Un SGSI (sistema de gestión de seguridad de la información) es el conjunto de políticas, procesos, responsables y controles con el que una empresa protege la confidencialidad, la integridad y la disponibilidad de su información de forma ordenada y continua. En lugar de acciones aisladas, define qué se protege, quién responde por cada cosa, cómo se evalúan los riesgos y cómo se comprueba que las medidas funcionan. La norma ISO/IEC 27001 establece los requisitos para diseñarlo y certificarlo.
La diferencia con tener "buenas prácticas de seguridad" es la evidencia. Un SGSI deja registro de cada decisión, así que la empresa puede demostrar ante un cliente, un auditor o una aseguradora que su seguridad no depende de la memoria de una persona.
Qué es un SGSI
Si tu empresa ya pasó por una certificación de calidad, conoce la lógica: no basta con fabricar bien, hay que documentar cómo se fabrica, medirlo, revisarlo y corregirlo, año tras año. El sistema de gestión de calidad hace eso con los productos. El SGSI hace exactamente lo mismo con la información: la trata como un proceso que se planea, se opera, se mide y se mejora.
Por eso un sistema de gestión de seguridad de la información no es un software ni un documento. Es la forma en que la empresa organiza su seguridad: la tecnología es solo una parte, junto con las personas y los procesos. Una empresa con el mejor firewall del mercado pero sin responsables, sin evaluación de riesgos y sin revisiones periódicas no tiene un SGSI; tiene herramientas.
Qué incluye un SGSI
Estas son las piezas que ISO 27001 pide y la evidencia que cada una deja:
| Pieza | Qué es | Evidencia que deja |
|---|---|---|
| Alcance | Qué áreas, sistemas y sedes cubre el sistema. | Documento de alcance. |
| Política de seguridad | El compromiso de la dirección y las reglas generales. | Política aprobada y comunicada. |
| Evaluación de riesgos | Qué puede afectar a la información y qué tan grave sería. | Registro de riesgos con su tratamiento. |
| Controles | Las medidas para tratar cada riesgo. La versión 2022 de ISO 27001 lista 93, agrupados en organizacionales, de personas, físicos y tecnológicos. | Procedimientos, configuraciones y registros. |
| Declaración de aplicabilidad | Qué controles aplica la empresa y por qué excluye los demás. | Documento de aplicabilidad. |
| Indicadores | Cómo se mide que el sistema funciona. | Tablero de indicadores. |
| Auditoría interna | Una revisión independiente del propio sistema. | Informe de auditoría. |
| Revisión por la dirección | La dirección revisa resultados y decide cambios. | Acta de revisión. |
La evaluación de riesgos es el centro de todo: de ella salen los controles que se eligen y el orden en que se implementan. Cómo hacerla paso a paso lo explicamos en nuestra guía de gestión de riesgos de ciberseguridad.
Los indicadores, en cambio, suelen ser la pieza más débil. Un sistema que no se mide termina siendo un archivo de documentos; qué conviene medir lo detallamos en los indicadores clave para un SGSI.
Roles y responsabilidades en un SGSI
Un SGSI funciona cuando cada persona sabe qué le toca. Estos son los roles que ISO 27001 espera ver, aunque en una empresa mediana una misma persona puede cubrir más de uno:
| Rol | Qué hace |
|---|---|
| Dirección | Aprueba la política, asigna presupuesto, acepta los riesgos que no se tratan y revisa los resultados. |
| Responsable del SGSI | Coordina el sistema, mantiene la documentación y reporta a la dirección. En empresas grandes es el CISO (director de seguridad de la información). |
| Dueños de la información | Los jefes de cada área: deciden quién accede a la información de su área y responden por sus riesgos. |
| Equipo de TI | Implementa y opera los controles técnicos. |
| Colaboradores | Siguen las políticas y reportan cualquier incidente. |
| Auditor interno | Revisa el sistema con independencia; no puede auditar su propio trabajo. |
El rol que más se malinterpreta es el de dueño de la información. La seguridad no es solo tarea de TI: el gerente de finanzas es quien sabe qué personas deben ver la nómina, y TI es quien lo configura. Esa división entre quien decide y quien ejecuta es la base de los controles de acceso.
Si la empresa trata datos personales, conviene sumar a quien responde por su protección ante los titulares y las autoridades. Puede ser el mismo responsable del SGSI si tiene la preparación y el tiempo.
