Tentativa de destruir, exponer, alterar, inhabilitar, robar o acceder sin autorización o hacer un uso no

autorizado de un activo.

Proceso sistemático, independiente y documentado para obtener evidencias de auditoría y

evaluarlas de manera objetiva con el fin de determinar el grado en el que se cumplen los criterios de

auditoría.

Una auditoría puede ser externa (de primera parte), o interna (de segunda o tercera parte), y

puede ser combinada (combinando dos o más disciplinas).

“Evidencia de auditoría” y “criterios de auditoría” no se definen en la Norma ISO 19011.

Extensión y límites de una auditoría, corresponde a:

Aportación de garantías de que son correctas las características que una entidad reivindica para sí

misma.

Propiedad consistente en que una entidad es lo que dice ser.

Propiedad de ser accesible y estar listo para su uso o demanda de una entidad autorizada.

Propiedad de la información por la que se mantiene inaccesible y no se revela a individuos, entidades

o procesos no autorizados.

Resultado de un suceso que afecta a los objetivos.

La mejora continua es la actividad recurrente para mejorar el desempeño.

Medida que modifica un riesgo.

Acción para eliminar la causa de una no conformidad y prevenir que vuelva a ocurrir.

La Eficacia es el grado en el cual se realizan las actividades planificadas y se logran los resultados planificados.

El evento es la ocurrencia o cambio de un conjunto particular de circunstancias.

Preservación de la confidencialidad, la integridad y la disponibilidad de la información.

Ocurrencia detectada en el estado de un sistema, servicio o red que indica una posible violación de la

política de seguridad de la información, un fallo de los controles o una situación desconocida hasta el

momento y que puede ser relevante para la seguridad.

Evento singular o serie de eventos de la seguridad de la información, inesperados o no deseados,

que tienen una probabilidad significativa de comprometer las operaciones del negocio y de amenazar

la seguridad de la información.

Procesos y procedimientos para asegurar la continuidad de las actividades relacionadas con la

seguridad de la información.

Los Sistema de Información tiene asociados: aplicaciones, servicios, activos de tecnologías de la información y otro componentes para manejar

información.

Propiedad de exactitud y completitud.

El nivel de riesgo es la magnitud de un riesgo o combinación de riesgos, expresados en términos de la combinación de las consecuencias y de su probabilidad.

Posibilidad de que algún hecho se produzca.

Conjunto de elementos de una organización interrelacionados o que interactúan para establecer

políticas, objetivos y procesos para lograr estos objetivos.

Capacidad para corroborar que es cierta la reivindicación de que ocurrió un cierto suceso o se realizó

una cierta acción por parte de las entidades que lo originaron.

La política se define como las Intenciones y dirección de una organización, como las expresa formalmente su alta dirección.

Riesgo remanente después del tratamiento del riesgo.

Efecto de la incertidumbre sobre la consecución de los objetivos.

La aceptación del riesgo puede tener lugar sin que exista tratamiento del riesgo o

durante el proceso de tratamiento del riesgo.

La definición de Criterios de Riesgo, se refiere a:

a. Los términos de referencia respecto a los que se evalúa la importancia de un riesgo.

b. Los criterios de riesgo se basan en los objetivos de la organización y en el contexto externo

e interno.

c. Los criterios de riesgo se puede obtener de normas, leyes, políticas y otros requisitos.

La evaluación del riesgo es el proceso de comparación de los resultados del análisis de riesgo con los criterios de riesgo para determinar si el riesgo y/o su magnitud son aceptables o tolerables. Asimismo, la evaluación del riesgo ayuda a la toma de decisiones sobre el tratamiento del riesgo.

Proceso que comprende la búsqueda, el reconocimiento y la descripción de los riesgos.

El tratamiento del riesgo puede implicar:

a. Evitar el riesgo, decidiendo no iniciar o continuar con la actividad que motiva el riesgo.

b. Aceptar o aumentar el riesgo con el objeto de buscar una oportunidad.

c. Eliminar la fuente de riesgo.

d. Cambiar la probabilidad.

e. Cambiar las consecuencias.

f. Compartir el riesgo con otra u otras partes (incluyendo los contratos y la financiación del riesgo).

g. Mantener el riesgo en base a una decisión informada.

Persona u organización que puede afectar, estar afectada, o percibir que está afectada por una decisión

o actividad.

Causa potencial de un incidente no deseado, el cual puede ocasionar daño a un sistema o a una

organización.

Confirmación mediante la aportación de evidencia objetiva de que se han cumplido los requisitos para

una utilización o aplicación específica prevista.

Confirmación mediante la aportación de evidencia objetiva de que se han cumplido los requisitos

especificados.

Debilidad de un activo o de un control que puede ser explotada por una o más amenazas.

Incumplimiento de un requisito.