Glosario GRC

Cualquier cosa que tenga valor para la organización y haya que proteger: datos, aplicaciones, servidores, personas clave o instalaciones. El inventario de activos es el punto de partida de un análisis de riesgos.

Relacionado: Seguridad de la información

Causa potencial de un incidente que puede dañar un activo: un ataque de ransomware, un error humano, un corte eléctrico o una inundación. Cuando una amenaza encuentra una vulnerabilidad, aparece el riesgo.

Relacionado: Gestión de riesgos

Comparación entre lo que la organización hace hoy y lo que exige una norma o regulación. El resultado es la lista de requisitos sin cubrir y el plan para cerrarlos.

Relacionado: Cumplimiento normativo

Estudio que identifica los procesos críticos, cuánto tiempo pueden estar parados y qué recursos necesitan para volver a funcionar. De él salen el RTO, el RPO y las prioridades del plan de continuidad.

Relacionado: Continuidad de negocio

Nivel de riesgo que la dirección está dispuesta a asumir para conseguir sus objetivos. Se fija por escrito y sirve para decidir qué riesgos se aceptan y cuáles hay que tratar.

Relacionado: Gestión de riesgos

Revisión que hace una entidad acreditada para comprobar que un sistema de gestión cumple una norma certificable, como ISO 27001 o ISO 22301. Si la supera, la organización obtiene el certificado, que se mantiene con auditorías de seguimiento.

Relacionado: Gestión de auditorías

Función independiente que revisa si los controles, la gestión de riesgos y el gobierno de la organización funcionan como deberían. Informa al consejo o a la comisión de auditoría.

Relacionado: Gestión de auditorías

Incidente que provoca la destrucción, pérdida, alteración o acceso no autorizado a datos personales. Según el RGPD, si supone un riesgo para las personas hay que notificarla a la autoridad de control en un plazo de 72 horas.

Relacionado: Privacidad

Vía confidencial para comunicar infracciones dentro de la organización. En España lo regula la Ley 2/2023, que lo hace obligatorio para el sector público y para las empresas con 50 o más trabajadores.

Relacionado: Canal de denuncias

Capacidad de seguir prestando servicio durante un ciberataque y de recuperarse después. Además de prevenir, incluye detectar, responder, recuperarse y aprender de lo ocurrido.

Relacionado: DORA

Asignar a cada información un nivel (pública, interna, confidencial, restringida…) según el daño que causaría su divulgación. Cada nivel lleva asociadas sus reglas de acceso, envío y destrucción.

Relacionado: ISO 27001

Marco de ISACA para el gobierno y la gestión de las tecnologías de la información. Alinea los objetivos de TI con los del negocio y define procesos, responsabilidades y métricas.

Relacionado: COBIT

Conjunto de políticas, controles y responsables que aseguran que la organización cumple las leyes, las normas que ha adoptado y sus propios compromisos éticos. Su objetivo es prevenir sanciones y daños reputacionales.

Relacionado: Compliance

Las tres propiedades que protege la seguridad de la información: que solo acceda quien debe, que los datos no se alteren sin control y que estén disponibles cuando se necesitan.

Relacionado: Seguridad de la información

Medida que reduce la probabilidad o el impacto de un riesgo. Puede ser técnica (cifrado, copias de seguridad), organizativa (una política, una segregación de funciones) o física (control de acceso a un edificio).

Relacionado: Controles internos

Control alternativo que se aplica cuando el control previsto no es viable. Debe cubrir el mismo riesgo con un nivel de protección equivalente, y conviene documentar por qué se eligió.

Relacionado: Controles internos

Proceso que diseña la dirección para tener una seguridad razonable sobre la fiabilidad de la información, la eficacia de las operaciones y el cumplimiento de las normas. El marco de referencia más usado es COSO.

Relacionado: Controles internos

Marcos del Committee of Sponsoring Organizations of the Treadway Commission. COSO Control Interno define cinco componentes del control; COSO ERM extiende ese enfoque a la gestión de riesgos de toda la empresa.

Relacionado: COSO ERM

Directiva (UE) 2022/2464 sobre información corporativa en materia de sostenibilidad. Obliga a las empresas incluidas en su ámbito a informar con las normas ESRS y a someter ese informe a verificación.

