Nota: El listado de actividades incluido en este artículo está enfocado al SGSI basado en ISO 27001, pero la relación de actividades es replicable en cualquier sistema de gestión (por ejemplo basado en 27701, 22301, 42001, etcétera) que contenga una o más de las actividades mencionadas aquí.
Las actividades de nuestro plan de acción se encuentran relacionadas entre sí, por lo que una modificación puede generar un impacto en una o más de ellas, haciendo que sea necesario revisar, e incluso actualizar el documento o evidencia asociado.
Por ello es muy importante conocer esta información a la hora de hacer tus revisiones periódicas y cuando existan cambios significativos en la empresa para tomar decisiones informadas y asegurar que siempre se mantenga el cumplimiento normativo.
A continuación encontrarás una tabla con todas las actividades del plan de acción para el SGSI y las actividades que podrían ser impactadas cuando ésta es actualizada o sufre algún cambio significativo.
✅ Actividad con cambios | 🚀 Ejemplos de cambios o de actualizaciones | ⚡Actividad | Documento posiblemente impactado |
Alcance del SGSI | Modificaciones por acotación, ampliación o cambio en los procesos y/o servicios de la empresa alcanzados por el SGSI. | Estos son los principales documentos impactados, pero un cambio en el alcance del SGSI podría impactar en toda la documentación.
|
Estructura de SI | Adición, eliminación o cambios en los colaboradores o puestos del organigrama de la empresa y/o en los miembros del comité de seguridad. |
|
Política de Comité de Seguridad de la Información | Adición, eliminación o cambios en los miembros del comité de seguridad o en sus lineamientos. |
|
Política de SGSI | Adición o cambios en los lineamientos de la política. |
|
Política de Seguridad de la Información | Adición o cambios en los lineamientos de la política. |
|
Descriptivo de Roles y Responsabilidades | Adición, eliminación o cambios en los colaboradores o puestos del organigrama de la empresa. |
|
Plan de Seguridad de la Información | Adición y seguimiento de las actividades e iniciativas de mejora para el SGSI. | Los cambios en este documento no tienen un impacto directo en otro. |
Programa de Capacitación | Actualizaciones de fechas, material o cualquier otro aspecto relacionado a las capacitaciones y talleres impartidos para la empresa. | Los cambios en este documento no tienen un impacto directo en otro. |
Taller de Concientización de Seguridad | Registro de las fechas en las que se imparte el taller. |
|
Taller de Gestión de Riesgos | Registro de las fechas en las que se imparte el taller. |
|
Capacitación de Desarrollo Seguro | Registro de las fechas en las que se imparte el taller. |
|
Metodología de Gestión de Riesgos | Adición o cambios en los lineamientos de la metodología. |
|
Inventario de Activos | Adición y eliminación de activos, o cambios en la información de los mismos. |
|
Matriz de Riesgos | Adición de riesgos por nuevas amenazas, análisis de nuevos activos, seguimiento al plan de tratamiento. |
|
Declaración de Aplicabilidad | Adición o ajuste de controles aplicables. | El impacto de los cambios en este documento depende del control asociado a la actualización, por lo que deberás realizar un análisis de las actividades relacionadas a él. |
Minuta de Sesión de Comité de Seguridad | Modificación en el formato de la minuta, adición de puntos relevantes a documentar. | Los cambios en este documento no tienen un impacto directo en otro. |
Procedimiento de Preselección y Selección de Personal | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Proceso de Contratación y Desvinculación de Personal | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Matriz SoD | Adición, eliminación o cambios en las actividades que realizan las áreas de tu empresa. |
|
Matriz de Accesos | Adición, eliminación o cambios de usuarios, accesos y/o permisos a los sistemas de la empresa, es decir altas o bajas de colaboradores, cambios en los permisos de colaboradores ya existentes, adición de nuevas herramientas, etcétera. | Los cambios en este documento no tienen un impacto directo en otro. |
Procedimiento Gestión de Accesos | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Revisión de Accesos | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Política BYOD | "Trae tu dispositivo" | Adición o cambios en los lineamientos de la política. |
|
Política de Escritorios Limpios | Adición o cambios en los lineamientos de la política. |
|
Política de Tecnología y Operaciones de TI | Adición o cambios en los lineamientos de la política. |
|
Procedimiento Gestión de Incidentes de Seguridad | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Gestión de Backups | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Gestión de Cambios Productivos | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Gestión de Claves Públicas y Privadas | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Política de Gestión de Logs | Adición o cambios en los lineamientos de la política. |
