Matriz de riesgos de TI en una tarde: método simple

Una matriz de riesgos es una tabla que ordena lo que podría salir mal, qué tan probable es, cuánto dañaría y qué se hará al respecto. Con un método simple puede armarse en pocas horas y sirve para decidir en qué invertir primero.

• El riesgo se estima como probabilidad por impacto, en una escala simple.
• Una matriz útil es breve, tiene responsables y se revisa periódicamente.
• Sirve para priorizar, no para generar papeles.

El método

Se asigna a cada riesgo un valor de probabilidad y otro de impacto, por ejemplo del 1 al 5, y se multiplican. El resultado permite ordenar la lista: lo más alto se atiende primero. La escala debe ser comprensible para todos y aplicarse con el mismo criterio a cada fila.

Paso a paso para una tarde de trabajo

1. Reunir a las personas adecuadas. Gerencia, quien administra la tecnología y alguien de la operación diaria.
2. Listar los activos críticos. Correo, sistema de gestión, información de clientes, sitio web, equipos clave.
3. Anotar amenazas por activo. Ejemplos: acceso no autorizado, pérdida de datos, falla de un proveedor, error humano.
4. Puntuar. Probabilidad e impacto, en conjunto y sin extenderse en debates.
5. Registrar controles existentes y faltantes. Qué protege hoy cada activo y qué se necesita.
6. Asignar responsable y plazo de revisión. Sin responsable, la matriz queda en un archivo.

Cómo usar el resultado

Los riesgos más altos se tratan con controles, se transfieren (por ejemplo, a un proveedor con respaldo contractual) o se aceptan de forma explícita; esto último se trata en Aceptar un riesgo también es una decisión. La matriz también orienta qué escenarios requieren un playbook de incidentes.

Qué hacer

• Limitar la primera versión a los activos que sostienen la operación.
• Usar una escala de cinco niveles y definirla por escrito.
• Guardar la matriz con fecha y versión.
• Revisarla al menos una vez al año y cuando cambien los sistemas o proveedores.
• Compartir los resultados con la gerencia en términos de negocio.

Preguntas frecuentes

¿Necesito una herramienta especial? No; una planilla es suficiente para comenzar.

¿Quién debe puntuar los riesgos? Un grupo pequeño que combine visión de negocio y conocimiento técnico, para evitar sesgos.

¿La matriz reemplaza a una auditoría? No. Es un instrumento de gestión interna; una auditoría evalúa otras cosas.

Al acompañar a nuestros clientes, usamos la matriz de riesgos como base para priorizar controles y excepciones.

IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.