Gestión de riesgos
Objetivo
Identificar, evaluar, tratar y vigilar los riesgos que puedan afectar la información o el servicio.
Método
- Cada riesgo se registra en Consola → Seguridad y cumplimiento → Riesgos, con su descripción, dueño, probabilidad (1 a 5) e impacto (1 a 5).
- Nivel = probabilidad × impacto: 1–4 bajo, 5–9 medio, 10–16 alto, 20–25 crítico.
- Tratamiento: mitigar (con controles), transferir (por ejemplo a un proveedor o seguro), evitar (dejar de hacer la actividad) o aceptar. Solo el Responsable de seguridad de la información acepta riesgos, y por escrito en el registro.
- Los riesgos altos y críticos tienen plan de acción con fecha.
Cuándo se revisa
- Cada seis meses, el registro completo.
- Antes de un cambio importante (nueva infraestructura, nuevo proveedor, nuevo producto o funcionalidad que trate datos sensibles).
- Después de cada incidente.
Riesgos de la criptografía, de proveedores y de continuidad
La evaluación incluye los riesgos de las llaves y el cifrado, de los proveedores de la cadena de suministro y de la interrupción del servicio, con el mismo método.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.