Relacionado: CSRD

Vista que reúne los riesgos, sus indicadores y el estado de los planes de acción para que la dirección vea de un vistazo dónde está la exposición y cómo evoluciona.

Relacionado: Informes

Revisión que se hace antes y durante una relación con un tercero (proveedor, socio, cliente) para conocer sus riesgos: financieros, de seguridad, de cumplimiento o de reputación.

Relacionado: Riesgo de terceros

Documento obligatorio en ISO 27001 que lista los controles del anexo A, indica cuáles se aplican y justifica las exclusiones. Es una de las primeras cosas que mira el auditor.

Relacionado: ISO 27001

Figura que supervisa el cumplimiento del RGPD, asesora a la organización y hace de enlace con la autoridad de control. Es obligatorio en organismos públicos y en algunos tratamientos a gran escala.

Relacionado: RGPD

Principio de la CSRD según el cual un tema de sostenibilidad es relevante si la empresa impacta en las personas o el entorno (materialidad de impacto) o si afecta a sus resultados (materialidad financiera). Basta con una de las dos.

Relacionado: ESG y sostenibilidad

Reglamento (UE) 2022/2554 de resiliencia operativa digital, aplicable desde enero de 2025 a bancos, aseguradoras, gestoras y otras entidades financieras. Cubre la gestión del riesgo TIC, la notificación de incidentes, las pruebas de resiliencia y el riesgo de los proveedores TIC.

Relacionado: DORA

Persona u organización que trata datos personales por cuenta de otro, el responsable del tratamiento. La relación entre ambos se regula con un contrato de encargo que exige el RGPD.

Relacionado: Privacidad

Marco español (Real Decreto 311/2022) que fija las medidas de seguridad para los sistemas del sector público y de las empresas que le prestan servicios. Los sistemas se clasifican en categoría básica, media o alta.

Relacionado: ENS

Siglas de ambiental, social y de gobernanza. Agrupa los criterios no financieros con los que inversores, clientes y reguladores valoran a una empresa.

Relacionado: ESG y sostenibilidad

Normas europeas de información sobre sostenibilidad. Definen qué datos y con qué formato deben publicar las empresas sujetas a la CSRD.

Relacionado: CSRD

Análisis previo que exige el RGPD cuando un tratamiento puede suponer un alto riesgo para las personas, por ejemplo con datos de salud a gran escala o vigilancia sistemática.

Relacionado: RGPD

Proceso de identificar los riesgos, analizarlos (probabilidad e impacto) y valorarlos frente al apetito de riesgo para decidir cuáles hay que tratar primero.

Relacionado: Gestión de riesgos

Prueba de que un control se ha ejecutado: un registro, una captura, un acta o un informe. Sin evidencias, para el auditor el control no existe.

Relacionado: Gestión de auditorías

Proceso para detectar, registrar, clasificar, resolver y aprender de los incidentes. En DORA, NIS2 y RGPD incluye además notificar al regulador dentro de plazo.

Relacionado: Gestión de incidentes

Enfoque que gestiona todos los riesgos de la organización (estratégicos, financieros, operativos, de cumplimiento) con un mismo método y una visión de conjunto, en lugar de departamento a departamento.

Relacionado: Gestión de riesgos

Políticas, roles y controles para desarrollar y usar sistemas de inteligencia artificial de forma segura, ética y conforme a la ley. Incluye el inventario de sistemas, su clasificación de riesgo y su supervisión.

Relacionado: Gobierno de la IA

Forma de trabajar que une el gobierno corporativo, la gestión de riesgos y el cumplimiento normativo en un mismo modelo, con datos compartidos en lugar de hojas de cálculo aisladas.

Relacionado: Plataforma GRC

Resultado de comparar la evidencia con un criterio. Puede ser una no conformidad, una observación o una oportunidad de mejora, y suele dar lugar a un plan de acción.

Relacionado: Gestión de auditorías

Métrica que avisa de que un riesgo está creciendo antes de que se materialice, por ejemplo el número de vulnerabilidades críticas abiertas o la rotación en un puesto clave. Se le fijan umbrales de alerta.

