Evaluación de riesgos
Comprender los riesgos de ciberseguridad para las operaciones y los activos.
Evaluación de riesgos se define por los resultados de NIST CSF 2.0 ID.RA-03 (Internal and external threats to the organization are identified and recorded); ID.RA-04 (Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded); ID.RA-05 (Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization); ID.RA-06 (Risk responses are chosen, prioritized, planned, tracked, and communicated). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS, CMMC, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en SOC 2, GDPR, DORA y CPS 234. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para CIS v8.1, Essential Eight y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Internal and external threats to the organization are identified and recorded; Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded; Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization… | Definición del tema | ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Information security risk assessment; Information security risk treatment | Correspondencia | Clause 6.1.2: via ID.RA-03; ID.RA-04; ID.RA-05; NIST 800-53 map: RA-3 Clause 6.1.3: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CIS v8.1 está asignado a este tema en nuestros datos. |
| SOC 2 | CC3.2CC3.4CC3.3 | Risk identification and analysis; Identifying and assessing significant changes; Considering the potential for fraud | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Correspondencia | 12.3.1: via ID.RA-03; ID.RA-04; ID.RA-05 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | Correspondencia | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ ID.RA-03, ID.RA-04, ID.RA-05 → RA-3; 800-171r2 Appendix D → RA-3 |
| 800-53 | RA-3RA-7 | Risk Assessment; Risk Response | Correspondencia | RA-3: via ID.RA-03; ID.RA-04; ID.RA-05 RA-7: via ID.RA-05; ID.RA-06 |
| HIPAA | §164.308(a)(1)(ii)(A) | Risk Analysis | Correspondencia | §164.308(a)(1)(ii)(A): via NIST HIPAA map: RA-3 |
| GDPR | Art.35(1)Art.35(7) | Data protection impact assessment; Data protection impact assessment | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.1 | Risk management framework | Correspondencia | 2.1: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; ENISA ISO map: Clause 6.1.2, Clause 6.1.3 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | Art.8(2)Art.8(3)Art.8(7) | Identification; Identification; Identification | Editorial | Art.8(2): Continuously identify sources of ICT risk and assess cyber threats and vulnerabilities; review risk scenarios at least yearly. Art.8(3): Perform a risk assessment on each major change to infrastructure, processes or procedures. Art.8(7): Assess the ICT risk of legacy systems at least yearly. |
| CPS 234 | Para 21Para 17 | Timely controls commensurate with risk and asset life-cycle; Keep capability current as threats and vulnerabilities change | Editorial | Para 21: Controls must be commensurate with vulnerabilities, threats, criticality and potential consequences: a risk-based basis. Para 17: Keep the security capability current as vulnerabilities and threats change. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Evaluación de riesgos
Las evaluaciones de riesgos proporcionan una valoración estructurada de las amenazas, las vulnerabilidades y los posibles impactos sobre los activos y las operaciones de la organización. Los profesionales suelen emplear metodologías cualitativas o cuantitativas para puntuar los riesgos, y recurren a herramientas como escáneres de vulnerabilidades, pruebas de penetración y modelado de amenazas para recopilar datos. ISO 27001 exige realizar evaluaciones de riesgos a intervalos planificados y tras cambios significativos (8.2), y HIPAA exige un análisis de riesgos preciso y exhaustivo que se mantenga actualizado; los hallazgos deben hacerse seguimiento hasta su tratamiento.