Objetivo: ayudarte a detectar si ya tienes base suficiente para iniciar un SGSI y qué brechas conviene resolver primero.
1. Alcance y contexto
- Está claro qué servicios, sedes, equipos y procesos entran en el SGSI.
- Se han identificado partes interesadas: clientes, proveedores, empleados, administración, socios y certificadora.
- Existen requisitos contractuales, legales o regulatorios documentados.
2. Activos e información crítica
- Hay inventario de activos: datos, aplicaciones, infraestructura, dispositivos y proveedores.
- Se sabe qué información es confidencial, sensible o crítica para operar.
- Los propietarios de activos y responsables de procesos están identificados.
3. Riesgos y tratamiento
- Se evalúan amenazas, vulnerabilidades, impacto y probabilidad.
- La dirección acepta, reduce, transfiere o evita riesgos con criterios claros.
- Existe un plan de tratamiento con responsables y fechas.
4. Controles y SoA
- Se justifica qué controles del Anexo A aplican y cuáles no.
- Control de accesos, copias, continuidad, proveedores, incidentes y formación están cubiertos.
- Las decisiones quedan en una Declaración de Aplicabilidad mantenible.
5. Evidencias y auditoría
- Hay registros de formación, revisiones, incidentes, acciones correctivas y auditoría interna.
- La documentación refleja cómo trabaja realmente la empresa.
- Existe una revisión por dirección y un plan de mejora continua.
Errores frecuentes
- Comprar plantillas y no implantarlas.
- Definir un alcance demasiado grande para la primera certificación.
- No asignar responsables internos.
- Confundir “tener políticas” con tener evidencias.
- No conectar ISO 27001 con ENS, NIS2, RGPD o requisitos de clientes.
¿Quieres saber por dónde empezar?
Blue Moon Cybertech puede hacer un diagnóstico inicial y convertir esta checklist en una hoja de ruta con prioridades, tiempos y entregables.
Ver servicio de consultoría ISO 27001 → · Solicitar diagnóstico