Relacionado: Gestión de riesgos

Instalación o sistema cuyo funcionamiento es indispensable para servicios esenciales, como la energía, el agua o el transporte. En España la regula la normativa PIC.

Relacionado: PIC

Norma internacional certificable para sistemas de gestión de la continuidad del negocio. Pide analizar el impacto, definir estrategias de recuperación y probar los planes.

Relacionado: ISO 22301

Norma internacional certificable para sistemas de gestión de seguridad de la información (SGSI). Se basa en una evaluación de riesgos y en un anexo de controles que hay que aplicar o justificar.

Relacionado: ISO 27001

Extensión de la gestión de seguridad de la información a la privacidad. Ayuda a demostrar el cumplimiento del RGPD y de otras leyes de protección de datos.

Relacionado: ISO 27701

Directrices internacionales para la gestión del riesgo en cualquier tipo de organización. No es certificable: describe principios, un marco y un proceso.

Relacionado: ISO 31000

Norma certificable para sistemas de gestión antisoborno. Exige evaluar el riesgo de soborno, controlar a terceros y disponer de canales para comunicar sospechas.

Relacionado: ISO 37001

Norma certificable para sistemas de gestión de compliance. Sirve de base para organizar el cumplimiento de cualquier obligación, legal o voluntaria.

Relacionado: ISO 37301

Primera norma certificable para sistemas de gestión de la inteligencia artificial. Ordena el desarrollo y uso responsable de la IA y encaja con los requisitos del Reglamento europeo de IA.

Relacionado: ISO 42001

Matriz de probabilidad por impacto en la que cada riesgo se sitúa en una celda coloreada. Permite ver de un vistazo cuáles son críticos y comparar el riesgo inherente con el residual.

Relacionado: Gestión de riesgos

Relacionar un mismo control con los requisitos de varias normas (por ejemplo ISO 27001, ENS y NIS2) para implantarlo y evidenciarlo una sola vez.

Relacionado: Cumplimiento normativo

Tabla que relaciona cada riesgo con los controles que lo mitigan, su responsable, su frecuencia y la evidencia esperada. Es la base de la revisión del control interno.

Relacionado: Controles internos

Reparto de funciones en la gestión de riesgos: la primera línea (las áreas operativas) gestiona el riesgo, la segunda (riesgos y cumplimiento) lo supervisa y la tercera (auditoría interna) da una opinión independiente.

Relacionado: Gestión de auditorías

Tiempo a partir del cual parar un proceso causa un daño inaceptable a la organización. El RTO siempre tiene que ser menor.

Relacionado: Continuidad de negocio

Directiva (UE) 2022/2555 sobre ciberseguridad. Amplía los sectores obligados, exige medidas de gestión de riesgos, responsabiliza a la dirección y fija plazos de notificación de incidentes: aviso en 24 horas y notificación en 72.

Relacionado: NIS2

Marco de ciberseguridad del NIST estadounidense, usado en todo el mundo. Organiza la ciberseguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar.

Relacionado: NIST CSF

Incumplimiento de un requisito de la norma o del propio sistema de gestión. Se clasifica en mayor o menor y obliga a analizar la causa y aplicar una acción correctiva.

Relacionado: Gestión de auditorías

Estándar de seguridad del sector de las tarjetas de pago. Lo deben cumplir quienes almacenan, procesan o transmiten datos de tarjetas.

Relacionado: PCI DSS

Conjunto de tareas con responsable y fecha para tratar un riesgo, cerrar un hallazgo o corregir una no conformidad. Su seguimiento demuestra que la organización mejora.

Relacionado: Mitigación de riesgos

Documento que describe cómo mantener o recuperar los procesos críticos tras una interrupción grave: quién decide, qué se activa y en qué orden.

Relacionado: Continuidad de negocio

Parte técnica de la continuidad: cómo restaurar los sistemas y los datos tras un desastre dentro del RTO y el RPO acordados.

Relacionado: ISO 27031

Documento aprobado por la dirección que fija los objetivos y las reglas de seguridad de la información. Todo lo demás (normas, procedimientos, controles) se desarrolla a partir de ella.

