ISO 27001_Plan_del_proyecto_ES.docx

[POR FAVOR TOME EN CUENTA: Si no puede ver los comentarios que le ayudarán a llenar el documento, haga click o coloque el ratón sobre el texto marcado. En Conformio, esos comentarios sólo están visibles al usar la opción Editar en línea.]

Commented [DK1]: Para aprender a completar este documento consulte:

Tutorial en vídeo “How To Set Up ISO 27001 Project - Writing the Project Plan” https://advisera.com/27001academy/freedownloads/ Commented [DK2]: Para saber cómo organizar un proyecto, lea estos artículos: - Proyecto ISO 27001 - ¿Cómo hacer que funcione? https://advisera.com/27001academy/blog/2013/04/22/iso-27001project-how-to-make-it-work/ - ¿Quién debería ser su Gerente de Proyecto para ISO 27001 e ISO 22301? https://advisera.com/27001academy/blog/2014/12/01/whoshould-be-your-project-manager-for-iso-27001-iso-22301/

Organization name *

PLAN DEL PROYECTO para la implementación del Sistema de gestión de Seguridad de la información

Código:

Commented [DK3]: Se deben completar todos los campos de este documento que estén marcados con corchetes [ ].

Commented [DK4]: O "Continuidad del negocio"

Commented [DK5]: El sistema de codificación del documento debe coincidir con el sistema actual de codificación de documentos de la organización. En el caso que no exista ese sistema, se puede eliminar esta línea.

Versión: Fecha de la versión: Creado por: Aprobado por: Nivel de confidencialidad:

©2017 Plantilla para clientes de Advisera Expert Solutions Ltd. www.advisera.com, según Contrato de licencia.

Organization name

[nivel de confidencialidad]

Historial de modificaciones Fecha

Versión

Creado por

Descripción de la modificación

DD-MMAAAA

0.1

Dejan Kosutic

Descripción básica del documento

Tabla de contenido 1.

OBJETIVO, ALCANCE Y USUARIOS ........................................................................................................3

2.

DOCUMENTOS DE REFERENCIA ...........................................................................................................3

3.

PROYECTO DE IMPLEMENTACIÓN DEL SGSI ..........................................................................................3 3.1. 3.2. 3.3.

OBJETIVO DEL PROYECTO .............................................................................................................................. 3 RESULTADOS DEL PROYECTO ......................................................................................................................... 3 PLAZOS ..................................................................................................................................................... 4

LA PRESENTACIÓN FINAL DE LOS RESULTADOS DEL PROYECTO ESTÁ PREVISTA PARA EL [FECHA]. ..................5 3.4.

ORGANIZACIÓN DEL PROYECTO ...................................................................................................................... 5

3.4.1.

Promotor del proyecto .................................................................................................................. 5

3.4.2.

Gerente del proyecto.....................................................................................................................

5

EL [NOMBRE, CARGO] HA SIDO DESIGNADO GERENTE DEL PROYECTO. .........................................................5 3.4.3.

Equipo del proyecto ...................................................................................................................... 5

CUADRO DE PARTICIPANTES DEL PROYECTO ................................................................................................6

3.5. 3.6.

PRINCIPALES RIESGOS DEL PROYECTO .............................................................................................................. 6 HERRAMIENTAS PARA IMPLEMENTACIÓN DEL PROYECTO Y GENERACIÓN DE INFORMES ............................................. 6

4.

GESTIÓN DE REGISTROS GUARDADOS EN BASE A ESTE DOCUMENTO ....................................................6

5.

VALIDEZ Y GESTIÓN DE DOCUMENTOS ................................................................................................7

Plan del proyecto para la implementación del SGSI [SGCN]

ver. [versión] del [fecha]


Página 2 de 7

Organization name


1. Objetivo, alcance y usuarios El objetivo del Plan del proyecto es definir claramente el propósito del proyecto de implementación del Sistema de Gestión de Seguridad de la Información (SGSI), los documentos que se redactarán, los plazos y las funciones y responsabilidades del proyecto. El Plan del proyecto se aplica a todas las actividades realizadas en el proyecto de implementación del SGSI.

Commented [DK6]: O "Sistema de Gestión de la Continuidad del Negocio (SGCN)"

Commented [DK7]: o SGCN

Los usuarios de este documento son los miembros de la [alta dirección] y los miembros del equipo del proyecto.

2. Documentos de referencia     

Norma ISO/IEC 27001 Norma ISO 22301 Norma BS 25999-2 [decisión u otro documento similar que establezca el lanzamiento del proyecto] [metodología para la gestión del proyecto]

Commented [DK8]: Incluir solamente si existe un documento de este tipo. Commented [DK9]: Incluir solamente si existe un documento de este tipo; en ese caso, este Plan del proyecto debe estar en línea con la metodología.

3. Proyecto de implementación del SGSI 3.1.

Commented [DK10]: o SGCN

Objetivo del proyecto

Para implementar el Sistema de Gestión de Seguridad de la Información en conformidad con la norma ISO 27001, a más tardar, hasta el [fecha].

