Marco GRC Integral — UNIT-ISO/IEC 27002 · 27005 · 27035

Cuaderno personal que integra tres áreas de la especialización UNIT-ISO/IEC 27000: gobernanza y controles (27002:2022), gestión de riesgos (27005:2022) y gestión de incidentes (27035). Cada principio se apoya en un micro-caso ficticio que me inventé para anclar el concepto en algo concreto; no corresponde a ninguna empresa ni material de curso literal.

1. Visión de conjunto

El GRC es un ciclo continuo, no tres disciplinas aisladas:

            +------------------+        +-------------------+
            |   GOBERNANZA      |        |    RIESGO         |
            |   27002:2022      |        |   27005:2022      |
            |  políticas y      |+------>|  valoración de    |
            |  controles        |        |  activos/amenazas |
            +--------+---------+        +--------+----------+
                     ^                           |
                     |                           v
            +--------+---------+        +--------+----------+
            |  INCIDENTES      |        |  TRATAMIENTO del  |
            |   27035          |<-------+  riesgo (mitigar/ |
            | detección/resp.  |        |  evitar/aceptar)  |
            +------------------+        +-------------------+
                     |                              |
                     +--> lecciones aprendidas -----+

Lectura del ciclo: la gobernanza define qué debe protegerse y cómo (27002). Sobre eso se valora el riesgo: activos, amenazas, vulnerabilidades y el límite que la dirección está dispuesta a aceptar (27005). Cuando un control falla, entra la gestión de incidentes (27035): se detecta, se responde, se documenta. Y las lecciones aprendidas alimentan de vuelta la gobernanza y la matriz de riesgos. El incidente de hoy es el control de mañana.

Micro-casos ficticios que uso en el documento:

Esfera	Escenario inventado	Nombre
Gobernanza	Biofarmacéutica con laboratorio de I+D y casa matriz en el exterior; su valor está en la propiedad intelectual	NovaGenix
Riesgo	Administradora de servicios de salud con datos personales sensibles (PII) y operación "de papel"	Clínica Litoral
Incidente	Empresa de custodia y guarda documental tercerizada	Bóveda Central

2. Gobernanza y controles (UNIT-ISO/IEC 27002:2022)

Micro-caso NovaGenix: laboratorio biofarmacéutico centrado en I+D, con una oficina local y su casa matriz en otro país. Su tesoro no son los servidores: son las fórmulas y líneas de investigación.

2.1 La política no se copia: se construye desde el contexto

Analizar el contexto primero. Los activos críticos no siempre son tecnológicos: la propiedad intelectual (fórmulas, candidatos a fármacos) vale más que la infraestructura que la procesa.
Enfocar en lo que realmente amenaza a esa organización (ingeniería social, suplantación de identidad, malware) y en sus debilidades concretas (equipo de TI mínimo, documentación física sin resguardo).
Control 5.1: aprobada por la dirección, con orientación clara y compromiso con la tríada CID.

Componentes que toda política debería incluir:

Componente	Qué resuelve
Compromiso y objetivos de la dirección	Sin peso ejecutivo, la política es papel
Alcance y cumplimiento legal	Sedes, datos personales, cláusulas contractuales
Gestión de riesgos e incidentes	Obliga a bajar el 27005 y el 27035 a la práctica
Control de acceso y uso aceptable	Límite entre lo permitido y lo tolerado
Roles y responsabilidades	Quién decide, quién opera, quién audita

2.2 Estructura organizacional

Segregación de funciones (5.3): quien desarrolla no audita, quien opera no aprueba. Con equipos chicos, es la debilidad N°1.
Comité de Seguridad de la Información (CSI): gerencia + representante de la casa matriz + responsable de TI. Aprueba políticas y revisa el acompañamiento de los riesgos estratégicos.
Responsable de Seguridad (RSI): puede ser un rol compartido en organizaciones pequeñas, pero su función de auditoría debe contar con supervisión independiente (externa o de la matriz) para evitar conflictos de interés.
Propietario vs Custodio: el negocio decide sobre su activo; TI solo lo custodia.

