1. Sistema de gestión de la seguridad de la información (SGSI).
1.1. Definir el alcance y límites del SGSI
1.2. Definir una política de SGSI
1.3. Definir el enfoque organizacional para la valoración del riesgo.
1.4. Identificar los riesgos
1.4.1. Analizar y evaluar los riesgos.
1.5. Identificar y evaluar las opciones para el tratamiento de los riesgos.
1.6. Seleccionar los objetivos de control y los controles para el tratamiento de los riesgos.
1.7. Obtener la aprobación de la dirección sobre los riesgos residuales propuestos
1.8. Obtener autorización de la dirección para implementar y operar el SGSI.
1.9. Elaborar una declaración de aplicabilidad.
2. Enfoque basados en procesos
2.1. Aplicación de un sistema de procesos
2.2. Identificar y gestionar muchas actividades
3. “Planificar-Hacer-Verificar-Actuar” (PHVA)
3.1. Establecer el SGSI
3.1.1. Establecer la política, los objetivos, procesos y procedimientos de seguridad
3.2. Mantener y mejorar el SGSI
3.2.1. Emprender acciones correctivas y preventivas con base en los resultados de la auditoría interna del SGSI y la revisión por la dirección
3.3. Hacer seguimiento y revisar
3.3.1. Evaluar, y, en donde sea aplicable, medir el desempeño del proceso contra la política y los objetivos de seguridad y la experiencia práctica
3.4. Implementar y operar
3.4.1. Implementar y operar la política, los controles, procesos y procedimientos del SGSI.
4. Compatibilidad
4.1. NTC-ISO 9001:2000
4.2. NTC-ISO 14001:2004
4.3. La organización alinee o integre su SGSI con los requisitos de los sistemas de gestión relacionados.
5. REQUISITOS DE DOCUMENTACIÓN
5.1. declaraciones documentadas de la política y objetivos del SGSI
5.2. el alcance del SGSI
5.3. los procedimientos y controles que apoyan el SGS
5.4. una descripción de la metodología de valoración de riesgos
5.5. el informe de valoración de riesgos
5.6. el plan de tratamiento de riesgos
5.7. Los procedimientos documentados que necesita la organización para asegurar la eficacia de la planificación, operación y control de sus procesos de seguridad de la información
5.8. Los registros exigidos por esta norma
5.9. La declaración de aplicabilidad
6. Control de documentos
6.1. aprobar los documentos
6.2. revisar y actualizar los documentos
6.3. asegurar que los cambios y el estado de actualización de los documentos estén identificados
6.4. asegurar que las versiones más recientes de los documentos pertinentes están disponibles en los puntos de uso
6.5. asegurar que los documentos permanezcan legibles y fácilmente identificables
6.6. asegurar que los documentos estén disponibles para quienes los necesiten
6.7. asegurar que los documentos de origen externo estén identificados
6.8. asegurar que la distribución de documentos esté controlada
6.9. impedir el uso no previsto de los documentos obsoletos
6.10. aplicar la identificación adecuada a los documentos obsoletos
7. MEJORA DEL SGSI
7.1. MEJORA CONTINUA
7.2. ACCIÓN CORRECTIVA
7.3. ACCIÓN PREVENTIVA
8. Modelo
8.1. Operación
8.2. Seguimiento
8.2.1. detectar rápidamente errores en los resultados del procesamiento
8.2.2. identificar con prontitud los incidentes e intentos de violación a la seguridad
8.2.3. posibilitar que la dirección determine si las actividades de seguridad delegadas a las personas o implementadas mediante tecnología de la información se están ejecutando en la forma esperada
8.2.4. ayudar a detectar eventos de seguridad
8.2.5. determinar si las acciones tomadas para solucionar un problema de violación a la seguridad fueron eficaces
8.2.6. Realizar auditorías internas del SGSI a intervalos planificados
8.3. Mejora
8.4. Establecimiento
8.5. Implementación
8.5.1. Formular un plan para el tratamiento de riesgos que identifique la acción de gestión apropiada, los recursos, responsabilidades y prioridades para manejar los riesgos de seguridad de la información
8.5.2. Implementar el plan de tratamiento de riesgos para lograr los objetivos de control identificados
8.5.3. Implementar los controles seleccionados
8.5.4. Definir cómo medir la eficacia de los controles o grupos de controles seleccionados
8.5.5. Implementar programas de formación y de toma de conciencia
8.5.6. Gestionar la operación del SGSI
8.5.7. Gestionar los recursos del SGSI
8.5.8. Implementar procedimientos y otros controles para detectar y dar respuesta oportuna a los incidentes de seguridad
8.6. Mantenimiento
8.6.1. Implementar las mejoras identificadas en el SGSI
8.6.2. Emprender las acciones correctivas y preventivas adecuadas
8.6.3. Comunicar las acciones y mejoras a todas las partes interesadas
8.7. Revisión
8.7.1. Emprender revisiones regulares de la eficacia del SGSI
8.7.2. Medir la eficacia de los controles para verificar que se han cumplido los requisitos de seguridad
8.7.3. Revisar las valoraciones de los riesgos a intervalos planificados, y revisar el nivel de riesgo residual y riesgo aceptable identificado
8.7.4. Actualizar los planes de seguridad para tener en cuenta las conclusiones de las actividades de seguimiento y revisión
8.7.5. Registrar acciones y eventos que podrían tener impacto en la eficacia o el desempeño del SGSI
9. Organización
9.1. Necesidades y objetivos
9.2. Requisitos de seguridad
9.3. Procesos empleados, Tamaño y estructura
10. Control de registros
10.1. Establecer y mantener registros para brindar evidencia de la conformidad con los requisitos y la operación eficaz del SGSI
11. RESPONSABILIDAD DE LA DIRECCIÓN
11.1. COMPROMISO DE LA DIRECCIÓN
11.2. REVISIÓN DEL SGSI POR LA DIRECCIÓN
11.2.1. INFORMACIÓN PARA LA REVISIÓN
11.2.2. RESULTADOS DE LA REVISIÓN