Relacionado: Seguridad de la información

Principio del RGPD que obliga a tener en cuenta la protección de datos desde que se concibe un producto, servicio o proceso, y no al final.

Relacionado: Privacidad

Persona con la responsabilidad y la autoridad para gestionar un riesgo concreto. Decide su tratamiento y responde de su evolución.

Relacionado: Gestión de riesgos

En DORA, empresa que presta servicios digitales o de datos a una entidad financiera. La entidad debe evaluarlo, incluirlo en su registro de información y prever una estrategia de salida.

Relacionado: Riesgo de terceros

Inventario que exige el RGPD con cada tratamiento de datos personales: finalidad, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad.

Relacionado: RGPD

Reglamento (UE) 2024/1689, la primera ley general sobre inteligencia artificial. Clasifica los sistemas por nivel de riesgo y prohíbe algunos usos, impone obligaciones estrictas a los de alto riesgo y exige transparencia en otros.

Relacionado: EU AI Act

Capacidad de una organización para seguir prestando sus servicios importantes ante cualquier interrupción, ya sea tecnológica, de un proveedor o física.

Relacionado: DORA

Reglamento (UE) 2016/679, que regula el tratamiento de datos personales en la Unión Europea. Exige base legal, transparencia, seguridad y responsabilidad demostrable.

Relacionado: RGPD

Análisis que expresa el riesgo en dinero en lugar de en escalas de colores, normalmente simulando miles de escenarios con el método de Monte Carlo. Responde a preguntas como «¿cuánto podemos perder en un año?».

Relacionado: Quantitative Risk

Riesgo que llega a través de proveedores, socios o subcontratistas. Se gestiona evaluándolos antes de contratar, vigilándolos durante la relación y planificando la salida.

Relacionado: Riesgo de terceros

Nivel de riesgo antes de aplicar ningún control. Muestra la exposición real si nada funcionase.

Relacionado: Gestión de riesgos

Pérdidas causadas por fallos en procesos, personas o sistemas, o por hechos externos. Es uno de los riesgos que más vigilan los supervisores de banca y seguros.

Relacionado: Banca

Riesgo que queda después de aplicar los controles. Si sigue por encima del apetito de riesgo, hay que reforzar el tratamiento o aceptarlo de forma explícita.

Relacionado: Gestión de riesgos

Cantidad máxima de datos que se puede perder, medida en tiempo. Un RPO de cuatro horas obliga a tener copias, como mucho, de cuatro horas antes del incidente.

Relacionado: Continuidad de negocio

Plazo máximo para recuperar un proceso o sistema después de una interrupción. Sale del análisis de impacto y debe ser menor que el MTPD.

Relacionado: Continuidad de negocio

Sistema de control interno sobre la información financiera. La CNMV exige a las sociedades cotizadas españolas describirlo y supervisarlo para garantizar la fiabilidad de sus cuentas.

Relacionado: SCIIF

Repartir entre personas distintas las tareas que, en manos de una sola, permitirían cometer y ocultar un error o un fraude, como aprobar un pago y registrarlo.

Relacionado: Controles internos

Conjunto de políticas, procesos y controles con el que una organización gestiona la seguridad de su información de forma sistemática y en mejora continua. Es lo que certifica ISO 27001.

Relacionado: ISO 27001

Ley estadounidense de 2002 para las empresas que cotizan en Estados Unidos y sus filiales. Su sección 404 obliga a evaluar y certificar el control interno sobre la información financiera.

Relacionado: SOX

Esquema de evaluación de seguridad de la información del sector de automoción, gestionado por la asociación ENX y basado en el cuestionario VDA ISA. Lo piden los fabricantes a sus proveedores.

Relacionado: TISAX

Desviación aceptable respecto al apetito de riesgo en un objetivo concreto. Traduce el apetito, más general, a límites medibles.

Relacionado: Gestión de riesgos

Decisión sobre qué hacer con un riesgo: reducirlo con controles, transferirlo (con un seguro, por ejemplo), evitarlo dejando la actividad o aceptarlo.

Relacionado: Mitigación de riesgos

Debilidad de un activo o de un control que una amenaza puede aprovechar, como un software sin parchear o una contraseña compartida.

Relacionado: Seguridad de la información