2.3 Controles del Anexo A que se usan en defensa en profundida

Primera capa — identificar y clasificar:

5.9 Inventario de activos con propietario asociado.
5.12 / 5.13 Clasificación (Pública, Interna, Confidencial, Reservada) y etiquetado.

Segunda capa — técnica y humana:

8.12 DLP: bloquear la extracción no autorizada (palabras clave, patrones, adjuntos sin cifrar).
8.24 Cifrado en reposo y en tránsito.
8.7 Anti-malware con sandbox de adjuntos.
8.23 Filtrado web.
8.11 Enmascaramiento de datos en entornos no productivos.
6.3 Concientización continua con simulacros medibles. El eslabón débil se entrena para ser la primera línea.

Cifrado y disponibilidad (un matiz que conviene dominar): la criptografía no garantiza disponibilidad por sí sola — protege confidencialidad e integridad. Pero el cifrado de las copias de respaldo es lo que permite restaurar después de un ransomware. Contraejemplo: la mala gestión de claves deja la disponibilidad por el suelo, porque datos ilegibles por el propio equipo siguen siendo datos inaccesibles.

2.4 El ciclo PDCA como hábito

PLAN → inventario, clasificación, evaluación de riesgos, selección de controles. DO → desplegar controles en capas (técnicos + organizativos + humanos). CHECK → métricas, monitoreo (5.36), evaluar si un evento es incidente (5.24–5.27). ACT → ajustar políticas, configuraciones, capacitación; recalcular el riesgo residual.

3. Gestión del riesgo (UNIT-ISO/IEC 27005:2022)

Micro-caso Clínica Litoral: administradora de servicios de salud que maneja información personal sensible, con controles "de vidriera" y un límite de riesgo (RMA) totalmente superado por la operación real.

3.1 El vocabulario del riesgo (base de la materia)

Término	Definición operativa
Activo	Lo que tiene valor para la organización. Primario (información) vs soporte (hardware/software).
Amenaza	Causa potencial de un incidente no deseado. Se codifica en TH (técnica/humana) o TP (física).
Vulnerabilidad	Debilidad explotable por una amenaza. Se codifica en VO.
Riesgo	Efecto de la incertidumbre sobre los objetivos: amenaza × vulnerabilidad × valor del activo.
RMA (Riesgo Máximo Aceptable)	El límite aprobado por la dirección; se define por riesgo, no global.
Riesgo residual	Lo que queda tras el tratamiento. Nunca llega a cero: puede incluir riesgo no identificado (definición 3.1.17) y quedarse solo hasta la frontera que la dirección aprobó.

Cuatro matices que hay que tener claros:

El riesgo residual cero no existe. La gestión apunta a bajar por debajo del RMA, no a erradicar el riesgo; perseguir el cero paraliza el negocio y es económicamente inviable.
Una vulnerabilidad sin amenaza es una condición latente. Por sí sola no produce daño; necesita un detonante (la amenaza) para materializar un incidente.
Confundir activo con amenaza es un clásico. Un equipo de fotocopiado de uso libre no es la amenaza: es un activo con una vulnerabilidad de acceso. La amenaza real es la divulgación o el acceso no autorizado que la explota.
Los controles administrativos no bloquean la fuga. Un acuerdo de confidencialidad disuade o habilita acciones legales después del hecho; los controles técnicos preventivos (cifrado, DLP, control de puertos) son los que mitigan la probabilidad.

3.2 Escala práctica (si el curso no define otra)

Probabilidad (1-5) × Impacto (1-5) = Nivel de riesgo
  1 Muy poco probable           1 Insignificante
  2 Poco probable               2 Menor
  3 Posible                     3 Moderado
  4 Probable                    4 Mayor
  5 Casi seguro                 5 Catastrófico

Riesgo: <6 bajo → 6-9 medio → 10-15 alto → 16+ crítico

Riesgo inherente: sin controles (el peor escenario realista).
Riesgo residual: con los controles del plan de tratamiento.

