El ciclo PDCA explicado para directivos

Plan-Do-Check-Act suena burocrático. En la práctica es: escribe lo que haces, hazlo, comprueba si funciona, ajústalo. Aquí la explicación más breve y útil.

PDCA es el hilo conductor de todo ISMS. ISO 27001 exige que apliques este ciclo. En la práctica se da en tres niveles: estratégico (anual), táctico (trimestral) y operativo (continuo).

Estratégico: anual

• Plan: plan anual con 2-5 objetivos de seguridad.
• Do: ejecución a lo largo del año.
• Check: auditoría interna + revisión por la dirección.
• Act: el siguiente plan anual incorpora los hallazgos.

Táctico: ritmo trimestral

• Planificación: ¿qué controles requieren atención este periodo?
• Ejecución: revisiones de acceso, pruebas de copias de seguridad, actualizaciones de políticas.
• Check: recopilar hallazgos, actualizar el registro de riesgos.
• Act: planificar medidas correctivas.

Operativo: continuo

Registrar incidentes, realizar simulacros de phishing, análisis de vulnerabilidades, aplicar parches. Cada semana hay algo.

Una regla común

Registra todos los ciclos (anual, trimestral, semanal) en el mismo calendario/herramienta. Un ISMS que solo existe en la memoria es un ISMS que no sobrevivirá la primera auditoría.

Véase también qué es un ISMS.