Cómo implementar un SGSI
El SGSI sigue el ciclo de mejora continua que usan todas las normas de gestión: planificar, hacer, verificar y actuar. Así se reparte el primer ciclo en una empresa mediana:
| Fase | Cuándo | Qué se hace |
|---|---|---|
| Planificar | Meses 1 y 2 | Definir el alcance, hacer un diagnóstico inicial, evaluar los riesgos y aprobar la política. |
| Hacer | Meses 3 a 6 | Implementar los controles elegidos, escribir los procedimientos y capacitar a los colaboradores. |
| Verificar | Meses 7 y 8 | Medir los indicadores y hacer la primera auditoría interna. |
| Actuar | Desde el mes 8, de forma continua | Revisión por la dirección, corrección de hallazgos y ajuste de lo que no funcionó. |
El diagnóstico inicial ahorra meses. Una comercializadora con 150 colaboradores, por ejemplo, descubre en esa etapa que ya cumple buena parte de los controles técnicos, pero que casi nada está documentado ni tiene responsable. El proyecto deja de ser "comprar herramientas" y se convierte en ordenar lo que ya tiene. Una evaluación de ciberseguridad es la forma más rápida de obtener ese punto de partida.
Los tiempos varían con el tamaño y el alcance. Lo que no varía es el error más común: tratar el SGSI como un proyecto que termina. El ciclo se repite cada año, y ahí está su valor.
La política de seguridad de la información
Es el documento que abre el SGSI y el primero que pide cualquier auditor. La política general es corta, de dos o tres páginas; el detalle vive en políticas específicas para cada tema. Esta lista cubre lo que debe incluir:
- ☐ Objetivo y alcance: qué protege y a quién aplica.
- ☐ Compromiso de la dirección, con su firma.
- ☐ Responsables del sistema y de cada área.
- ☐ Clasificación de la información: pública, interna, confidencial.
- ☐ Reglas de acceso y contraseñas, que se desarrollan en su propia política. Qué exigir lo explicamos en nuestra política de contraseñas seguras.
- ☐ Uso aceptable de equipos, correo e internet.
- ☐ Respaldos y continuidad de la operación.
- ☐ Gestión de incidentes: cómo se reportan y quién responde.
- ☐ Cumplimiento legal, incluida la protección de datos personales.
- ☐ Consecuencias por incumplimiento y fecha de revisión, al menos una vez al año.
SGSI, ISO 27001 y certificación
Los tres términos se usan como si fueran lo mismo, pero no lo son. El SGSI es el sistema: la forma en que tu empresa gestiona su seguridad. ISO 27001 es la norma que dice qué requisitos debe cumplir ese sistema; su versión vigente es la de 2022, y los certificados de la versión 2013 dejaron de ser válidos en octubre de 2025. La certificación es la auditoría externa que confirma que tu SGSI cumple la norma.
Se puede tener un SGSI sin certificarlo, y muchas empresas empiezan así: primero ordenan su seguridad y después deciden si el certificado les abre puertas con clientes. Lo que no se puede es certificarse sin un SGSI funcionando. Qué implica el proceso de certificación lo detallamos en nuestra guía de certificación ISO 27001.
Preguntas frecuentes sobre el SGSI
Son las siglas de sistema de gestión de seguridad de la información. En inglés se le llama ISMS (Information Security Management System), y es el término que usa la norma ISO 27001.
Necesita la lógica, aunque no la formalidad completa. Una empresa pequeña puede empezar con un alcance reducido, una política corta, un registro de riesgos sencillo y un responsable, y crecer a partir de ahí conforme sus clientes le pidan más evidencia.
No hay una ley que lo exija a todas las empresas. Lo piden, en la práctica, los reguladores de ciertos sectores, como el financiero, y cada vez más clientes corporativos en sus evaluaciones de proveedores. La ley de protección de datos personales, además, exige medidas de seguridad que un SGSI ayuda a demostrar.
ISO 27001 define los requisitos del SGSI y es la que se certifica. ISO 27002 es una guía que explica cómo aplicar cada uno de los controles; no se certifica, pero ayuda a implementarlos bien.
Con tres hábitos: medir los indicadores cada mes, hacer una auditoría interna al año y que la dirección revise los resultados y decida cambios. Sin esos tres, la documentación envejece y el sistema deja de reflejar la realidad.
Al principio basta una hoja de cálculo para el registro de riesgos y una carpeta ordenada para las evidencias. Cuando crecen los controles y las auditorías, conviene una plataforma que conecte cada control con su evidencia, como la que incluye nuestro SOC como servicio.
Experto en Microsoft Cloud y Ciberseguridad con más de una década de experiencia en la industria tecnológica. Es reconocido por su amplio conocimiento en la implementación de soluciones basadas en la nube y en la protección de datos y sistemas contra amenazas cibernéticas. Como líder y conferencista, Gustavo sigue compartiendo sus conocimientos y mejores prácticas en eventos tecnológicos y programas de capacitación. Su enfoque práctico y su dedicación a mantenerse actualizado en un entorno tecnológico en constante evolución lo convierten en un recurso invaluable para las empresas y profesionales que buscan aprovechar al máximo la tecnología de manera segura.
