Las opciones para el tratamiento del riesgo se deberían seleccionar con base en el resultado de la

evaluación del riesgo, el costo esperado para implementar estas opciones Cuando se pueden
obtener reducciones grandes en los riesgos con un costo relativamente bajo, se deberían
implementar esas opciones. razonablemente viable e independientemente de cualquier criterio
absoluto. deberían tomar en consideración los riesgos raros pero graves. necesario implementar
controles que nos son justificables en términos estrictamente Las cuatro opciones para el
tratamiento del riesgo no se excluyen mutuamente. opciones tales como la reducción de la
probabilidad de los riesgos, reducción de sus Algunos tratamientos de los riesgos pueden tratar
eficazmente más de un riesgo ( por Conviene definir un plan para el tratamiento del riesgo que
identifique con claridad el orden de prioridad en el cual se deberían implementar los tratamientos
individuales, así técnicas, que incluyen clasificación del riesgo y análisis de costo - beneficio. de la
implementación de los controles y la asignación de presupuesto. Si se considera la eliminación de
controles redundantes o necesarios ( especialmente si los controles tienen altos costos de
mantenimiento ), es conveniente controles pueden tener influencia entre sí, la eliminación de los
controles redundantes Las opciones para el tratamiento del riesgo se deberían considerar
teniendo en cuenta : - cómo perciben el riesgo las partes afectadas ; El establecimiento del
contexto ( véase el numeral 7.2 - Criterios de evaluación del riesgo ) El riesgo para las
organizaciones es la falla en el cumplimiento y se recomienda implementar opciones de
tratamiento para limitar esta probabilidad. actividad de establecimiento del contexto se deberían
tomar en consideración durante el Una vez se ha definido el plan para el tratamiento del riesgo, es
necesario determinar los Esto implica una actualización o repetición de la evaluación del riesgo,
considerando los efectos esperados del tratamiento propuesto para tal riesgo. Si el riesgo residual
aún no satisface los criterios de aceptación del riesgo de la organización, puede ser necesaria otra
repetición del tratamiento del riesgo antes de proceder con la Mayor información se puede
encontrar en ISO/IEC 27002, numeral Salida : plan para el tratamiento del riesgo y riesgos
residuales sujetos a la decisión de 9.2 REDUCCIÓN DEL RIESGO Acción : el nivel del riesgo se
debería reducir mediante la selección de controles, de manera tal que el riesgo residual se pueda
revaluar como aceptable. Guía para la implementación : Se recomienda seleccionar controles
adecuados y justificados que satisfagan los requisitos identificados en la evaluación y el
tratamiento del riesgo. En esta selección se deberían tener en cuenta los criterios de aceptación
del riesgo así como nuevos requisitos los costos y el marco temporal para la implementación de
los controles, o los aspectos Con frecuencia es posible disminuir el costo total de la

Guía para la implementación : Guía para la implementación : La transferencia del riesgo involucra
una decisión para compartir algunos riesgos con las La transferencia del riesgo puede crear riesgos
nuevos o modificar los La transferencia se puede hacer mediante un seguro que dará soporte a las
consecuencias o mediante subcontratación de un asociado cuya función será monitorear Conviene
anotar que puede ser posible transferir la responsabilidad para la gestión del riesgo, pero
normalmente no es posible transferir la responsabilidad de un impacto. ACEPTACIÓN DEL RIESGO
EN LA SEGURIDAD DE LA INFORMACIÓN Entrada : plan para el tratamiento del riesgo y evaluación
del riesgo residual, sujetos a la decisión de aceptación de los directores de la organización. Guía
para la implementación : Guía para la implementación : Los planes para el tratamiento del riesgo
deberían describir la forma en que los riesgos evaluados se deben tratar, con el fin de satisfacer
los criterios de aceptación del riesgo ( véase numeral 7.2, Criterios de aceptación del riesgo ).
responsables revisen y aprueben los planes propuestos para el tratamiento del riesgo y Los
criterios de aceptación del riesgo pueden ser más complejos que sólo determinar si un riesgo
residual está o no por encima o por debajo de un solo umbral. En algunos casos, es posible que el
nivel del riesgo residual no satisfaga los criterios de aceptación del riesgo porque los criterios que
se aplican no toman en consideración las costo de la reducción del riesgo es demasiado alto.
criterios de aceptación del riesgo no son adecuados y, si es posible, se deberían revisar. No
obstante, no siempre es posible revisar los criterios de aceptación del riesgo de riesgos que no
satisfacen los criterios normales de aceptación. justificación para la decisión de hacer caso omiso
de los criterios normales de aceptación.