Actualmente las organizaciones se enfrentan a cambios en su entorno por el acelerado crecimiento del desarrollo y utilización de las tecnologías enfocadas en la generación de productos y servicios más “ajustados” a las nuevas necesidades de los clientes; y dentro de esta tendencia, las organizaciones deben apoyarse en procesos de toma de decisión efectivas, y es donde la información juega un papel fundamental, puesto que al día de hoy se la considera como un “activo estratégico”, mismo que puede influenciar en el logro de objetivos institucionales, en la eficiencia y efectividad de los procesos internos y consecuentemente en la provisión de productos o servicios al mercado objetivo.

En años anteriores el disponer de un Sistema de Gestión de Seguridad de Información (SGSI) se convertía en una ventaja competitiva, donde pocas empresas invertían para el alineamiento y adaptación de mejores prácticas internacionales para garantizar que la información institucional tenga un correcto uso y protección al proteger la confidencialidad, integridad y disponibilidad de la misma; sin embargo, al día de hoy el contar con un SGSI es una necesidad comparativa, esto quiere decir que los diferentes sectores productivos y segmentos de mercados ya exigen a las empresas disponer prácticas empresariales en diferentes áreas (calidad, ambiental, cumplimiento, seguridad de información, entre otras) para tomarles en cuenta en un proceso de adquisición de bienes y servicios.

El presente documento busca dar una orientación metodológica para el diseño e implementación del SGSI considerando los requisitos de la norma ISO 27001:2022 para la gestión de la seguridad de información.

1.Directrices para una Implementación Exitosa

Al abordar un proceso de implementación de un sistema de gestión se debe considerar unas condiciones iniciales que garanticen un entorno apropiado de confianza, trabajo en equipo, competencias adquiridas y compromiso en todos los niveles organizacionales, teniendo presente lo siguiente:

• Compromiso demostrable y continuo por parte de la Alta Dirección, ya que se requerirá la dotación de recursos (financieros, humanos, tecnológicos, organizacionales) para las diferentes fases del SGSI que toman como referencia el Ciclo de Deming o mejora continua (PHVA).
• Adecuada definición del alcance del SGSI, mismo que influye en el dimensionamiento de plazo de ejecución del proyecto, la asignación y uso de recursos entre otros.
• Utilización, en lo posible, de lo que ya se dispone teniendo presente la existencia de políticas, procedimientos y controles de seguridad que generalmente se ha implementado por “buenas prácticas” y que su evaluación de cumplimiento se relacionará con un GAP Análisis de requisitos de la ISO 27001.
• Utilización de recursos externos adecuados, como la experiencia, conocimientos de organizaciones que ya han realizado un proceso de implementación y consecuentemente de consultores confiables que demuestre experiencia.
• Gestión documental adecuada que proporciona visibilidad del proyecto, es decir la revisión de avances y registro de lo realizado.
• Flexibilidad para ajustar los planes a medida que se avanza con la implementación, sustentado en evaluaciones o revisiones programadas.
• Involucramiento de los colaboradores, aprovechando su experiencia y conocimiento como aporte al proyecto, principalmente en aquellos aspectos de análisis requeridos en alguna de las fases del SGSI.

Sistema de Gestión: es una serie de procesos, acciones y tareas que se llevan a cabo sobre un conjunto de elementos (personas, procedimientos, estrategias, planes, recursos, productos, etc.) para lograr el éxito sostenido de una organización.