3.3 El informe que un auditor quiere ver

Contexto y partes interesadas (qué se analiza y para quién).
Inventario de activos con tipo (primario/soporte) y propietario.
Matriz de riesgos: escenario (TH/VO), nivel P×I, estado actual, tratamiento.
Hallazgo transversal: el problema de fondo (por ejemplo, "seguridad de vidriera": procedimientos al día, operación real sin controles).
Riesgo vs RMA: declaración clara de que el residual actual supera el límite aprobado.
Quick wins: victorias baratas de alto impacto que blindan la operación antes que el papel (restricción física de un cuarto de servidores, escritorio limpio, destrucción segura de papel).
Plan de tratamiento: Mitigar / Evitar / Compartir / Retener, con responsables y fechas.

Lógica de venta hacia la dirección: no se vende miedo, se venden quick wins de bajo costo y alto impacto para ganar confianza; el presupuesto del plan de tratamiento se presenta después. La gestión del riesgo se vende como habilitador del negocio, no como freno.

3.4 Partes interesadas: no es trámite

Alta dirección: quiere certidumbre sin fricción → mostrar valor de negocio, no burocracia.
Área comercial: quiere velocidad → el camino seguro debe ser el más fácil (nada de ralentizar con papel).
TI / proveedores: quieren desplegar rápido → control de cambios ligero pero obligatorio (aprobación del dueño del dato antes de ejecutar).

4. Gestión de incidentes (UNIT-ISO/IEC 27035)

Micro-caso Bóveda Central: proveedor de guarda y custodia documental para terceros. Un documento comercial sensible (acuerdo con un socio) aparece ausente de su caja al momento de ser solicitado.

4.1 Evento vs Incidente vs Crisis

	Evento	Incidente	Crisis
Naturaleza	Señal/anomalía observable	Evento(s) con afectación real o en curso	Impacto organizacional mayor
Ejemplo	Alerta de antivirus, acceso fallido	Equipo cifrado por ransomware	Interrupción prolongada del negocio
Respuesta	Verificar	Playbook + IRT	Mesa de crisis + alta dirección

Regla de oro: el incidente es el evento que ya materializó (o está materializando) el daño. Y casi toda crisis empezó como un incidente mal gestionado. Escalamiento: evento → incidente → crisis.

Clasificar con rigor: en el caso de la caja, no se trata de una señal a verificar sino de la constatación de un daño concreto — un documento sensible está fuera del control establecido, afectando su confidencialidad e integridad. Aunque aún se ignore si fue extravío, sustracción o error de archivo, la información fuera de custodia compromete la seguridad y puede afectar la operación y la relación con el socio: es incidente.

4.2 Ciclo de vida (27035)

 PREPARACIÓN  →  DETECCIÓN Y REPORTE  →  (RESPUESTA)  →  LECCIONES APRENDIDAS
  política,       monitoreo, triage,      contención,     postmortem, causa
  IRT, tools,     clasificación,          erradicación,   raíz, actualizar
  capacitación    reporte formal          recuperación    playbooks y controles
        ↑                                                    |
        +------------------ vuelve --------------------------+

Preparación — la etapa que define todo: - Política + procedimientos + playbooks. - IRT con roles claros. - EDR, SIEM, logs, respaldos inmutables. - Personal que sabe qué es señal, cómo y a quién reportar. - Simulacros (tabletop) antes de necesitarlos.

Detección y reporte: - Monitoreo con correlación de eventos (IoC/IoA). - Confirmar si es evento o incidente (clasificación). - Reporte formal: quién, cuándo, qué se observa, impacto aparente. - Triage priorizando criticidad.

Lecciones aprendidas: - Postmortem con todos los actores. - Causa raíz: personas, procesos, tecnología. - Documentar qué funcionó y qué no. - Convertir el informe en cambios medibles, no en un pdf que nadie lee.

