¿Qué es un sistema de gestión de la seguridad de la información?

Es el conjunto de políticas, funciones, procesos y registros con el que una organización gestiona la seguridad de la información de forma deliberada y no por casualidad. Un sistema de gestión de la seguridad de la información (SGSI) responde de forma continua a varias preguntas: qué información y qué sistemas importan, qué riesgos los amenazan, qué medidas tomamos, quién es responsable, cómo sabemos que las medidas funcionan y cómo mejoramos cuando no lo hacen. En concreto consta de documentos como una política de seguridad, una evaluación de riesgos y un plan de tratamiento, una declaración de los controles aplicables, procedimientos para incidentes y proveedores, y de pruebas de que se cumplen: registros de formación, revisiones de accesos, resultados de auditoría y actas de revisión por la dirección. Se llama sistema porque funciona en un ciclo de planificar, hacer, verificar y actuar. La ISO/IEC 27001 fija sus requisitos, pero incluso las empresas que nunca buscan la certificación se benefician de la estructura, y las obligaciones de gestión de riesgos de NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas. encajan en ella con naturalidad. Una herramienta de vigilancia es un control dentro del sistema y una fuente de pruebas, no el sistema en sí.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas