PRIMER SGSI
Desde cero
No hay nada formal todavía — y eso es una ventaja: el sistema se construye sobre cómo trabajas, sin arrastrar teatro documental heredado. La ruta completa, en el orden correcto y con el alcance realista para empezar.
EXPEDIENTE /01 — GOBIERNO
La certificación es laconsecuencia, no la meta.
Diseñamos e implementamos tu Sistema de Gestión de Seguridad de la Información completo: del análisis de brecha inicial al certificado en la mano, y de ahí a las vigilancias que lo mantienen vivo. Un SGSI que tu operación realmente puede sostener — no una carpeta que se desempolva antes de la auditoría.
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO/IEC 27005
- ISO 19011
LA RUTA
De la brecha al certificado, sin misterio.
Seis estaciones en el orden en que un SGSI se construye de verdad. Cada una produce una entrega que un auditor puede verificar — el avance se demuestra, no se reporta.
ANÁLISIS DE BRECHA · ISO/IEC 27001:2022
Medir la brecha
- CLÁUSULAS
- Cláusulas 4–10 · Anexo A
- ENTREGA CLAVE
- Informe de brecha priorizado
Dónde estás parado contra la norma completa, con evidencia y no con impresiones. Cada requisito se marca como cumplido, parcial o ausente, y la brecha sale priorizada por esfuerzo e impacto — el mapa del resto de la ruta.
QUÉ SE TRABAJA
- Contexto de la organización y partes interesadas (cláusula 4)
- Liderazgo, roles y alcance del SGSI (cláusula 5)
- Revisión de los 93 controles del Anexo A contra tu operación real
- Priorización: qué cerrar primero y por qué
EVALUACIÓN Y TRATAMIENTO · ISO/IEC 27005
Gobernar el riesgo
- CLÁUSULAS
- Cláusulas 6.1 · 8.2–8.3
- ENTREGA CLAVE
- Matriz de riesgos + plan de tratamiento
El corazón técnico del SGSI: una metodología de riesgo que la dirección puede firmar, criterios de aceptación defendibles y un plan de tratamiento que conecta cada riesgo con el control que lo atiende.
QUÉ SE TRABAJA
- Metodología y criterios de aceptación del riesgo
- Identificación de activos, amenazas y vulnerabilidades
- Valoración con escalas que sobreviven a la pregunta '¿por qué ese número?'
- Plan de tratamiento y declaración de aplicabilidad preliminar
CUERPO DOCUMENTAL · POLÍTICAS Y SOA
Escribir lo que se opera
- CLÁUSULAS
- Cláusula 7.5 · Anexo A
- ENTREGA CLAVE
- Políticas + declaración de aplicabilidad
Documentos que describen cómo trabajas de verdad — no una carpeta de 200 plantillas genéricas. Cada política existe porque alguien la usa; la declaración de aplicabilidad justifica control por control, incluida cada exclusión.
QUÉ SE TRABAJA
- Política marco y políticas específicas sobre tu operación
- Procedimientos operativos con dueño y registro
- Declaración de aplicabilidad justificada (SoA)
- Control documental que no estorbe (cláusula 7.5)
IMPLEMENTACIÓN Y MEDICIÓN · CLÁUSULAS 8–9.1
Operar el sistema
- CLÁUSULAS
- Cláusulas 7 · 8 · 9.1
- ENTREGA CLAVE
- Indicadores + evidencia operando
El salto que separa un SGSI real de uno de papel: los controles se despliegan, el equipo sabe operarlos y los indicadores le hablan a la dirección. La evidencia se genera al operar — no se fabrica antes de la auditoría.
QUÉ SE TRABAJA
- Despliegue de controles con dueño y fecha
- Formación y concientización por audiencia
- Indicadores de desempeño que la dirección entiende
- Evidencia que el sistema deja sola al funcionar
AUDITORÍA INTERNA Y REVISIÓN · ISO 19011
Ensayar la auditoría
- CLÁUSULAS
- Cláusulas 9.2–9.3
- ENTREGA CLAVE
- Informe de auditoría + acta de revisión
El ensayo general con rigor de certificación real: programa, muestreo de evidencia y hallazgos redactados como los redactaría el organismo. Lo que salga aquí se corrige antes de que cuente.
