Implementación del SGSI: 27001 aplicando controles y mejoras prácticas

Toda empresa necesita un plan para sus SGSI, y desde luego, este plan debe regirse por
protocolos y normas aceptadas internacionalmente. Entre dichos protocolos y normas, uno de
los mayormente aceptadas es la Norma 27001

Si bien existen muchas normas internacionales para evaluar los riesgos informáticos y aplicar
controles para mitigarlos o eliminarlos, la norma ISO 27001 cuenta con amplia aceptación para
asegurar la integridad de tus datos informáticos. Sus principales características son:

 Confidencialidad. Garantiza acceso seguro a la información exclusivamente a los

agentes que autorices a ando acceso únicamente a aquellos que estén autorizados.
 Integridad. Estrechamente relacionado al punto anterior, ISO 27001 asegura que tanto
los procesos como la información relacionada con tus sistemas de seguridad sean
completos y precisos.
 Disponibilidad. Tus agentes autorizados podrán acceder a la información pertinente
cuando lo necesiten.
 Prestigio. La norma ISO 27001 recubre con su buen nombre a toda empresa que lo
adopte ya que es referente mundial de buenas prácticas y excelentes resultados.
 Accesibilidad. Funciona para todo tipo de empresa y para todos los sectores o verticales.
Los expertos pueden adaptarse más fácilmente a sus postulados, lo que resulta más
conveniente a nivel económico y de costos operativos.

Ciclo Continuo PDCA

El ciclo de Deming (de Edwards Deming), también conocido como círculo PDCA (del inglés plan-
do-check-act, esto es, planificar-hacer-verificar-actuar) o espiral de mejora continua, es una
estrategia de mejora continua de la calidad en cuatro pasos, basada en un concepto ideado por
Walter A. Shewhart. Es muy utilizado por los sistemas de gestión de la calidad (SGC), los Sistemas
de gestión ambiental (SGA) y los sistemas de gestión de la seguridad de la información (SGSI).

Los resultados de la implementación de este ciclo permiten a las empresas una mejora integral
de la competitividad, de los productos y servicios, mejorando continuamente la calidad,
reduciendo los costos, optimizando la productividad, reduciendo los precios, incrementando la
participación del mercado y aumentando la rentabilidad de la empresa u organización.

Actividades para realizarse en el proceso:

1. Inventario de Activos de Información

2. Análisis de riesgo y plan de tratamiento
3. Requerimientos de Seguridad – Administrativos
4. Requerimientos de Seguridad – Técnicos

Como se ha indicado "la norma ISO/IEC 27001 especifica los requisitos para establecer,
implantar, poner en funcionamiento, controlar, revisar, mantener y mejorar un SGSI
documentado dentro del contexto global de los riesgos de negocio de la organización. Especifica
los requisitos para la implantación de los controles de seguridad hechos a medida de las
necesidades de organizaciones individuales o partes de las mismas".

Criollo Ramos José Antonio

El objetivo es la mejora continua y se adopta el modelo Plan-Do-Check-Act (PDCA o ciclo
Demming) para todos los procesos de la organización.

Las fases de este modelo son:

Planificación (Plan) [establecer el SGSI]

Establecer la política, objetivos, procesos y procedimientos relativos a la gestión del riesgo y

mejorar la seguridad de la información de la organización para ofrecer resultados de acuerdo
con las políticas y objetivos generales de la organización.

- Identificar lo que se quiere mejorar.

- Recopilar datos del proceso que se quiere mejorar.
- Analizar los datos recogidos.
- Establecer los objetivos de mejora.
- Detallar los resultados esperados.
- Definir los procesos necesarios conseguir los objetivos

Ejecución (Do) [implementar y gestionar el SGSI]

Implementar y gestionar el SGSI de acuerdo a su política, controles, procesos y procedimientos.

En la medida de lo posible debería hacerse en un entorno de prueba para poder verificar sus
resultados antes de implantarlo en el sistema real.

Seguimiento (Check) [monitorizar y revisar el SGSI]

Verificar. Medir y revisar las prestaciones de los procesos del SGSI. Comprobar que las medidas
adoptadas han surtido efecto, para ello se debe volver a recopilar datos y monitorizar el
comportamiento del sistema.

Mejora (Act) [mantener y mejorar el SGSI]

Adoptar acciones correctivas y preventivas basadas en auditorías y revisiones internas con el

objetivo de mejorar el SGSI. Hace referencia a la actitud que se debe tomar después de los tres

Criollo Ramos José Antonio

primeros pasos y dependerá de lo que haya ocurrido. En caso de haber ocurrido algún mal
funcionamiento, se deberá repetir el ciclo de nuevo. Si el funcionamiento ha sido correcto, se
instalarán las modificaciones en el sistema de manera definitiva.

Criollo Ramos José Antonio