Contexto y alcance
Partes interesadas, procesos, sedes, tecnologías, interfaces y límites justificables del SGSI.
Estrategia y gobierno
Implemente un SGSI basado en ISO/IEC 27001
Construya un Sistema de Gestión de Seguridad de la Información que su equipo pueda operar, mantener y demostrar ante clientes y auditores.
Acompañamos la definición del alcance, el tratamiento de riesgos y la implementación de controles conforme a ISO/IEC 27001:2022. Preparamos al equipo y las evidencias para la auditoría externa; la certificación corresponde a una entidad independiente.
Respuesta directa
¿Qué recibe una empresa al implementar un SGSI?
Un sistema de gestión de seguridad de la información con alcance, evaluación de riesgos, tratamiento, controles y evidencias de operación. Insylux acompaña la implementación y la preparación para auditoría; una certificación la emite una entidad independiente.
Cuándo puede necesitarlo
Un cliente exige demostrar cómo se gestionan los riesgos de información y la empresa quiere organizarse para una futura auditoría ISO 27001.
Qué recibe para decidir
Análisis de riesgos, plan de tratamiento y declaración de aplicabilidad.
Ejemplo de entregable
Un registro de tratamiento relaciona un riesgo con su medida, responsable, plazo y evidencia; la declaración de aplicabilidad justifica los controles incluidos o excluidos.
Para definir la propuesta
- Servicios, sedes y equipos que estarán dentro del sistema
- Estado de los controles y documentación existente
- Requisitos de clientes y fecha objetivo de la auditoría
Resumen orientativo. Las actividades y los entregables incluidos se concretan en la propuesta.
Sistema de gestión
ISO/IEC 27001 convertida en gobierno, riesgo y mejora continua
Un SGSI organiza decisiones, responsabilidades y evidencias para proteger la información de acuerdo con el contexto de la empresa. La implementación integra el sistema con la operación, en lugar de producir documentos aislados.
Liderazgo y gobierno
Política, roles, responsabilidades, recursos y decisiones respaldadas por la dirección.
Riesgo y tratamiento
Criterios, valoración, plan de tratamiento, controles aplicables y aceptación del riesgo residual.
Evaluación y mejora
Indicadores, auditoría interna, revisión por dirección, no conformidades y acciones correctivas.
MEJORA CONTINUA
SGSIRiesgo + evidencia
01Planificar02Implementar03Evaluar04MejorarEl sistema se mantiene mediante decisiones, operación, medición y acciones correctivas.
Metodología
Implementación trazable de principio a fin
El proyecto avanza por decisiones y evidencia verificable. Si la empresa busca certificarse, la auditoría corresponde a un organismo certificador independiente.
Criterio y tratamiento
Responsable y operación
Registro verificable
Medición y mejora
Resultado verificable
Evidencias que sostienen el sistema
El alcance definitivo, los responsables, las fechas y los entregables se especifican en la propuesta de acuerdo con el contexto de la organización.
01Alcance y contexto aprobados
02Inventario y propietarios
03Matriz de riesgos vigente
04Declaración de aplicabilidad
05Indicadores y seguimiento
06Auditoría y revisión directiva
Contexto
Qué problema resuelve
Requisitos de clientes y licitaciones
Cada vez más contratos exigen certificación o evidencias formales de gestión de la seguridad de la información.
Documentación que no se aplica
Existen políticas redactadas que nadie ejecuta, revisa ni evidencia, y que no superan una auditoría.
Riesgos gestionados de forma informal
El riesgo se conoce por experiencia, pero no está identificado, valorado ni tratado de manera trazable.
Servicio
Opciones de alcance
La propuesta indicará qué actividades y activos quedan incluidos.
- Definición del alcance y del contexto de la organización
- Análisis y tratamiento de riesgos de seguridad de la información
- Declaración de aplicabilidad y justificación de controles
- Cuerpo documental: políticas, procedimientos y registros
- Implementación de los controles del Anexo A aplicables
- Indicadores, auditoría interna y revisión por la dirección
- Acompañamiento en la auditoría de certificación
- Mantenimiento y mejora continua del sistema
Resultado
Entregables posibles
Se seleccionan según el objetivo y el alcance acordados con su empresa.
- Alcance y contexto documentados
- Metodología y análisis de riesgos con plan de tratamiento
- Declaración de aplicabilidad (SoA)
- Cuerpo documental completo del SGSI
- Plan de auditoría interna y su informe
- Acta de revisión por la dirección
Marcos de referencia
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO/IEC 27005
- ISO/IEC 27017 e ISO/IEC 27018 según alcance
Metodología
Cómo trabajamos
Adaptamos el sistema al tamaño y a la operación de la organización. Preferimos pocos documentos vivos y bien evidenciados antes que un cuerpo documental extenso que nadie mantiene.
