Gestión estratégica de seguridad en la empresa - Anetcom

Ilustración 16.- Visión del ciclo de mejora de ISO 27001.
La fase de planificación asume las tareas de definición del Sistema de Gestión
de Seguridad de la Información. Comienza por la definición de cuáles
son los objetivos de seguridad que persigue la organización, y del ámbito en
el que espera que dichos objetivos sean alcanzados. Los objetivos de seguridad
quedan recogidos en la política de seguridad de la organización, mientras
que el documento de alcance especifica el ámbito mencionado. Debe
reseñarse en este punto que la decisión sobre el alcance del Sistema de Gestión
es un punto definitorio del resto de la vida del sistema, por cuando condiciona
decisivamente el volumen de actividades. Cualquier organización
que implanta un SGSI aspirará al menos implícitamente a que el sistema le
cubra por completo, aunque es viable cumplir esta aspiración mediante la
implantación en un ámbito más reducido y su posterior ampliación dentro
del proceso de mejora propio del sistema. Para ser exitosa, esta estrategia
requiere de un conocimiento profundo de los Sistemas de Gestión y su
implantación.
Una vez decididos los objetivos de seguridad y alcance de los mismos, el Sistema
de Gestión inicia una fase de inventario, en la que se identifican e
inventarían los activos de la organización incluido dentro del alcance. El
inventariado es más que un simple conteo de servidores, o de bases de datos.
Está orientado a la producción de resultados prácticos que mejoren la compañía,
ya sea en su eficiencia, en los servicios y/o productos que ofrece, en el
cumplimiento de sus objetivos y finalidades, o en sus resultados meramente
97