El presente trabajo que se realizó muestra cómo se debe hacer una evaluación de forma cualitativa, con un método sistemático dividido en diez fases, bajo la norma ISO 27005: 2018, que sirve de apoyo y guía para tratar los riesgos, y es una de las formas de concientizar a los empleados sobre el manejo de la información sensible que tiene la empresa.