EBIOS RM vs ISO 27005: el enfrentamiento.

Cómo se ejecuta realmente cada método en un proyecto

La división entre ambos métodos no es una cuestión de calidad; es una cuestión de punto de partida. ISO 27005 parte de los activos y las amenazas y avanza hacia fuera hasta un registro de riesgos completo. EBIOS RM parte de aquello que la organización teme perder y retrocede a través del atacante que provocaría esa pérdida. Los dos producen artefactos diferentes porque plantean preguntas de partida distintas, y esa diferencia es lo que percibirán su auditor, su consejo de administración y su plan de proyecto.

El trabajo con ISO 27005 es iterativo y exhaustivo por diseño. Se establece el contexto, se identifican los riesgos en todo el alcance, se analizan la probabilidad y la consecuencia, se evalúan frente a los criterios de aceptación y, después, se tratan. El resultado es un registro vivo que se vuelve a ejecutar de forma cíclica. Es el motor de riesgo natural para un ISMS de ISO 27001 porque habla el mismo lenguaje que el sistema de gestión: alcance, criterios, plan de tratamiento, riesgo residual, aprobación.

EBIOS RM se ejecuta como cinco talleres con una secuencia definida: encuadre y línea base de seguridad, orígenes del riesgo, escenarios estratégicos, escenarios operativos y tratamiento del riesgo. El método le obliga a nombrar primero los eventos temidos, luego las fuentes de riesgo (quién atacaría y por qué), después las rutas de ataque de alto nivel, antes de tocar un solo control. El curso EBIOS Risk Manager recorre cada taller con entregables reales, de modo que sale capaz de facilitar la secuencia, no solo de describirla.

EBIOS RM vs ISO 27005 de un vistazo

La tabla siguiente es la comparación que la mayoría de los equipos necesita sobre la mesa: no la filosofía, sino en qué se centra cada método, qué le entrega al final y dónde se espera realmente.

Cómo se vinculan ambos con ISO 27001

ISO 27001 exige un proceso definido de evaluación y tratamiento del riesgo de seguridad de la información, pero no impone un método específico. Ese único hecho es la razón de que esta comparación exista. La Cláusula 6.1.2 le indica que evalúe el riesgo y elabore una Declaración de Aplicabilidad; no le dice que use ISO 27005 ni ninguna otra cosa. Los auditores comprueban que su proceso sea coherente, repetible y que produzca decisiones de tratamiento defendibles. El método es su elección.

ISO 27005 es aquí el camino de menor resistencia porque fue redactado para ser la capa metodológica bajo la norma. Su terminología, su lógica de criterios de aceptación y su estructura de plan de tratamiento encajan directamente en el ISMS sin necesidad de traducción. Si está construyendo o gestionando el sistema de gestión, aprenda el motor que le corresponde: el curso ISO/IEC 27005 Risk Manager cubre el ciclo completo de evaluación y tratamiento, mientras que el curso ISO/IEC 27005 Foundation es el punto de entrada adecuado si necesita los conceptos antes de facilitar.

EBIOS RM se vincula con la misma cláusula desde otro ángulo. No reemplaza el registro; afina su parte superior. Los escenarios estratégicos se convierten en el pequeño conjunto de riesgos que justifican el mayor escrutinio en la SoA y en el dosier del consejo. Los equipos que necesitan dominar la metodología de principio a fin, incluida la gobernanza de la evaluación y el papel de liderazgo en toda una organización, cursan ISO/IEC 27005 Lead Risk Manager.

La decisión: cuál, y cuándo ambos

La mayoría de los equipos plantean esto como un dilema de uno u otro y luego se arrepienten. La respuesta honesta es que la cuestión tiene dos capas: qué exige su auditoría o su sector, y qué necesita realmente su panorama de riesgo. Resuélvalas en ese orden.

1. Si entra en juego un comprador con influencia de ANSSI, un contrato público francés o una obligación de OIV/OES, EBIOS RM es el lenguaje esperado. Lidere con él en la capa estratégica.
2. Si su garantía proviene de un certificado internacional de ISO 27001 o de auditorías de clientes multinacionales, ISO 27005 es el método por defecto que el auditor lee con fluidez.
3. Si tiene un problema real de adversario (un objetivo de alto valor, un servicio crítico regulado, riesgo cibernético a nivel de consejo), ejecute EBIOS RM sobre el registro para hacer aflorar los escenarios que merecen escalado.
4. Si no tiene ni un mandato del sector francés ni un perfil de adversario agudo, ISO 27005 por sí solo es suficiente y más económico de operar.

Ejecutar ambos no es redundante cuando se delimita correctamente. ISO 27005 le da amplitud: cada riesgo del registro, tratado y seguido. EBIOS RM le da profundidad en los pocos escenarios que realmente harían daño. El error es ejecutar ambos con la misma granularidad, lo que duplica el trabajo y produce dos registros que nadie reconcilia. Use EBIOS RM para seleccionar y narrar; use ISO 27005 para enumerar y seguir.

Errores comunes y la realidad de la sala de auditoría

Los fallos son predecibles, y rara vez tienen que ver con el método en sí.

• Elegir el método por preferencia en lugar de por audiencia. La pregunta correcta es quién lee el resultado: un comprador público francés espera el vocabulario de EBIOS RM, un auditor de certificación internacional espera un registro con forma de ISO 27005. Elija pensando en el lector.
• Tratar los escenarios de EBIOS RM como sustituto de un registro completo. Los escenarios estratégicos son deliberadamente pocos. Un auditor que comprueba la cobertura de ISO 27001 preguntará dónde está documentado el resto del panorama de riesgo, y un puñado de narrativas no es una respuesta.
• Ejecutar ISO 27005 como una hoja de cálculo de una sola vez. La norma es iterativa. Un registro fechado hace dieciocho meses sin cadencia de revisión es una observación a punto de producirse.
• Confundir las credenciales. No existe Lead Auditor ni Lead Risk Manager para EBIOS RM, y la única credencial de Lead Risk Manager se sitúa bajo ISO 31000, no bajo ISO 27005. Planifique la ruta de certificación de su equipo en función de lo que realmente existe.

En la sala de auditoría, la realidad es más simple de lo que el debate sugiere. El auditor de certificación no califica su método frente a un rival; comprueba si el proceso que ha elegido está documentado, se aplica de forma coherente y es trazable desde el riesgo hasta el tratamiento y la aceptación residual. EBIOS RM le ayuda a explicar por qué ciertos riesgos de alto impacto recibieron una atención específica. ISO 27005 le ayuda a demostrar que nada se coló por las grietas. La postura más sólida, para las organizaciones que genuinamente necesitan ambos, es un registro de ISO 27005 como sistema de referencia con los escenarios de EBIOS RM superpuestos para justificar las decisiones que más importaron.