- Paso 1
Planificar
Alcance, contexto, partes interesadas, metodología de riesgos y estructura documental.
- Paso 2
Implementar
Tratamiento de riesgos, despliegue de controles y generación de evidencias operativas.
- Paso 3
Verificar
Indicadores, auditoría interna y revisión por la dirección con acciones correctivas.
- Paso 4
Preparar auditoría y mantener
Acompañamiento durante la auditoría externa y sostenimiento del ciclo de mejora.
Confianza demostrable
Del requisito de ISO 27001 a la evidencia operativa
La certificación no se construye acumulando documentos: se consigue integrando el riesgo, los controles y las evidencias en la operación cotidiana.
Implantación adaptada al negocio
Definimos un alcance coherente, identificamos partes interesadas, evaluamos riesgos y seleccionamos controles que respondan al contexto real. El sistema debe poder mantenerse después de la auditoría, no depender permanentemente del consultor.
Preparación para auditoría de certificación
Insylux prepara la declaración de aplicabilidad, los registros, la auditoría interna y la revisión por la dirección. La certificación es emitida por una entidad acreditada e independiente; nuestro trabajo es hacer que el SGSI llegue preparado y con evidencia suficiente.
Integración con la seguridad técnica
Cuando la evaluación de riesgos lo exige, el SGSI se apoya en análisis de vulnerabilidades, pruebas de continuidad y evaluación del riesgo humano. Así, la documentación refleja controles realmente operativos.
Sectores
Dónde aplicamos este servicio
Adaptamos el alcance y las prioridades al contexto regulatorio y operativo de cada sector.
Banca y fintech
Entornos regulados con datos financieros y alta exposición al fraude.
Salud
Historias clínicas, dispositivos conectados y continuidad asistencial.
Industria y energía
Convergencia IT/OT y protección de infraestructuras críticas.
Retail y ecommerce
Pagos, datos de clientes y disponibilidad en campañas de alta demanda.
Sector público
Cumplimiento normativo, transparencia y protección del dato ciudadano.
Tecnología y SaaS
Ciclo de desarrollo seguro, APIs y confianza de clientes empresariales.
Para quién
Organizaciones que suelen contratarlo
- Empresas que necesitan certificarse por exigencia comercial
- Organizaciones que tratan información sensible de terceros
- Compañías con operación en varios países y controles heterogéneos
- Empresas que ya tienen un SGSI y necesitan sostenerlo
Antes de la propuesta
Delimitemos el alcance de su SGSI
- Servicios, sedes y equipos que estarán dentro del sistema
- Estado de los controles y documentación existente
- Requisitos de clientes y fecha objetivo de la auditoría
Comparta un contexto general en el formulario de contacto. Los accesos, credenciales y evidencias sensibles se coordinan posteriormente por un canal acordado.
Dudas frecuentes
Preguntas frecuentes
- ¿Insylux emite la certificación?
- No. La certificación la emite una entidad acreditada e independiente. Insylux implementa el sistema, prepara las evidencias y acompaña durante la auditoría.
- ¿Cuánto tarda una implementación?
- Depende del alcance, del número de sedes y de la madurez de partida. El calendario se define tras el diagnóstico inicial y se acuerda con la dirección.
- ¿Podemos certificar solo una parte de la organización?
- Sí. El alcance puede limitarse a determinados servicios, sedes o unidades, siempre que quede justificado y sea coherente con los riesgos tratados.
Guía práctica
SGSI e ISO 27001: cómo preparar evidencias, superar hallazgos y mantener el sistema
Consulte criterios y ejemplos para preparar las decisiones de su empresa antes de definir el alcance del servicio.
Continuar
Servicios relacionados
Security GAP Assessment
Revise con evidencia qué medidas de seguridad funcionan, qué falta y dónde conviene invertir primero.
Ver servicioCISO as a Service
Dirección de ciberseguridad para convertir riesgos en decisiones, responsables, métricas y una hoja de ruta que conecte a la gerencia con TI, cumplimiento y proveedores.
Ver servicioISO/IEC 42001
Defina reglas, responsables y controles para los sistemas de inteligencia artificial que su empresa utiliza o desarrolla, con base en ISO/IEC 42001.
Ver servicio
SGSI / ISO 27001
Conversemos sobre su alcance
Nuestros equipos en Colombia y España revisarán el contexto de su empresa para acordar objetivos, entregables y condiciones del servicio.
