Antes de planificar el viaje, hay que saber el punto de partida.
El GAP Analysis es el diagnostico que lo hace posible.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1 | Identificar las brechas entre el estado actual y los requisitos de ISO 27001 |
| 2 | Priorizar las acciones necesarias para alcanzar la conformidad |
| 3 | Estimar el esfuerzo, tiempo y recursos necesarios para la implementacion |
| 4 | Establecer una linea base para medir el progreso durante el proyecto |
| 5 | Proporcionar a la direccion informacion objetiva para la toma de decisiones |
| COBIT | Modelo de madurez de ISACA, ampliamente utilizado para gobierno y gestion de TI |
| NIST | Framework de ciberseguridad con niveles de implementacion progresivos |
| ISM3 | Modelo de madurez de seguridad de la informacion especifico |
| SSE-CMM | Capability Maturity Model para ingenieria de seguridad de sistemas |
| 0 | Inexistente. La gestion de procesos no se aplica en absoluto |
| 1 | Inicial / Ad-hoc. Los procesos son desorganizados y reactivos |
| 2 | Repetible. Los procesos siguen un patron regular pero no estandarizado |
| 3 | Definido. Los procesos estan documentados y comunicados |
| 4 | Gestionado / Medible. Los procesos son monitorizados y medidos |
| 5 | Optimizado. Las buenas practicas son utilizadas y automatizadas, con mejora continua |
| 1 | Definir el alcance. Determinar que areas, procesos y ubicaciones se incluyen en el analisis |
| 2 | Seleccionar el modelo de madurez. Elegir la escala y criterios de evaluacion |
| 3 | Recolectar evidencias. Revisar documentacion existente, entrevistar personal, observar procesos |
| 4 | Evaluar cada requisito. Asignar un nivel de madurez actual a cada clausula y control relevante |
| 5 | Identificar brechas. Comparar el nivel actual con el nivel requerido para la certificacion |
| 6 | Documentar hallazgos y recomendar acciones. Priorizar las brechas segun su criticidad |
| ❌ | Enfoque incorrecto: "Cumplimos la mayoria de los requisitos. Solo falta documentar algunas politicas." |
| ✅ | Enfoque correcto: "Tras evaluar 87 controles con evidencias objetivas, tenemos un cumplimiento del 42% en categoria Media y del 18% en categoria Alta." |
| 1 | El GAP Analysis es un analisis de cumplimiento de requisitos y controles de ISO 27001 |
| 2 | Utiliza modelos de madurez (como COBIT) para evaluar objetivamente el estado actual |
| 3 | Identifica brechas, las prioriza y permite estimar esfuerzo y recursos |
| 4 | Sin un GAP Analysis riguroso, el plan de implementacion se construye sobre suposiciones |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «GAP Analysis: donde estamos y donde debemos estar», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Una consultora usa una checklist genérica de 93 controles y concluye que tiene un 72 % de madurez, sin revisar contexto, riesgos ni evidencias.
M365, VPN, repositorios, portátiles y proveedores.
¿Por qué el 72 % puede ser engañoso?
Respuesta orientativa: Porque pondera por igual elementos distintos y puede incluir controles no aplicables.
el análisis se utiliza para definir presupuesto?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Que es un GAP Analysis
Para que sirve el GAP Analysis
Modelos de madurez: como medimos