Un SGSI sin recursos no existe.
Pero los recursos no son solo presupuesto.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 👥 | Personas. Talento cualificado, roles y responsabilidades definidas, dedicación adecuada |
| ⏰ | Tiempo. Horas dedicadas a actividades de seguridad, no solo las urgentes |
| 💰 | Dinero. Presupuesto para tecnología, formación, auditorías, personal especializado |
| 📊 | Información. Datos para la toma de decisiones, métricas, reporting |
| 🏗️ | Infraestructura. Instalaciones, equipos, redes, aplicaciones, servicios |
| 1️⃣ | Determinar la competencia esperada para cada rol dentro del SGSI |
| 2️⃣ | Asignar roles a personas con la competencia requerida |
| 3️⃣ | Planificar e implementar acciones para que las personas adquieran competencia |
| 4️⃣ | Evaluar la eficacia de las acciones tomadas |
| 5️⃣ | Verificar que las personas son competentes para sus roles |
| 🔄 | Asegurar que la competencia evoluciona con el tiempo según las necesidades |
| 📢 | Desarrollar un programa con mensajes específicos para cada audiencia |
| 🎯 | Incluir necesidades y expectativas de seguridad en materiales de formación de otros temas |
| ✅ | Verificar la comprensión al final de las sesiones y periódicamente entre sesiones |
| 📋 | Comprobar si las personas actúan de acuerdo con los mensajes transmitidos, usando ejemplos de comportamiento bueno y malo |
| 📝 | Qué comunicar. Políticas, objetivos, procedimientos, requisitos de seguridad para proveedores |
| ⏰ | Cuándo comunicar. Momento óptimo para cada actividad de comunicación |
| 👥 | A quién comunicar. Audiencia objetivo para cada esfuerzo de comunicación |
| 📢 | Quién comunica y cómo. Identificar los responsables y los canales de comunicación |
| 📋 | Definir y comunicar objetivos, política, directrices, instrucciones, controles y procedimientos |
| 🔍 | Realizar auditorías del SGSI |
| 🔄 | Mantener un SGSI estable cuando cambian las personas en roles clave |
| 📝 | Registrar acciones, decisiones y resultados de los procesos del SGSI y controles de seguridad |
| → | Crear una biblioteca estructurada de información documentada |
| → | Definir un enfoque de documentación que incluya atributos comunes |
| → | Evitar la duplicación de información; usar referencias cruzadas en lugar de repetir información |
| 1 | Los recursos incluyen personas, tiempo, dinero, información e infraestructura |
| 2 | La competencia debe determinarse, asegurarse, evaluarse y mantenerse |
| 3 | La concienciación es un proceso continuo, no un evento anual |
| 4 | La comunicación debe planificarse: qué, cuándo, a quién y cómo |
| 5 | La información documentada debe ser útil, no burocrática. No más documentos de los necesarios. |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Soporte: recursos para el SGSI», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El SGSI depende de una sola persona que administra riesgos, formación, métricas y documentación. Durante sus vacaciones, ninguna actividad continúa.
Repositorio documental, GRC, LMS, tickets y calendario de revisiones.
¿Qué riesgo organizativo aparece?
Respuesta orientativa: Dependencia de persona clave y falta de continuidad operativa del SGSI.
la organización externaliza la función de seguridad?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Recursos
Competencia
Toma de conciencia