatibles.
Priorizar riesgos mediante una matriz útil y proporcionada
Una matriz de riesgos ordena los escenarios mediante la combinación de probabilidad e impacto. Es una herramienta de conversación y decisión, no una sustitución del juicio profesional. Su principal función es hacer visible dónde concentrar atención, recursos y seguimiento.
Con una matriz cualitativa de tres por tres, un escenario de probabilidad alta e impacto alto quedará normalmente en la prioridad superior. Uno de probabilidad baja e impacto bajo puede mantenerse bajo observación. Sin embargo, la decisión no debe depender solo del color o de una multiplicación de números. Hay riesgos que requieren tratamiento por su naturaleza, aunque la probabilidad estimada sea baja, especialmente cuando pueden afectar de forma grave a las personas o a funciones esenciales.
La priorización gana calidad cuando incorpora preguntas adicionales: ¿el riesgo supera el nivel que la organización está dispuesta a asumir?, ¿hay una obligación o compromiso que obliga a actuar?, ¿el control propuesto reduce realmente la causa principal?, ¿hay dependencias entre riesgos?, ¿la medida puede implantarse y mantenerse de forma fiable?
Un error frecuente es atender únicamente a lo que resulta más barato o más visible. Otro es calificar todos los riesgos como altos para lograr atención. Ambos enfoques destruyen la utilidad de la matriz. Priorizar implica aceptar que los recursos son finitos y dirigirlos primero a las exposiciones que justifican una intervención más rápida o más sólida.
Punto clave:
Una evaluación útil debe conservar la trazabilidad de los supuestos: información utilizada, fecha de la visita o entrevistas, límites del alcance y criterios de valoración. Si más adelante cambia la conclusión, ese registro permite distinguir si cambió el riesgo, si falló un control o si la valoración inicial partía de información incompleta. También facilita explicar las decisiones sin convertir la evaluación en un documento excesivamente complejo.
Elegir controles y decidir cómo tratar cada riesgo
Tras priorizar, cada riesgo debe recibir una decisión explícita. Las opciones habituales son reducirlo mediante controles, evitarlo cambiando o deteniendo la actividad que lo genera, transferir parte de sus consecuencias mediante acuerdos o mecanismos adecuados, o aceptarlo de forma informada cuando esté dentro del nivel tolerable. Transferir no elimina la responsabilidad de supervisar el riesgo.
Los controles deben responder al escenario analizado, no a un catálogo genérico de soluciones. Si la vulnerabilidad es una recepción sin verificación consistente de visitantes, una mejora puede combinar un procedimiento claro, formación, registro, supervisión y medios físicos o electrónicos adecuados. Instalar más tecnología sin resolver la gestión diaria puede crear una falsa sensación de seguridad.
Al elegir medidas, conviene valorar:
- La reducción esperada de probabilidad o impacto.
- La compatibilidad con la operación, la privacidad aplicable y las necesidades de las personas usuarias.
- La dependencia de energía, conectividad, configuración, mantenimiento o proveedores.
- La posibilidad de generar nuevas vulnerabilidades o cargas operativas.
- La capacidad de comprobar que el control funciona de forma sostenida.
Las capas de protección suelen ser más robustas que una única barrera: medidas organizativas, físicas, electrónicas y tecnológicas pueden complementarse. Aun así, una evaluación general no reemplaza un análisis especializado de ciberseguridad, ingeniería, protección contra incendios u otras materias cuando el escenario exige conocimientos técnicos específicos.
Documentar, asignar responsables y revisar la evaluación
La evaluación debe terminar en un registro que permita actuar y demostrar cómo se tomaron las decisiones. Para cada escenario, documente el activo afectado, la descripción del riesgo, amenazas y vulnerabilidades relevantes, controles actuales, valoración inicial, riesgo residual, tratamiento acordado, responsable, recursos necesarios, fecha objetivo e indicador de verificación.
Asignar un responsable no significa atribuirle toda la culpa ante un incidente. Significa que una persona o función tiene el encargo claro de coordinar la acción, confirmar avances y comunicar obstáculos. Sin responsable ni fecha, incluso una buena evaluación suele quedar archivada sin cambiar la exposición real.
La revisión debe ser periódica, pero también activarse ante cambios relevantes: apertura o cierre de instalaciones, modificaciones de horarios o flujos de personas, nuevos procesos, incidentes, incorporación de proveedores críticos, cambios tecnológicos, obras, alteraciones del entorno o fallos repetidos de un control.
La evidencia posterior es esencial. Una medida no se considera eficaz solo porque se haya aprobado o instalado. Debe comprobarse mediante pruebas permitidas y seguras, revisión de registros, mantenimiento, observación operativa, ejercicios de respuesta y retroalimentación de las personas implicadas. El objetivo es mantener una evaluación viva, capaz de reflejar el riesgo real y no únicamente el riesgo descrito el día en que se redactó.
Preguntas frecuentes
¿Cada cuánto tiempo conviene actualizar una evaluación de riesgos de seguridad?
Conviene actualizarla con una frecuencia acorde con la criticidad y la velocidad de cambio de la organización. Como práctica general, una revisión periódica ayuda a confirmar que los controles siguen siendo válidos, pero no debe esperarse a esa fecha si ocurre un incidente, cambia una instalación, se modifica un proceso relevante o aparece una nueva dependencia tecnológica o de proveedor.
También es útil revisar los riesgos tratados para comprobar si el riesgo residual se redujo como se esperaba. Si no existen cambios y los controles son estables, la revisión puede ser más ligera; si la actividad es dinámica o crítica, el seguimiento debe ser más frecuente.
¿Qué diferencia hay entre una evaluación de riesgos y una auditoría de seguridad?
La evaluación de riesgos identifica y valora escenarios que podrían afectar a los objetivos, con el fin de decidir prioridades y tratamientos. Una auditoría de seguridad, en cambio, examina si controles, procedimientos o requisitos definidos se están cumpliendo y si presentan desviaciones o deficiencias.
Ambas actividades se complementan. La evaluación puede indicar que el control de accesos es crítico; la auditoría puede comprobar después si las autorizaciones, registros, revisiones y prácticas de uso se aplican según lo previsto. Una auditoría no sustituye la decisión de qué riesgos son prioritarios, ni la evaluación sustituye la verificación independiente de los controles.
¿Es necesario usar una matriz numérica para evaluar los riesgos?
No. Una matriz numérica puede ayudar cuando hay muchos escenarios o se necesita comparar decisiones de forma repetible, pero asignar cifras no garantiza precisión. Una escala cualitativa bien definida suele ser más útil que una fórmula con valores arbitrarios.
Lo esencial es que los niveles de probabilidad e impacto tengan criterios comprensibles, que se apliquen de la misma forma y que las decisiones no dependan únicamente del resultado calculado. En riesgos complejos o especializados, puede ser necesario complementar la matriz con análisis técnicos, evidencias y juicio experto.
¿Quién debe participar en una evaluación de riesgos de seguridad?
Deben participar las personas que conocen los activos, la operación y las consecuencias de una interrupción o incidente. Normalmente intervienen responsables de dirección, operaciones, instalaciones, tecnología, seguridad, continuidad, recursos humanos y gestión de proveedores, según el alcance.
La participación del personal que trabaja en el proceso evaluado es especialmente valiosa porque puede identificar fallos cotidianos, excepciones y medidas que funcionan solo sobre el papel. Cuando existan riesgos técnicos relevantes, conviene incorporar especialistas. La diversidad de perspectivas reduce el sesgo de valorar el riesgo únicamente desde la seguridad o únicamente desde la operación.