Sistemas de Gestión de Seguridad de la Información (ISMS)

Un sistema de gestión de seguridad de la información, o ISMS (en español también SGSI), es el conjunto de políticas, procesos, roles y controles con el que una organización decide qué información hay que proteger, de qué y cómo, y luego comprueba que esas decisiones se cumplen. La palabra clave es gestión. Un ISMS no es un producto que se instala, sino una forma de llevar la seguridad de datos como una responsabilidad permanente, con responsables, registros y revisiones periódicas.

La referencia internacional es la familia ISO/IEC 27000. ISO/IEC 27001 fija los requisitos que debe cumplir un ISMS y es la norma frente a la cual se certifican las organizaciones, mientras que ISO/IEC 27002 es un catálogo de controles de seguridad con guías de implementación. El objetivo es proteger la confidencialidad, la integridad y la disponibilidad de la información en cualquier formato: archivos, bases de datos, papel e incluso conversaciones.

Como el ISMS se basa en riesgos, dos empresas pueden cumplir la misma norma con conjuntos de controles muy distintos. Lo que la norma pide no es una lista de compras fija, sino evidencia de que los riesgos se identificaron, se trataron de forma deliberada y se revisaron.

Un ISMS funciona como un ciclo, a menudo descrito con el modelo Plan-Do-Check-Act, y no como un proyecto único. Todo empieza por saber qué se tiene: un inventario de activos de TI actualizado y un esquema de clasificación de datos en uso muestran dónde los controles valen su costo. El orden habitual del ciclo es este:

1. 1

   Definir el alcance

   Defina qué áreas, ubicaciones, sistemas y datos cubre el ISMS y quién tiene interés en él: clientes, reguladores, empleados.

2. 2

   Evaluar y tratar el riesgo

   Identifique activos y amenazas, valore los riesgos y decida si cada uno se reduce, se evita, se comparte o se acepta. Cada riesgo tiene un responsable y una decisión registrada.

3. 3

   Elegir y operar controles

   Elija controles acordes con los riesgos, registre la elección y sus motivos en la Declaración de Aplicabilidad y lleve los controles a la operación diaria.

4. 4

   Medir y auditar

   Siga el desempeño de los controles, realice auditorías internas y revisiones por la dirección, para que los líderes vean resultados y no solo políticas.

5. 5

   Mejorar

   Corrija las no conformidades, aprenda de los incidentes y lleve las conclusiones a la siguiente evaluación de riesgos.

La norma pide información documentada, pero los documentos por sí solos no forman un ISMS. La mayoría de los elementos siguientes existen para demostrar que el ciclo de gestión realmente gira:

Un ISMS necesita evidencia de que los controles existen y de que los cambios en ellos se pueden rastrear. En Anexet Inventory, la ficha de una estación de trabajo lista los programas instalados con su versión y fecha de instalación, materia prima para un inventario de activos. En la consola del administrador, la pestaña Journal registra quién cambió qué perfil o regla, y cuándo.

1 / 2

• 
• 

Una sorpresa habitual para quien implanta por primera vez es lo poco que del ISMS pertenece al equipo de seguridad. La norma espera la participación del liderazgo, y los responsables de riesgos deben ser quienes realmente responden por el proceso de negocio. En la práctica, los roles son así:

ISO/IEC 27001 suele confundirse con el propio ISMS. El ISMS es lo que la organización opera, la norma es la vara de medir, y la certificación es una auditoría independiente de ese sistema dentro de un alcance declarado. Un certificado dice, por tanto, que el sistema dentro del alcance cumple la norma. No dice que toda la empresa sea segura ni que una brecha sea imposible.

Otros marcos conviven con ella. El NIST Cybersecurity Framework y NIST SP 800-53 aportan estructuras y catálogos de controles, SOC 2 es un informe de atestación de un auditor según criterios para organizaciones de servicios, y leyes como el GDPR y la Directiva NIS2 de la UE exigen medidas de seguridad adecuadas sin prescribir un ISMS. Un ISMS operativo abarata ese solapamiento, porque un solo proceso de riesgos y un solo conjunto de evidencias sirven a varios requisitos mediante la gestión del cumplimiento. Ayuda a demostrar diligencia, pero por sí solo no equivale al cumplimiento legal.

La mayoría de los programas de ISMS se estancan por razones de organización, no técnicas. Una secuencia típica es comprar una herramienta, como un sistema DLP, antes de que alguien haya listado qué hay que proteger, y redactar el papeleo después. Los patrones se repiten:

• Un alcance tan estrecho que el certificado cubre poco de lo que importa a los clientes
• Un registro de riesgos copiado de una plantilla, sin responsables reales
• Una Declaración de Aplicabilidad llena de “no aplica” sin motivos
• Políticas escritas una vez, nunca leídas y nunca probadas
• Hallazgos de auditoría cerrados en papel sin eliminar la causa

Empiece pequeño y real: elija un alcance que importe a los clientes, liste sus activos de información y sus responsables, y valore los pocos riesgos que más dolerían. Los controles vienen después, por orden de riesgo y no por el orden del índice de la norma.

Deje que los propios sistemas produzcan la evidencia, por ejemplo informes de seguridad programados y registros de cambios, en lugar de reunir capturas de pantalla la semana previa a la auditoría. Un ISMS barato de mantener es el que sobrevive a su segundo año.