Si no puedes medirlo, no puedes mejorarlo.
La evaluación es el termómetro del SGSI.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📊 | Progreso del proyecto de implementación |
| 📉 | Disminución del valor del riesgo de un período a otro |
| 💰 | Cobertura del presupuesto asignado |
| 👥 | Mejora de la percepción de la seguridad por parte de los stakeholders |
| 🎓 | Concienciación sobre la política de seguridad |
| ⬇️ | Disminución de incidentes de seguridad (confidencialidad, integridad, disponibilidad) |
| ⏱️ | Tiempo de atención de incidentes |
| ✅ | Eficacia de las acciones correctivas |
| 🔄 | Lecciones aprendidas implementadas |
| 📋 | Evaluación del personal |
| 🔴 | Disminución de no conformidades identificadas por proceso |
| 💾 | Recuperaciones de copias de seguridad exitosas |
| 🔍 | Integridad. Los auditores deben actuar con honestidad y responsabilidad |
| ⚖️ | Presentación justa. Los hallazgos deben reflejar la realidad |
| 💼 | Profesionalismo debido. Los auditores deben tener la competencia necesaria |
| 🔒 | Confidencialidad. Proteger la información obtenida durante la auditoría |
| 🎯 | Independencia. Los auditores no deben auditar su propio trabajo |
| 📋 | Enfoque basado en la evidencia. Las conclusiones deben basarse en evidencias verificables |
| 📋 | Programa de auditoría. Describe el marco general para un grupo de auditorías planificadas para momentos específicos y dirigidas a propósitos concretos |
| 📝 | Plan de auditoría. Describe las actividades y disposiciones para una auditoría específica |
| ✅ | Estado de las acciones derivadas de revisiones anteriores |
| 🔄 | Cambios en cuestiones externas e internas relevantes |
| 📊 | Información sobre el desempeño del SGSI, incluyendo tendencias |
| ⚠️ | Resultados de la evaluación de riesgos y del tratamiento de riesgos |
| 📋 | Oportunidades de mejora continua |
| 1 | El seguimiento y la medición deben planificarse: qué, cómo, cuándo y quién |
| 2 | Las métricas deben ser útiles para la toma de decisiones |
| 3 | La auditoría interna debe ser independiente y basada en evidencias |
| 4 | La revisión por la dirección es la oportunidad de la alta dirección para evaluar y direccionar el SGSI |
| 5 | Sin evaluación, no hay mejora posible. El SGSI es ciego sin métricas. |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Evaluación del desempeño», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El cuadro de mando informa de 100 % de formación, 99 % de antivirus y cero incidentes, pero no mide reincidencia, cobertura real ni objetivos del SGSI.
LMS, EDR, SIEM, riesgos y cuadro de mando.
¿Por qué “cero incidentes” puede ser una mala métrica?
Respuesta orientativa: Puede indicar ausencia de detección o registro, no ausencia real de incidentes.
la tasa de phishing mejora pero aumentan las credenciales comprometidas?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Seguimiento, medición, análisis y evaluación
Aspectos típicos a medir en el SGSI
Auditoría interna