1) Define el alcance y el contexto del negocio

Empieza delimitando qué parte del e-commerce entra en el alcance: tienda online, pasarela de pago, plataforma de email, gestor de contenidos, inventario, integraciones (ERP/CRM), y servicios de terceros (hosting, CDN, herramientas de soporte).

A continuación, establece el contexto de negocio: picos de tráfico (campañas), tipos de clientes (B2C/B2B), datos tratados (clientes, pedidos, comunicaciones), y criterios de impacto (fraude, interrupciones, pérdida de datos, sanciones).

2) Identifica activos y flujos de datos

Haz un inventario mínimo pero útil. Para cada activo, describe su función y su relación con los datos: dónde se generan, por dónde pasan y dónde se almacenan.

• Activos tecnológicos: servidores, entornos de la tienda, bases de datos, cuentas de administración, CI/CD, repositorios.
• Activos de identidad: roles internos, cuentas de proveedores con acceso, llaves API.
• Flujos de datos: registro, checkout, recuperación de contraseña, comunicaciones transaccionales, devoluciones.

3) Establece criterios de impacto y probabilidad

Elabora una matriz simple. Para impacto, separa impacto en confidencialidad, integridad y disponibilidad. Para probabilidad, contempla factores como exposición, madurez de controles, historial de incidentes y capacidad de detección.

Consejo operativo: usa rangos numéricos o cualitativos consistentes (por ejemplo: bajo/medio/alto) y define qué significa cada uno. Si no lo defines, el resultado se vuelve inconsistente entre personas.

4) Detecta amenazas y vulnerabilidades relevantes

No se trata de enumerar todo. Se trata de priorizar lo que realmente puede ocurrir en tu operación. Combina fuentes internas (incidencias, tickets de soporte, auditorías previas) con información externa (tendencias del sector y patrones de ataque).

5) Analiza el riesgo y prioriza

Para cada escenario (amenaza + vulnerabilidad + impacto), estima el riesgo con tu matriz. El objetivo no es “tener un número perfecto”, es ordenar decisiones.

Una práctica útil: separa el riesgo inherente (sin controles) del riesgo residual (con controles actuales). Así ves si lo que ya haces está reduciendo de verdad.

6) Selecciona controles y diseña el plan de tratamiento

Traduce hallazgos en controles concretos. Prioriza medidas que reduzcan probabilidad e impacto, con una lógica de cobertura por fases.

1. Prevención: endurecimiento, MFA, control de privilegios, segregación de entornos.
2. Protección: cifrado donde proceda, validación de integridad, autenticidad de integraciones.
3. Detección: alertas, registro (logging) y monitorización de eventos críticos.
4. Respuesta: procedimientos para contener, erradicar y aprender tras un incidente.

Si tu evaluación se apoya en el marco de gestión de riesgos de referencia y se documenta con trazabilidad, podrás justificar mejor tus decisiones de cumplimiento.

7) Documenta y mantén la evaluación viva

La documentación debe reflejar: alcance, metodología, activos, criterios, resultados, tratamiento y revisiones. En e-commerce, la evaluación debe actualizarse con cada cambio relevante: nueva pasarela, migraciones, integraciones con proveedores o campañas de marketing.

Buenas prácticas: revisa trimestralmente los riesgos top, reevalúa ante incidentes y cuando haya cambios técnicos, y conserva evidencias (configuraciones, tickets de despliegue, resultados de pruebas).

Puntos de control que suelen acelerar proyectos