Un modelo de riesgo es el método con el que una organización identifica sus activos, las amenazas que los afectan, la probabilidad de que ocurran y el impacto que tendrían, para decidir qué proteger primero y cuánto invertir. Es el punto de partida de normas como ISO 27001 y del análisis de riesgos que exige un SGSI.
Cómo lo resolvemos en TecnetOne: Consultoría en ciberseguridad
análisis de riesgos, gestión de riesgos, evaluación de riesgos, matriz de riesgos, ISO 27005
Términos relacionados
Métricas de ciberseguridad (KPI y KRI)
Los KPI (Key Performance Indicators, indicadores clave de desempeño) y los KRI (Key Risk Indicators, indicadores clave de riesgo) son las métricas con las que una empresa mide su ciberseguridad. Los KPI muestran qué tan bien funcionan los controles, como el tiempo promedio de respuesta a incidentes; los KRI anticipan riesgos, como el porcentaje de equipos sin parches críticos.
SAST y DAST
SAST (pruebas estáticas de seguridad de aplicaciones) revisa el código fuente de una aplicación sin ejecutarla para encontrar fallas, como contraseñas escritas en el código o datos de entrada sin validar. DAST (pruebas dinámicas de seguridad de aplicaciones) analiza la aplicación ya en funcionamiento, desde fuera, como lo haría un atacante. Se complementan: SAST detecta fallas temprano y DAST muestra cuáles son explotables.
EOL (fin de soporte)
El fin de soporte, o EOL (end of life, en inglés), es la fecha a partir de la cual el fabricante deja de publicar actualizaciones y parches de seguridad para un software o equipo. El producto sigue funcionando, pero las fallas nuevas ya no se corrigen. Windows 10, por ejemplo, llegó a esa etapa el 14 de octubre de 2025, salvo con actualizaciones extendidas contratadas.
Modelado de amenazas (threat modeling)
El modelado de amenazas (threat modeling) es un ejercicio estructurado para identificar, antes de construir o cambiar un sistema, qué podría atacarse, cómo y con qué impacto, y decidir qué controles lo evitan. Por ejemplo, al diseñar un portal de clientes se revisa cómo se autentican los usuarios y por dónde viajan sus datos. Conviene repetirlo cada vez que el sistema cambia.
Análisis de brechas (gap analysis)
Un análisis de brechas (gap analysis) es una evaluación que compara el estado actual de la seguridad de una empresa con lo que exige una norma o un objetivo, como la ISO 27001 o el estándar de pagos con tarjeta PCI DSS, para identificar qué controles faltan o están incompletos. El resultado es una lista priorizada de acciones para planear la certificación.
ISO 27701
La ISO/IEC 27701 es una norma internacional para gestionar la privacidad de los datos personales dentro de una organización. Nació como extensión de la ISO 27001 y agrega controles para quien decide sobre los datos (responsable) y para quien los procesa por encargo (encargado). Sirve como evidencia de buenas prácticas ante leyes de privacidad, como la ley mexicana de protección de datos personales.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.