|
Procedimiento de Gestión de Logs | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Gestión de Vulnerabilidades | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Diagrama de infraestructura | Modificaciones en la infraestructura tecnológica de la empresa. |
|
Plan de Recuperación ante Desastres | Adición, eliminación o cambios en los pasos del plan, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Plan de Continuidad | Adición, eliminación o cambios en los pasos del plan, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Política de Desarrollo Seguro | Adición o cambios en los lineamientos de la política. |
|
Metodología de Ciclo de Vida de Desarrollo | Adición o cambios en los lineamientos de la metodología. |
|
Guía de seguridad en el desarrollo y mantenimiento de sistemas | Adición o cambios en los criterios de evaluación. |
|
Política de Tratamiento de la Información | Adición o cambios en los lineamientos de la política. |
|
Procedimiento de Transferencia de Información por Medios Extraíbles | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Ethical Hacking + Escaneo de Vulnerabilidades | Generación de nuevos reportes de Ethical Hacking o escaneos de vulnerabilidades. |
|
Validar requisitos de SI en contratos con empleados y proveedores | Cambios en los contratos base. |
|
Matriz de Evaluación de Proveedores | Evaluación de nuevos proveedores. |
|
Matriz de Evaluación de Requisitos Legales y Contractuales | Adición o modificación de los requisitos legales y/o contractuales que aplican a la empresa. Esto puede ocurrir por firma de nuevos contratos, publicación de nuevas leyes aplicables a la empresa, etcétera. |
|
Política de Seguridad por Capas | Adición o cambios en los lineamientos de la política. |
|
Prueba de Continuidad | Nuevas aplicaciones de pruebas de continuidad, registro de nueva información, cambio en la asignación de responsables, etcétera. |
|
Plan de Comunicación del SGSI | Actualizaciones de fechas, documentos, comunicados o cualquier otro aspecto relacionado a la comunicación interna del SGSI dentro de la empresa. | Los cambios en este documento no tienen un impacto directo en otro. |
Metodología de Indicadores de Seguridad de la Información | Adición o cambios en los lineamientos de la metodología. |
|
Listado de métricas e indicadores | Actualizaciones en los registros, adición de información o cualquier otro aspecto relacionado a la documentación y seguimiento de la medición y evaluación del SGSI. |
|
Plan y Programa de Auditoría | Actualizaciones en los registros, fechas, responsables, adición de información o cualquier otro aspecto relacionado a la planificación de la auditoría interna. |
|
Procedimiento de Acciones Correctivas y de Mejora | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Remediaciones Ethical Hacking + Escaneo de Vulnerabilidades | Actualizaciones de fechas, estatus de vulnerabilidades, adición de información o cualquier otro aspecto relacionado al seguimiento de la remediación de vulnerabilidades identificadas. | Los cambios en este documento no tienen un impacto directo en otro. |
Procedimiento de Gestión de Inteligencia de Amenazas | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Anonimización de Datos Personales | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Procedimiento de Revisión y Contratación de Proveedores | Adición, eliminación o cambios en los pasos del procedimiento, los responsables asignados, las herramientas utilizadas, etcétera. |
|
Documentación de Hardening | Cambios en las configuraciones aplicables a los sistemas involucrados. | Los cambios en este documento no tienen un impacto directo en otro. |
Auditoría interna del SGSI | Nuevos resultados de las auditorías internas periódicas. |
|
Plan de Tratamiento de Acciones Correctivas y de Mejora | Actualizaciones de fechas, estatus de las no conformidades, adición de información o cualquier otro aspecto relacionado al seguimiento del tratamiento de las no conformidades y oportunidades de mejora. | Los cambios en este documento no tienen un impacto directo en otro. |
Recuerda que esto está sujeto a la aplicabilidad de las actividades propias de tu empresa y su contexto, por lo que puede existir otro tipo de impacto, o incluso no existir ninguno, y su dimensión variará.
Un cambio o ajuste no siempre implicará una actualización de tus evidencias o documentos, pero siempre es importante hacer una revisión para asegurarte de que la información es coherente, sigue alineada a tu operación y mantiene el cumplimiento de los requisitos de seguridad.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.