QUÉ SE TRABAJA
- Programa y plan de auditoría interna
- Auditoría completa del SGSI con muestreo de evidencia
- No conformidades, acciones correctivas y seguimiento
- Revisión por la dirección con acta y decisiones
CERTIFICACIÓN · VIGILANCIA
Certificarse y sostenerlo
- CLÁUSULAS
- Etapa 1 · Etapa 2 · Vigilancias
- ENTREGA CLAVE
- Acompañamiento completo + calendario de vigilancia
Acompañamiento durante la auditoría de tercera parte: preparación de la etapa 1 documental, soporte en sitio durante la etapa 2, cierre de los hallazgos del organismo — y el calendario que mantiene el certificado vivo después.
QUÉ SE TRABAJA
- Preparación y acompañamiento en etapa 1 (revisión documental)
- Soporte durante la etapa 2 (auditoría de implementación)
- Cierre de hallazgos del organismo certificador
- Vigilancias anuales y re-certificación al tercer año
PUNTO DE PARTIDA
La ruta se adapta a donde estás parado.
SGSI DORMIDO
Rescate
La carpeta existe, alguien la armó hace años y nadie la vive. Se audita lo que hay, se rescata lo que sirve y se reconstruye lo que no — sin fingir que el papel viejo cuenta como sistema. Suele ser más rápido que empezar de cero, pero solo si se hace con honestidad.
YA CERTIFICADO
Sostener y mejorar
El certificado ya está en la pared y ahora hay que mantenerlo vivo: vigilancias anuales sin sobresaltos, transición de versión de la norma, y un sistema que madure en vez de repetirse. También auditamos lo que tu consultor anterior dejó armado.
¿No sabes cuál eres? Esa es exactamente la pregunta que el análisis de brecha responde — con evidencia, en semanas, y sin compromiso de continuar con el resto de la ruta.
CÓMO SE CONSTRUYE
Un SGSI que se opera, no que se archiva.
PRINCIPIO 01
Sin teatro documental
Cada documento existe porque alguien lo usa. Una política que nadie abre no es un control: es utilería que el auditor detecta a la primera pregunta.
PRINCIPIO 02
La operación manda
El SGSI se adapta a cómo trabaja tu equipo, no al revés. Si el sistema pelea contra la operación, la operación gana — y el sistema muere en una carpeta.
PRINCIPIO 03
Evidencia que se genera sola
Un control bien diseñado deja registro al operarse. Si hay que fabricar evidencia la semana antes de la auditoría, el control no existe.
QUÉ TE LLEVAS
Un sistema que un auditor puede recorrer.
- Informe de análisis de brecha con priorización por esfuerzo e impacto
- Metodología, matriz de riesgos y plan de tratamiento
- Cuerpo documental completo: políticas, procedimientos y SoA
- Programa de auditoría interna, informe y acciones correctivas
- Acompañamiento en las etapas 1 y 2 de la certificación
- Calendario de vigilancia y soporte posterior
REGLAS DE LA CASA
Dichas antes de firmar.
- El certificado lo emite un organismo acreditado independiente — nunca nosotros. Implementar y certificar en la misma mano sería un conflicto de interés, y decirlo claro es parte del servicio.
- Sin plantillas genéricas: todo documento se adapta a tu operación o no se entrega.
- La dirección participa o no arrancamos — la cláusula 5 no es delegable, y un SGSI sin liderazgo real no pasa la etapa 2.
- Lo que veamos de tu operación queda bajo confidencialidad, siempre.
¿Cuánto te faltapara certificarte?
El análisis de brecha responde eso con evidencia, no con estimaciones de pasillo. Empecemos por ahí.