ISO 27001: por dónde empezar sin paralizar la operación

Implementar ISO 27001 no es un proyecto de documentos: es una forma de gobernar la seguridad de la información. El error más común es partir redactando políticas antes de saber qué se quiere proteger.

1) Defina el alcance y el contexto. 2) Levante activos y sus responsables. 3) Evalúe riesgos con una metodología simple y repetible. 4) Seleccione controles del Anexo A y declare su aplicabilidad. 5) Implemente y recopile evidencias mientras trabaja, no al final. 6) Audite internamente y revise con la dirección.

Una plataforma GRC ayuda a que riesgos, controles, evidencias y planes de acción vivan en el mismo lugar y se mantengan actualizados entre auditorías.