Relación entre etapas: es un ciclo recursivo, no pasos aislados. Si las lecciones no vuelven a la preparación, el próximo incidente se manejará igual de mal.

4.3 Roles del ciclo de vida

Rol	Responsabilidades
Analista SOC	Monitorea, correlaciona, identifica IoC/IoA, confirma evento vs incidente, contención inicial, preserva evidencia
IRT/CSIRT	Clasifica, coordina contención/erradicación/recuperación, cadena de custodia, comunicación interna, registro
Dueño del proceso	Activa el proceso, define prioridad/impacto para el negocio, aprueba comunicación a autoridades (URCDP 72 h, BCU), garantiza lecciones implementadas

4.4 Reporte de situación (plantilla de trabajo)

Fecha y hora del reporte    |
Reportado por               |
Empresa involucrada         |
Descripción del hecho       |
Activo afectado             |
Clasificación de la info    |
Tipo de incidente           |
Impacto probable            |
Acciones realizadas         |
Próximos pasos              |

Si un reporte no carga estos campos, el IRT no puede trabajar con trazabilidad.

4.5 Acciones correctivas (el "¿cómo evito que vuelva a pasar?")

Atacar la causa de proceso, no el síntoma. Del caso de custodia documental:

Rediseñar el control de movimientos: sustituir o complementar el registro en papel con un inventario electrónico que trace cada movimiento (quién retira, quién recibe, firma electrónica, fecha) y exigir verificación de contenido documento por documento tanto en la entrega como en la devolución.
Control de integridad y auditoría: recuentos cíclicos comparando registro vs contenido físico, control de accesos con trazabilidad (incluido registro de quién ingresa y cuándo) y una notificación interna definida ante cualquier discrepancia — para detectar la falta en el momento, no cuando se consulta el documento.

4.6 Procedimiento de reporte (estructura esperada)

Objetivo: qué habilita el procedimiento (detección oportuna → evaluación → respuesta → mejora).
Alcance: personal, contratistas, terceros y proveedores; información digital y física.
Responsabilidades: todos reportan; mesa de servicio registra y tria; IRT evalúa/clasifica; gerencia decide comunicación externa.
Descripción: identificación → reporte por canal formal → registro y triage → evaluación y clasificación (severidad baja/media/alta/crítica) → respuesta → escalamiento y comunicación → cierre y lecciones.

Una regla que nunca hay que quitar: "nadie va a ser penalizado por reportar". Si el personal teme represalias, el procedimiento muere en silencio.

5. Marco normativo (contexto Uruguay)

Norma	Aplicación
Ley 18.331 + decreto 64/020	Protección de datos personales; PII sensible (salud, hábeas data)
URCDP	Notificación de incidentes de datos personales en 72 h
BCU	Sector financiero: ciberseguridad y comunicación de incidentes
ISO 27001 Anexo A	Los controles que 27002 detalla y 27005 selecciona

6. El puente con el portfolio

Este marco no es teoría aislada: cada pieza tiene su versión aplicada en este repositorio. - casos-de-estudio/analisis-riesgos-iso31000-magerit.md — gestión de riesgos y tratamiento en un proyecto de TI (ISO 31000 + MAGERIT). - casos-de-estudio/hardening-kali-bare-metal.md — controles técnicos del Anexo A llevados a la práctica en un host real. - informes/ — informes de pentest y de incidente en el formato que pide la disciplina. - writeups/ — cada máquina resuelta cierra mapeando los controles ISO 27001 que la detección o respuesta deberían haber aplicado.

Referencias

UNIT-ISO/IEC 27000:2018 — Vocabulario (base conceptual).
UNIT-ISO/IEC 27002:2022 — Controles de seguridad de la información.
UNIT-ISO/IEC 27005:2022 — Gestión de riesgos de seguridad de la información.
UNIT-ISO/IEC 27035-1/-2/-3 — Gestión de incidentes.
Ley 18.331 (Uruguay) y decreto 64/020.