Administre Sus Proyectos

[logo de la organización]

[nombre de la organización]

PLAN DEL PROYECTO

para la implementación del Sistema de gestión de Seguridad de la información

Código :

Versión:

Fecha de la versión:

Creado por:

Aprobado por:

Nivel de confidencialidad:

Historial de modificaciones

Fecha Versión Creado por Descripción de la modificación

10/01/2013 0.1 Dejan Kosutic Descripción básica del documento

Tabla de contenido

1. OBJETIVO, ALCANCE Y USUARIOS 3

2. DOCUMENTOS DE REFERENCIA 3

3. PROYECTO DE IMPLEMENTACIÓN DEL SGSI 3

3.1. OBJETIVO DEL PROYECTO 3

3.2. RESULTADOS DEL PROYECTO 3

3.3. PLAZOS 5

3.4. ORGANIZACIÓN DEL PROYECTO 5

3.4.1. Promotor del proyecto 5

3.4.2. Gerente del proyecto 5

3.4.3. Equipo del proyecto 6

CUADRO DE PARTICIPANTES DEL PROYECTO 6

3.5. PRINCIPALES RIESGOS DEL PLAN 6

3.6. HERRAMIENTAS PARA IMPLEMENTACIÓN DEL PROYECTO Y GENERACIÓN DE INFORMES 6

4. GESTIÓN DE REGISTROS GUARDADOS EN BASE A ESTE DOCUMENTO 7

5. VALIDEZ Y GESTIÓN DE DOCUMENTOS 7

1. Objetivo, alcance y usuarios

El objetivo del Plan del proyecto es definir claramente el propósito del proyecto de implementación del Sistema de Gestión de Seguridad de la Información (SGSI) , los documentos que se redactarán, los plazos y las funciones y responsabilidades del proyecto.

El Plan del proyecto se aplica a todas las actividades realizadas en el proyecto de implementación del SGSI .

Los usuarios de este documento son los miembros de la [alta dirección] y los miembros del equipo del proyecto.

2. Documentos de referencia

• Norma ISO/IEC 27001

• Norma ISO 22301

• Norma BS 25999-2

• [decisión u otro documento similar que establezca el lanzamiento del proyecto]

• [metodología para la gestión del proyecto]

3. Proyecto de implementación del SGSI

3.1. Objetivo del proyecto

Para implementar el Sistema de Gestión de Seguridad de la Información en conformidad con la norma ISO 27001 , a más tardar, hasta el [fecha].

3.2. Resultados del proyecto

Durante el proyecto de implementación del SGSI, se redactarán los siguientes documentos (algunos de los cuales contienen apéndices no mencionados aquí en forma expresa):

• Procedimiento para control de documentos y registros: procedimiento que establece las reglas básicas para la redacción, aprobación, distribución y actualización de documentos y registros.

• Procedimiento para identificación de requisitos: procedimiento para identificar obligaciones legales, normativas, contractuales y de otra índole.

• Alcance del Sistema de Gestión de Seguridad de la Información: un documento que define en forma precisa los activos, ubicaciones, tecnología, etc. que forman parte del alcance.

• Política de seguridad de la información: este es un documento clave que utiliza la dirección para controlar la gestión de la seguridad de la información.

• Metodología de evaluación y tratamiento de riesgos: describe la metodología para gestionar los riesgos de la información.

• Cuadro de evaluación de riesgos: el cuadro es el resultado de la evaluación del valor, de las amenazas y vulnerabilidades de los activos.

• Cuadro de tratamiento de riesgos: un cuadro en el que se seleccionan los controles de seguridad adecuados para cada riesgo inaceptable.

• Informe sobre evaluación de riesgos y tratamiento del riesgo: un documento que incluye todos los documentos clave generados en el proceso de evaluación y tratamiento de riesgos.

• Declaración de aplicabilidad: un documento que determina los objetivos y la aplicabilidad de cada control establecido en el Anexo A de la norma ISO 27001.

• Procedimiento para Auditoría interna: define cómo se seleccionan los auditores, cómo se redactan los programas de auditoría, cómo se realizan las auditorías y cómo se informan los resultados de las mismas.

• Procedimiento para acciones correctivas: describe el proceso de implementación para acciones correctivas y preventivas.

• Formulario para minutas de revisión por parte de la dirección: un formulario que se utiliza para crear minutas de las reuniones que la dirección realiza para revisar la adecuación del SGSI.

• Plan de tratamiento del riesgo: un documento que especifica los controles que se deben implementar, quién es responsable de la implementación, de los plazos y de los recursos.

En el Plan de tratamiento del riesgo se especifican otros documentos que deben redactarse durante la implementación del SGSI.

Durante el proyecto de implementación de gestión de continuidad del negocio se redactarán los siguientes documentos (algunos de los cuales contienen apéndices no mencionados aquí en forma expresa):

• Política de la gestión de continuidad del negocio: establece un marco básico para el SGCN, determina el alcance y las responsabilidades.

• Cuestionarios de Análisis de impactos en el negocio (AIN): análisis de impactos cualitativos y cuantitativos sobre el negocio, de recursos necesarios, etc.

• Estrategia de continuidad del negocio: define actividades críticas, interdependencias, objetivos de tiempo de recuperación, estrategia para gestionar y garantizar la continuidad del negocio, estrategia para recuperación de recursos, estrategia para actividades críticas individuales.

• Plan de continuidad del negocio: una descripción detallada

...