El desarrollo y la implementación SGSI en la organización

operación, seguimiento, revisión, mantenimiento y mejora de un sistema de gestión de la

seguridad de la información (SGSI). La adopción de un SGSI debería ser una decisión

estratégica para una organización. El diseño e implementación del SGSI de una organización

están influenciados por las necesidades y objetivos, los requisitos de seguridad, los procesos

empleados y el tamaño y estructura de la organización. Se espera que estos aspectos y sus

sistemas de apoyo cambien con el tiempo. Se espera que la implementación de un SGSI se

ajuste de acuerdo con las necesidades de la organización, por ejemplo, una situación simple

requiere una solución de SGSI simple.

Esta norma se puede usar para evaluar la conformidad, por las partes interesadas, tanto

internas como externas.

0.2 ENFOQUE BASADO EN PROCESOS

Esta norma promueve la adopción de un enfoque basado en procesos, para establecer,

implementar, operar, hacer seguimiento, mantener y mejorar el SGSI de una organización.

Para funcionar eficazmente, una organización debe identificar y gestionar muchas actividades.

Se puede considerar como un proceso cualquier actividad que use recursos y cuya gestión

permita la transformación de entradas en salidas. Con frecuencia, el resultado de un proceso

constituye directamente la entrada del proceso siguiente.

La aplicación de un sistema de procesos dentro de una organización, junto con la identificación

e interacciones entre estos procesos, y su gestión, se puede denominar como un “enfoque

basado en procesos”.

El enfoque basado en procesos para la gestión de la seguridad de la información, presentado

en esta norma, estimula a sus usuarios a hacer énfasis en la importancia de:

a) comprender los requisitos de seguridad de la información del negocio, y la

necesidad de establecer la política y objetivos en relación con la seguridad de la

información;

b) implementar y operar controles para manejar los riesgos de seguridad de la

información de una organización en el contexto de los riesgos globales del

negocio de la organización;

c) el seguimiento y revisión del desempeño y eficacia del SGSI, y

d) la mejora continua basada en la medición de objetivos.

...