El análisis de riesgos considera los siguientes elementos

El análisis de riesgos considera los siguientes elementos
1. Activos: Son los recursos del sistema de información o relacionados con este, necesarios para que funcione correctamente y alcance los objeticos propuestos por la dirección
2. Amenazas: Son las situaciones o hechos que pueden producir daño y que les pueden pasar a los activos causando un perjuicio a la organización
3. Vulnerabilidades: Potencialidad o posibilidad de ocurrencia de la materialización de una amenaza sobre un activo de la información
4. Impacto: Daño causado sobre el activo de la información una vez se materializa una de las vulnerabilidades, conociendo el valor de los activos es más sencillo estimar el valor del impacto
5. Riesgo: Es la probabilidad de que una amenaza se materialice y afecte a los activos de la información
6. Salvaguardas: Mecanismo de protección frente a las amenazas

La gestión de riesgo se puede definir como un proceso de toma de decisiones en un ambiente de incertidumbre sobre una acción que puede suceder y sobre las consecuencias que existirán si dicha acción sucede, para ilustrar un poco el proceso de gestión de riesgo y cómo interactúan en el sus diferentes elementos.

Una vez analizados los riesgos, se debe dar una verificación sobre la viabilidad tanto técnica como económica y operativa de las contramedidas o salvaguardas seleccionadas para mitigar los riesgos, es factible en esta etapa que las acciones sobre los riesgos cambien, debido a la imposibilidad o demora en realizar inversiones económicas, que las viabilidades técnicas no sean factibles, o que operativamente el impacto de implementar las salvaguardas o medidas de mitigación del riesgo sean muy altas (demoras adicionales en los procesos, contratación de gente, impacto en los tiempos de entrega, etc), de igual manera en los temas de costos es importante revisar que la inversión en las contramedidas no sea más alta que el valor de los activos, en cuyo caso no hace sentido realizar estas inversiones y debemos realizar un cambio en la acción que se tomara sobre el riesgo identificado.
Con esta información clara y debidamente costeada en términos económicos y de recursos humanos y de tiempo, la Gerencia de Procesos y riesgos debe determinar los niveles de riesgo que la organización está dispuesta a asumir y sus costos asociados, con este panorama claro se deben determinar los controles a aplicar a los diferentes riesgos identificados.