¿Qué es un ISMS y por dónde empezar?
Information Security Management System — suena más complicado de lo que es. Para una pyme es un conjunto de documentos y rutinas, no una plataforma que instalas en ningún sitio.
ISMS = Information Security Management System. En esencia: tu forma de trabajar la seguridad de la información, documentada y mantenida. No es un software. Es cómo piensas y actúas.
Los cinco pilares
- Alcance. ¿Qué abarca tu ISMS? ¿Toda la empresa, una unidad de negocio concreta, solo ciertos datos? Esto se define antes de hacer cualquier otra cosa.
- Capa de políticas. 8-12 documentos (política de seguridad, control de accesos, respuesta a incidentes, uso aceptable, …). En total ~40-80 páginas.
- Gestión de riesgos. Registro de riesgos con el riesgo, el responsable, la medida y el riesgo residual. Ver gestión de riesgos.
- Controles. El subconjunto del Anexo A que implementas. La Declaración de Aplicabilidad (SoA) es el documento de referencia.
- Ciclo PDCA. Plan, Do, Check, Act. Suena muy formal, pero en la práctica son: revisiones, auditorías, revisión por la dirección y lecciones aprendidas.
¿Por dónde empezar?
- Definir el alcance (1 día).
- Análisis de brechas frente al Anexo A (1-3 días).
- Primera versión del registro de riesgos (2 días).
- Política de control de accesos + A.9 (1 semana hasta tener evidencias).
- Resto de políticas (2-4 semanas, en paralelo con la recopilación de evidencias).
El error más común: buscar la perfección
Tu ISMS no tiene que ser perfecto. Tiene que funcionar y poder demostrarse. La versión 1 de tus políticas puede estar al 80%. Mejorar es parte del ciclo PDCA — es completamente normal actualizarlas cada año.
Ver también: pilar ISO 27001, el ciclo PDCA explicado.
Volledige gids: ISO 27001 para pymes sin gastar €50k en consultores
Dit artikel is onderdeel van onze uitgebreide Compliance-gids. Lees de pillar voor het complete plaatje.
Lees de pillar →