Usted está aquí:
Cómo el control de la efectividad dirige el puntuaje de riesgo
Vea cómo los puntuajes de eficacia de control dirigen los cálculos de riesgo residual, cómo los fallos de control aumentan automáticamente los puntuajes de riesgo y cómo los propietarios de riesgos monitorean qué controles protegen sus riesgos.
Ediciones necesarias
| Disponible en: Lightning Experience |
| Disponible en: Ediciones Enterprise, Performance y Unlimited con Agentforce IT Service. |
El registro Riesgo de versión de Control de cumplimiento
Cuando crea un registro de unión Riesgo de versión de control de cumplimiento, documenta tres partes críticas de información:
- La amenaza o vulnerabilidad específica que soluciona el control. Un único control puede mitigar múltiples riesgos y un único riesgo puede mitigarse con múltiples controles.
- Un puntuaje de porcentaje (0-100%) que cuantifica cuánto reduce el control el impacto del riesgo. Esta valoración refleja la eficacia de diseño y la eficacia operativa del control en base a los resultados de la prueba.
- Los controles que superan sus pruebas mantienen su valoración de efectividad. Los controles que no superan sus pruebas caen al 0% de efectividad, lo que indica que el riesgo ya no está protegido.
Cálculo de riesgo
El Motor de reglas de negocio utiliza puntuajes de eficacia de control para calcular puntuajes de riesgo residuales. La fórmula es:
Residual Risk = Inherent Risk × (1 - Control Effectiveness)
- Para un único control que mitigue un riesgo:
Si el puntuaje de riesgo inherente es 12 (Probabilidad media × Impacto alto) y la eficacia de control es del 80%, el riesgo residual se convierte en:
12 × (1 - 0.80) = 12 × 0.20 = 2.4 (Low).Este cálculo muestra que el control está proporcionando una reducción sustancial del riesgo de Alto a Bajo. El riesgo restante del 20% representa la exposición residual incluso con el control establecido.
- Para controles múltiples que mitigan el mismo riesgo:
Los riesgos de alto impacto a menudo requieren múltiples controles preventivos, de detección y correctivos para una protección adecuada. Cuando dos o más controles protegen un único riesgo, el Motor de reglas de negocio los aplica secuencialmente. La fórmula se convierte en
Residual Risk = Inherent Risk × (1 - Control A Effectiveness) × (1 - Control B Effectiveness)Un riesgo tiene un puntuaje inherente de 20 (alta probabilidad × impacto muy alto). El control A (Comprobación de RBAC preventiva) tiene una efectividad del 80% y el control B (Revisión de registro de acceso de detector) tiene una efectividad del 60%. El riesgo residual es:
20 × (1 - 0.80) × (1 - 0.60) = 20 × 0.20 × 0.40 = 1.6 (Low).Esta defensa en capas reduce el riesgo de Muy alto a Bajo, demostrando el valor de múltiples controles trabajando juntos.
Cuándo vincular controles a riesgos
Vincule controles a riesgos en el momento de la creación del control, no después de la evaluación del riesgo.
| Secuencia | Tarea |
|---|---|
| 1 | Cree el registro Riesgo de cumplimiento y defina el puntuaje de riesgo inherente. |
| 2 | Defina la versión de Control de cumplimiento y Control de cumplimiento que mitigará el riesgo. |
| 3 | Cree el registro de unión Riesgo de versión de control de cumplimiento y asigne el puntuaje de efectividad. |
| 4 | Cree la Prueba de cumplimiento que validará que el control está funcionando correctamente. |
| 5 | Ejecute la prueba para establecer un resultado de aprobación/reprobación de línea base. |
| 6 | Verifique que el Motor de reglas de negocio calculó el riesgo residual correctamente basándose en la eficacia del control. |
Este flujo de trabajo garantiza que el vínculo control-riesgo esté establecido antes de la primera evaluación de riesgo, proporcionando a las partes interesadas puntuajes de riesgo residual precisos desde el principio.
