¿Cómo poner en práctica el SGSI? En 1986, el estadístico y académico William Edwards Deming dio a conocer una estrategia de mejora continua que se puede aplicar tanto para establecer como para gestionar un SGSI. Se trata de un proceso cíclico denominado PHVA: planificar, hacer, verificar y actuar. 1. Planificar. En esta etapa se deben cumplir las siguientes acciones: Determinar el alcance del SGSI en términos del negocio, la empresa, su localización, activos y tecnologías. Fijar una política de seguridad. Identificar, analizar y evaluar los riesgos. Evaluar alternativas de tratamiento de riesgos para aplicar controles adecuados. Definir una declaración de aplicabilidad que incluya los objetivos de los controles mencionados. 2. Hacer. En esta fase, se realiza la implementación del Sistema de Gestión de Seguridad de la Información. Para lo cual, se deben tomar decisiones como: Establecer e implantar un plan de tratamiento de riesgos. Implementar los controles anteriormente seleccionados. Definir un sistema de métricas para medir la eficacia de los controles. Implantar procedimientos para detectar y resolver los incidentes de seguridad. 3. Verificar. Abarca las tareas para la monitorización del SGSI, las cuales son: Revisar regularmente la efectividad del sistema. Medir la efectividad de los controles planteados. Actualizar los planes de seguridad. Revisar las evaluaciones de riesgo, los riesgos residuales y sus niveles aceptables. Realizar periódicamente auditorías internas del SGSI. 4. Actuar. Las acciones que se desarrollan en esta fase deben darse regularmente. De lo contrario, los resultados no serán favorables. Deming nombra las siguientes: Instaurar las mejoras a identificar en el SGSI. Comunicar las mejoras a todas las partes interesadas con detalles y precisión. Garantizar que las mejoras implantadas logren los objetivos previstos. La implementación de un Sistema de Gestión de Seguridad de la Información es una acción que debe realizarse de forma estratégica. Asimismo, requiere de la participación de toda la organización, incluyendo el respaldo y conducción de la dirección.
