Implantación de un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a la norma UNE-EN ISO/IEC 27001:2023

El objetivo de este proyecto ha sido implantar un nuevo Sistema de Gestión de Seguridad de la Información (SGSI) alineado con los requisitos de la norma UNE-EN ISO/IEC 27001:2023. La actualización de esta norma introdujo cambios estructurales y operativos significativos que requerían una nueva implementación, incorporando un enfoque basado en procesos y riesgos, así como nuevos controles de seguridad en áreas clave como la inteligencia de amenazas, la seguridad en la nube, la gestión de configuraciones y la prevención de fugas de datos.

Entre los objetivos específicos del proyecto destacan:

• Implantar el SGSI conforme a la nueva estructura armonizada de la norma, con un enfoque sistémico de procesos y riesgos.
• Rediseñar la gestión del riesgo incorporando el nuevo catálogo de controles del Anexo A (93 controles, incluyendo 11 nuevos en áreas como seguridad en la nube, prevención de fuga de datos o enmascaramiento de datos).
• Elaborar una nueva Declaración de Aplicabilidad (SoA) que justifique los controles aplicables conforme al contexto y los riesgos de la organización.
• Desarrollar una estrategia de resiliencia cibernética y continuidad de negocio, reforzando la capacidad de respuesta ante incidentes.
• Obtener la certificación oficial conforme a la UNE-EN ISO/IEC 27001:2023 por parte de una entidad acreditada.
  
  

El proyecto abordó todas las fases necesarias para garantizar una implantación efectiva del SGSI, incluyendo un diagnóstico inicial, la identificación de brechas respecto a la nueva norma, el rediseño de procesos internos, la implementación de controles actualizados y la certificación oficial. Además, se establecieron mecanismos para la gestión continua de la seguridad de la información, asegurando la mejora continua y la conformidad con los estándares internacionales.