Los sistemas de información son cada vez más un recurso crítico para todas las organizaciones porque todas las actividades tienen una alta dependencia de las tecnologías de la información. La Dirección de toda organización es responsable de la protección de la información que gestiona frente a las amenazas de este entorno y deben, por todos los medios disponibles, garantizar la seguridad de los procesos de negocio.

La seguridad no es un producto, es un proceso continuo que debe ser controlado, monitorizado y gestionado dado que siempre se encuentra en constante cambio. En esta línea, y siendo conscientes del escenario descrito, se ha publicado la norma ISO 27001 que presenta un nuevo estándar de certificación para los “Sistemas de Gestión de la Seguridad de la Información (SGSI)”, contribuyendo de esta manera a minimizar, en la medida de lo posible, los riesgos de los sistemas de información de las organizaciones a través de una gestión eficaz del proceso de seguridad.

Tras la consultoría para la implantación de la norma ISO 270001:2013 se obtienen los siguientes resultados:

• Disposición de una política de seguridad para toda la organización

• Un inventariado de los activos de la organización identificando las necesidades de protección de cada uno de ellos

• Evaluación del nivel de riesgo al que está expuesto la organización, de forma que permita tomar decisiones respecto a qué opciones de tratamiento tomar en cada caso

• Diseño de un plan de tratamiento de riesgos que establezca un conjunto de proyectos o actuaciones cuyos objetivos son lograr el nivel de seguridad deseado por la Dirección de la organización. De esta forma, se establece una priorización de las medidas de seguridad atendiendo a las necesidades de negocio

• Construcción de un sistema de gestión basado en la mejora continua que permita año a año elevar el nivel de madurez de las medidas de seguridad que eleven la protección de la organización