Tras implementar un control, ¿ha desaparecido el riesgo?
Respuesta breve
No. Los controles reducen el riesgo, rara vez lo eliminan. NIST define el riesgo residual como la parte del riesgo que permanece tras aplicar las medidas de seguridad. Ese remanente debe medirse, registrarse en el registro de riesgos y ser aceptado formalmente por el propietario del riesgo o reducirse más. Dar un riesgo por cerrado porque existe un control oculta fallos de control, brechas y nuevas amenazas.
Los nuevos analistas de GRC suelen marcar un riesgo como cerrado en cuanto se entrega una mitigación. El registro debería decir algo más cuidadoso.
La definición
El glosario de NIST, citando entre otros NIST SP 800-30 Rev. 1, define el riesgo residual como la parte del riesgo que permanece después de aplicar las medidas de seguridad. NISTIR 8286 lo expresa como el riesgo que queda tras documentar y ejecutar las respuestas al riesgo.
Qué hacer con él
- Reevaluar probabilidad e impacto suponiendo que el control funciona como se diseñó.
- Registrar el valor residual junto al inherente en el registro de riesgos.
- Decidir: el propietario responsable lo acepta formalmente o se aplica más tratamiento (más controles, transferencia, evitación).
- Revisar periódicamente, porque los controles se degradan y las amenazas cambian.
Por qué fallan los distractores
El riesgo no baja a cero solo porque exista un control, y el tipo de control (técnico, política, proceso) no es lo que lo determina. Decir que el riesgo se duplica es una exageración sin base: un control bien diseñado reduce el riesgo.
Qué buscan los entrevistadores
Un «no, queda riesgo residual» claro, junto con el hábito de documentarlo y lograr que un propietario lo acepte.
Posibles preguntas de seguimiento
- ¿En qué se diferencian el riesgo inherente y el residual, y cuándo se evalúa cada uno?
- ¿Quién puede aceptar el riesgo residual y qué debe contener el registro?
- ¿Cómo comprobarías que un control reduce realmente el riesgo como se supone?