¿Qué es un SGSI?
¿Qué documentos tiene un SGSI en una pyme?
| Documento | Qué dice | Extensión orientativa |
|---|---|---|
| Política de seguridad | Qué se compromete a hacer la empresa y quién es responsable | 1 página |
| Análisis de riesgos | Qué puede salir mal, cómo de probable es y qué lo frena | Una tabla |
| Controles aplicados | Qué medidas hay y cómo se comprueban | Una tabla |
| Registro de incidentes | Qué ha pasado y qué se hizo | Se va rellenando |
| Revisión anual | Qué ha funcionado y qué se cambia | 1-2 páginas |
¿Cómo se mantiene vivo un SGSI?
Planificar
Riesgos y medidas.
Hacer
Aplicar las medidas.
Comprobar
Revisar que funcionan y guardar pruebas.
Mejorar
Cambiar lo que no funciona.
¿Para qué te sirve tener un SGSI?
Responder a clientes
Muchos cuestionarios preguntan si tienes política y análisis de riesgos.
NIS2 y ENS
Ambos piden gestionar los riesgos y documentarlo.
Certificarte en ISO 27001
Si algún día te compensa, ya tienes la base.
Que no dependa de una persona
Lo que está escrito sobrevive a las vacaciones y a las bajas.
Se suele pensar
«Un SGSI es un manual enorme»
En realidad
En una pyme puede caber en cinco documentos cortos. Lo que importa es que sean ciertos y estén al día.
Se suele pensar
«Tener SGSI es estar certificado»
En realidad
No. Puedes tener un SGSI sin certificarlo. La certificación es una auditoría externa según la ISO 27001.
Preguntas frecuentes
¿Es obligatorio?
No con ese nombre para todas las empresas. Pero la NIS2, el ENS y muchos clientes piden lo que contiene: riesgos, medidas y revisión.
¿Cuánto se tarda en montar?
Si las medidas ya están puestas, unas semanas. Lo que más tiempo lleva es poner las medidas que faltan.
¿Quién tiene que firmarlo?
La dirección. Es una decisión de empresa, no solo de informática.
