Enfoque y consideraciones iniciales para la Implementación de un SGSI (ISMS).

La implementación de un sistema de gestión de la seguridad de la información basado en la ISO/IEC 27001, requiere en primera instancia de un fuerte compromiso de los ejecutivos de la empresa con el apoyo de los principales líderes de la misma, para que la iniciativa tenga mayor y mejor sentido en función de la necesidad y sea más cómodo desarrollar lineamientos y políticas que puedan ser aplicadas en todos los niveles de la compañía. Para todo esto, no puede dejarse de lado el componente de la comunicación a todo nivel, para lo cual será necesario desarrollar una estrategia integral en ese sentido.

Con la parte del compromiso definida, se pueden abordar otros aspectos de la implementación a través del enfoque del ciclo de Deming (PDCA), que es la base sobre la que están desarrollados la mayor parte de los estándares ISO con enfoque en sistemas de gestión. Este enfoque implica, organizar de forma lógica la planificación, ejecución, seguimiento y control y mejora del sistema de gestión de seguridad de la información, a la vez que se asocian al cumplimiento de requisitos de la ISO/IEC 27001, si se pretende luego, acceder a un proceso de certificación basado en este estándar.

Los aspectos que pueden ser abordados en esa línea, serían el análisis del contexto de la organización y de los interesados para conocer y documentar la situación actual y las necesidades y principales requisitos, la definición del alcance, la estrategia y su planificación, así como definir el marco general y formalizar la metodología para la gestión de riesgos en la gestión de la seguridad de la información. Enseguida, pueden abordarse los demás componentes como, la formalización de la política, objetivos de seguridad de la información, definición de roles, competencias y sus responsabilidades, así como establecer el marco de la gestión y control documental para los documentos y registros que serán desarrollados para el sistema de gestión. Estos aspectos representarían la base inicial de un despliegue integral de un sistema de gestión de la seguridad de la información.