Planificar sin ejecutar es teoría.
La operación es donde el SGSI demuestra su valor.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 🎯 | Los procesos específicos de la gestión de la seguridad de la información |
| ⚠️ | Gestión de riesgos |
| 🚨 | Gestión de incidentes |
| 🔄 | Gestión de la continuidad |
| 🔍 | Auditorías internas |
| 📊 | Revisiones por la dirección |
| 📋 | Los procesos derivados de los controles de seguridad del plan de tratamiento de riesgos |
| 📋 | Planificar. Planificar su implementación y asignar tareas, responsabilidades, plazos y recursos. |
| ⚙️ | Implementar. Implementar los cambios según el plan. |
| 📊 | Seguir. Seguir su implementación para confirmar que se han ejecutado según lo planificado. |
| 📝 | Documentar. Recopilar y conservar información documentada sobre la ejecución de los cambios. |
| 🔍 | Examinar sus consecuencias | ⚠️ | Determinar si han ocurrido o pueden ocurrir efectos adversos |
| 📋 | Planificar e implementar acciones para mitigar cualquier efecto adverso | ||
| 📝 | Recopilar y conservar información documentada sobre los cambios no anticipados y las acciones tomadas |
| 🔗 | Determinar todas las relaciones de externalización |
| 🤝 | Establecer interfaces adecuadas con los proveedores |
| 📄 | Abordar los requisitos de seguridad de la información en los acuerdos |
| 📊 | Monitorizar y revisar los servicios del proveedor |
| 🔄 | Gestionar los cambios en los servicios del proveedor según sea necesario |
| 📅 | Tener un plan para realizar evaluaciones de riesgos programadas |
| 🔄 | Realizar evaluaciones adicionales cuando ocurran cambios significativos o incidentes |
| 🎯 | Refinar gradualmente el nivel de detalle en iteraciones posteriores |
| 📅 | Realizar una evaluación de riesgos al menos una vez al año |
| 1 | La operación implementa, opera y verifica los procesos planificados |
| 2 | Los cambios planificados requieren asignación de recursos, seguimiento y documentación |
| 3 | Los cambios no planificados deben evaluarse y mitigarse |
| 4 | Los proveedores externos deben incluir requisitos de seguridad en los acuerdos |
| 5 | La evaluación y el tratamiento de riesgos son procesos continuos, no eventos anuales |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Operación: ejecutar lo planificado», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El procedimiento de bajas exige desactivar accesos en 24 horas, pero RR. HH. comunica salidas por correo y varias aplicaciones no están integradas.
HRIS, ServiceNow, AD, Salesforce, GitHub y VPN.
¿Qué evidencia demuestra operación sostenida?
Respuesta orientativa: Muestras de bajas completas, dentro de plazo y cubriendo todas las aplicaciones.
una baja urgente ocurre fuera de horario?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
El documento demuestra diseño. La capacidad necesita ejercicios, resultados y aprendizaje.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Planificación y control operacional
Qué procesos deben considerarse e implementarse
Cambios planificados