Antes de implementar, hay que convencer.
El Business Case es el documento que abre la puerta.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1 | Executive Summary. Resumen ejecutivo que presenta los hallazgos clave y la recomendacion principal para la alta direccion. |
| 2 | Problem Statement / Opportunity. Descripcion del problema actual o la oportunidad que justifica la inversion. Incluye el contexto de negocio y los drivers que motivan la implementacion del SGSI. |
| 3 | Strategic Alignment. Como el SGSI se alinea con los objetivos estrategicos de la organizacion y las politicas corporativas existentes. |
| 4 | Options Analysis. Analisis de diferentes opciones para abordar el problema: opcion minima, opcion recomendada, opcion optima. |
| 5 | Cost-Benefit Analysis. Estimacion detallada de costes (inversion inicial, operacion recurrente) y beneficios (tangibles e intangibles). |
| 6 | Risk Assessment. Identificacion de riesgos asociados a la implementacion y su mitigacion. Incluye el riesgo de no hacer nada. |
| 7 | Implementation Timeline. Cronograma detallado con fases, hitos, entregables y plazo estimado hasta la certificacion. |
| 💰 | ¿Cuanto cuesta? No solo la implementacion inicial. El coste total de propiedad (TCO) del SGSI incluyendo mantenimiento, auditorias de seguimiento, formacion continua. |
| 📈 | ¿Que retorno obtendremos? ROI en un horizonte de 3 años. Ahorros por evitacion de incidentes, acceso a nuevos mercados, mejora de eficiencia operativa. |
| ⏱️ | ¿Cuanto tiempo llevara? Desde la decision hasta la obtencion del certificado. Con hitos intermedios medibles. |
| ⚠️ | ¿Que pasa si no lo hacemos? Riesgos residuales asumidos: multas potenciales, perjuicio economico por incidentes, perdida de clientes. |
| 👤 | ¿Quien lidera esto? Roles, responsabilidades, dedicacion requerida y perfil del responsable del proyecto. |
| ❌ | Enfoque tecnico: "Implementaremos controles de acceso, cifrado y monitorizacion para proteger la confidencialidad, integridad y disponibilidad de la informacion." |
| ✅ | Enfoque de negocio: "La certificacion ISO 27001 nos permitira acceder a licitaciones que requieren certificacion, ademas de reducir las primas de ciberseguro." |
| 1. | Executive Summary (1 pagina) |
| 2. | Situacion actual y problema (1-2 paginas) |
| 3. | Opciones evaluadas (1 pagina con tabla comparativa) |
| 4. | Beneficios y metrica de exito (1-2 paginas) |
| 5. | Costes y presupuesto (1 pagina con desglose anual) |
| 6. | Analisis de riesgos (1 pagina) |
| 7. | Cronograma de implementacion (1 pagina) |
| 8. | Recomendacion y siguientes pasos (media pagina) |
| 1 | El Business Case es el documento que justifica la inversion ante la alta direccion |
| 2 | Debe incluir: problema, objetivos, opciones, costes, beneficios, riesgos y cronograma |
| 3 | Debe responder a las preguntas reales de la direccion: coste, retorno, plazo, riesgo |
| 4 | El lenguaje del Business Case es el lenguaje del negocio, no el lenguaje tecnico |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Business Case: por que invertir», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
La dirección rechaza el proyecto porque solo ve costes de consultoría y licencias. No se han cuantificado pérdidas por indisponibilidad, requisitos de clientes ni riesgo contractual.
Ecommerce B2B con plataforma cloud, pagos y contratos con grandes clientes.
¿Qué argumento suele ser más sólido ante Dirección?
Respuesta orientativa: La reducción de exposición y la habilitación de negocio vinculadas a riesgos concretos.
un cliente estratégico exige certificación en nueve meses?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Que es un Business Case
Las partes de un Business Case
Las preguntas que la direccion hara