La seguridad de la informacion empieza donde se toman las decisiones.
Sin alta direccion implicada, no hay SGSI sostenible.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📜 | Asegurar la politica y objetivos. Que la politica y los objetivos de seguridad esten establecidos y alineados con la direccion estrategica. |
| 🔗 | Integrar el SGSI. Integrar los requisitos del SGSI en los procesos de la organizacion. |
| 💰 | Asegurar recursos. Disponibilidad de recursos financieros, personal, instalaciones e infraestructura. |
| 📢 | Comunicar. Comunicar la importancia de una gestion eficaz de la seguridad de la informacion. |
| 🎯 | Asegurar resultados. Que el SGSI logra los resultados previstos. |
| 👥 | Dirigir y apoyar. A las personas para que contribuyan a la eficacia del SGSI. |
| 🔄 | Promover la mejora continua. Revisar periodicamente el desempeño del SGSI en las revisiones por la direccion. |
| 🏛️ | Principios. Describen las reglas sobre acciones y decisiones para lograr los objetivos. |
| 👤 | Responsabilidades. Describen quien es responsable de las acciones para cumplir los requisitos de la politica. |
| 🎯 | Resultados clave. Describen los resultados de negocio si se cumplen los objetivos. |
| 📚 | Politicas relacionadas. Describen otras politicas relevantes que proporcionan detalles adicionales. |
| 📋 | Requisitos de la politica. Describen los requisitos detallados de la politica. |
| 📄 | Politica de seguridad de la informacion. Nivel estrategico. Aprobada por alta direccion. Establece el compromiso y los principios generales. |
| 📋 | Normas. Desarrollan aspectos especificos de la politica. Son obligatorias. |
| 📝 | Procedimientos. Describen como se realizan las actividades. Instrucciones paso a paso. |
| 📊 | Registros. Evidencias de que las actividades se han realizado conforme a lo establecido. |
| 👤 | Propietarios de la informacion. Responsables de la clasificacion y proteccion de activos de informacion. |
| 🔄 | Propietarios de procesos. Responsables de que los procesos cumplan los requisitos de seguridad. |
| 💻 | Propietarios de activos. Responsables de la seguridad de aplicaciones e infraestructura. |
| ⚠️ | Propietarios de riesgos. Responsables de la gestion de riesgos especificos. |
| 🎯 | Coordinador de seguridad. Rol de soporte que facilita la operacion del SGSI. |
| 📋 | Gestores de proyectos. Responsables de integrar seguridad en nuevos proyectos. |
| 👥 | Usuarios de la informacion. Todos los empleados, responsables de seguir las politicas y reportar incidentes. |
| ❌ | Enfoque incorrecto: "El responsable de seguridad ya sabe lo que hay que hacer. Que lo haga." |
| ✅ | Enfoque correcto: "La seguridad es una prioridad estrategica. Revisaremos el progreso mensualmente en el comite de direccion y yo presidire la revision anual del SGSI." |
| 1 | La alta direccion tiene la responsabilidad global del SGSI, no delegable. |
| 2 | Debe demostrar liderazgo: politica, recursos, comunicacion, revision. |
| 3 | La politica de seguridad es el documento estrategico que expresa el compromiso. |
| 4 | Los roles y responsabilidades deben asignarse a personas concretas. |
| 5 | Sin liderazgo real, el SGSI es solo una carcasa sin contenido. |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Liderazgo: compromiso desde arriba», comienza delimitando mandato, responsabilidades, decisiones, recursos y rendición de cuentas. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta mandato, responsabilidades, decisiones, recursos y rendición de cuentas.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
La dirección firma la política, pero no asigna propietarios de riesgos ni resuelve conflictos de recursos entre Seguridad y Operaciones.
Comité de seguridad, presupuesto, backlog y objetivos corporativos.
¿Qué evidencia demuestra compromiso real?
Respuesta orientativa: Decisiones sobre recursos, prioridades, riesgos y responsabilidades.
Dirección delega la presidencia del comité en el CISO?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Sigue una decisión real: excepción, aceptación, escalado o priorización.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Liderazgo y compromiso
Que debe hacer la alta direccion
Politica de seguridad de la informacion