Etapas recomendadas
El orden exacto depende de la organización, pero una implementación normalmente necesita conectar gobierno, riesgos, controles y evidencia.
- Definir contexto, partes interesadas y alcance
- Establecer roles y responsabilidades
- Definir metodología de riesgos
- Evaluar y tratar riesgos
- Determinar controles y declaración de aplicabilidad
- Implementar políticas y registros
- Medir desempeño
- Realizar auditoría interna y revisión
- Gestionar acciones correctivas
Evitar el SGSI como carpeta de documentos
La documentación debe apoyar la operación. Los responsables necesitan saber qué deben hacer, cuándo registrar evidencia, cómo escalar problemas y cómo se evalúan los resultados.
- Asignar dueños reales
- Usar evidencias que ya genera la operación
- Automatizar seguimiento cuando sea posible
- Revisar periódicamente riesgos e indicadores