Primeros pasos para la implementación del sistema de gestión de seguridad de la información

Para realizar la implementación exitosa de un sistema de seguridad de la información basado en la ISO 27001 es necesario contar con el apoyo de la alta dirección, e incluir en todos los proceso a los diferentes actores ya que son los responsables del manejo de información crítica para la organización.

Recordemos que la ISO 27001 está basada en tres pilares fundamentales los cuales son la Integridad, Disponibilidad y Confidencialidad de la información, para garantizar estos tres pilares nos apoyamos en la ISO 27002 la cual da una guía de controles que deben ser implementados para garantizar los tres pilares de la seguridad de la información.

El primer paso después de contar con el apoyo de la alta dirección, es la organización de seguridad de la información en la cual se debe definir el alcance del sistema de gestión de seguridad de la información, se debe definir un comité de seguridad de la información que tomara las decisiones frente a la implementación del sistema y frente a incidentes de seguridad, se deben definir responsables de los activos de información que son las personas capaces de clasificar la información dependiendo su valor para la organización y a la vez son responsables de autorizar el acceso a la información dependiendo las necesidades.

La ISO 27002 está conformada por 14 dominios, 35 objetivos de control y 114 controles, para la implementación de estos es necesario crear procedimientos, controles, formatos, en cada una de las secciones de este blog podrá encontrar la documentación necesaria para realizar la implementación del sistema de gestión de seguridad de la información.

La evaluación de los riesgos es parte fundamental para la seguridad de la información, es por eso que también se debe tener en cuenta en los primeros pasos hacia la implementación del SGSI, para esto se debe realizar un diagnóstico inicial del estado de la seguridad de la información para así tener un punto de partida y saber cuál es la situación actual de la organización, en la sección sobre riesgos de este blog podrá encontrar un formato que le ayudara a realizar esa evaluación inicial.

Otro punto fundamental y definido en el primer dominio de la norma ISO 27002 son las políticas de seguridad de la información, los cuales son los lineamientos iniciales de la organización frente a la seguridad de la información y dan una pista inicial para la identificación de los controles a implementar, estas políticas deben ser revisadas y aprobadas por la alta gerencia. 

En el menú políticas de seguridad podrá encontrar un documento guía para crear las políticas de seguridad de la información y documentos guía para realizar la implementación de cada uno de los controles mencionados en la norma ISO 27002