Gestión estratégica de seguridad en la empresa - Anetcom

• Los riesgos que, en este momento, no se van a tratar y que la organización
conscientemente acepta. Estos riesgos incluyen riesgos de muy escasa
peligrosidad (bien por afectar a activos poco relevantes, amenazas
poco frecuentes, etc) o aquellos que siendo relevantes son menos prioritarios
que otros más importantes y cuya atención agota el presupuesto
disponible. En ese sentido, debe recordarse que el SGSI es un ciclo de
mejora continua, que no requiere que la ejecución simultánea de todas
las actividades para conseguir la máxima seguridad de forma inmediata,
sino que se ejecuta en varias iteraciones. Por ello, habitualmente los riesgos
que se tratan en la iteración enésima del ciclo son riesgos que ya
habían sido identificados y asumidas en iteraciones anteriores. Esta aceptación
se plasma en el documento de aceptación del nivel de riesgo residual.
• El nivel de riesgo para la organización resultante de estas actividades.
De esta forma se cierra la fase Plan del ciclo PDCA descrito en ISO 27001,
pasando a la fase Do. Esta fase se encarga de la ejecución del plan diseñado,
usando metodologías de gestión de proyecto, integrando las soluciones tecnológicas
de seguridad adecuadas, etc.
La fase Check se encarga de la verificación en el día a día de los resultados
que se obtienen en seguridad en la organización. Para ello, se apoya en dos
herramientas fundamentales:
• Indicadores de seguridad, habitualmente recopilados en formato de Cuadro
de Mandos. Estos indicadores vigilan en tiempo cuasi-real la eficacia
y eficiencia de las medidas de control previamente seleccionadas, y su
operatividad a lo largo del tiempo, detectando desviaciones que requieran
atención adicional.
• Actividades de auditoría de seguridad, que monitorizan el cumplimiento
de otros controles en períodos de tiempo más largos.
Finalmente, la fase Act se encarga de la ejecución de los ajustes necesarios
para conservar el estado de seguridad y para eliminar los problemas menores
que se van detectando en la operación y mantenimiento del sistema. Si bien
la mayor parte de sus actividades se deriva de los hallazgos de la fase Check,
99