3.2.

Commented [DK11]: O "Continuidad del negocio" Commented [DK12]: O ISO 22301/BS 25999-2

Resultados del proyecto

Durante el proyecto de implementación del SGSI, se redactarán los siguientes documentos (algunos de los cuales contienen apéndices no mencionados aquí en forma expresa): Procedimiento para control de documentos y registros: procedimiento que establece las reglas básicas para la redacción, aprobación, distribución y actualización de documentos y registros. Procedimiento para identificación de requisitos: procedimiento para identificar obligaciones legales, normativas, contractuales y de otra índole. Alcance del Sistema de Gestión de Seguridad de la Información: un documento que define en forma precisa los activos, ubicaciones, tecnología, etc. que forman parte del alcance. Política de seguridad de la información: este es un documento clave que utiliza la dirección para controlar la gestión de la seguridad de la información. Metodología de evaluación y tratamiento de riesgos: describe la metodología para gestionar los riesgos de la información. 












Página 3 de 7

Commented [DK13]: Borrar todo este párrafo si el proyecto se refiere sólo a gestión de continuidad del negocio.

Organization name


















Cuadro de evaluación de riesgos: el cuadro es el resultado de la evaluación del valor, de las amenazas y vulnerabilidades de los activos. Cuadro de tratamiento de riesgos: un cuadro en el que se seleccionan los controles de seguridad adecuados para cada riesgo inaceptable. Informe sobre evaluación de riesgos y tratamiento del riesgo: un documento que incluye todos los documentos clave generados en el proceso de evaluación y tratamiento de riesgos. Declaración de aplicabilidad: un documento que determina los objetivos y la aplicabilidad de cada control establecido en el Anexo A de la norma ISO 27001. Procedimiento para Auditoría interna: define cómo se seleccionan los auditores, cómo se redactan los programas de auditoría, cómo se realizan las auditorías y cómo se informan los resultados de las mismas. Procedimiento para acciones correctivas : describe el proceso de implementación para acciones correctivas y preventivas. Formulario para minutas de revisión por parte de la dirección: un formulario que se utiliza para crear minutas de las reuniones que la dirección realiza para revisar la adecuación del SGSI. Plan de tratamiento del riesgo: un documento que especifica los controles que se deben implementar, quién es responsable de la implementación, de los plazos y de los recursos.

En el Plan de tratamiento del riesgo se especifican otros documentos que deben redactarse durante la implementación del SGSI. Durante el proyecto de implementación de gestión de continuidad del negocio se redactarán los siguientes documentos (algunos de los cuales contienen apéndices no mencionados aquí en forma expresa): Política de la gestión de continuidad del negocio: establece un marco básico para el SGCN, determina el alcance y las responsabilidades. Cuestionarios de Análisis de impactos en el negocio (AIN) : análisis de impactos cualitativos y cuantitativos sobre el negocio, de recursos necesarios, etc. Estrategia de continuidad del negocio: define actividades críticas, interdependencias, objetivos de tiempo de recuperación, estrategia para gestionar y garantizar la continuidad del negocio, estrategia para recuperación de recursos, estrategia para actividades críticas individuales. Plan de continuidad del negocio: una descripción detallada de cómo responder ante desastres u otras interrupciones del negocio, y cómo recuperar todas las actividades críticas. Plan de capacitación y concienciación: un resumen detallado de cómo los empleados deben ser capacitados para ejecutar tareas planificadas y de cómo se los hará tomar conciencia sobre la importancia de la continuidad del negocio. Plan de prueba y verificación de la continuidad del negocio: describe cómo se deben probar y verificar los planes con el objetivo de identificar las acciones correctivas necesarias y de mejorarlos. Plan de mantenimiento y revisión del SGCN: un resumen detallado de cómo se deben mantener los planes y otros documentos de SGCN para garantizar su funcionamiento ante el caso de un interrupción del negocio. Formulario de revisión post-incidente: un formulario que se utiliza para revisar la eficacia de los planes luego de un incidente. *

Commented [DK14]: Borrar toda esta sección si el proyecto no incluye la gestión de continuidad del negocio.

















3.3.

Plazos




Página 4 de 7

Commented [DK15]: Si la implementación del SGSI no está incluida en esta sección, entonces se debe agregar la creación de los siguientes procedimientos obligatorios dentro de la implementación de la continuidad del negocio: - Control de documentos y registros - Procedimiento para identificación de requisitos - Gestión de auditoría interna - Gestión del Procedimiento para acciones correctivas y preventivas - Formulario para minutas de revisiones por parte de la dirección Commented [DK16]: Durante todo el proyecto, utilice el Calculador gratuito del tiempo de implementación: https://advisera.com/27001academy/es/herramientas/calculadorgratuito-del-tiempo-de-implementacion-para-iso-27001-iso-22301/

Organization name


Los plazos de aceptación de documentos individuales en el transcurso de la implementación del SGSI son los siguientes: Documento

Plazos de aceptación del documento

*

Commented [DK17]: Enumerar todos los documentos de la sección anterior relacionados al SGSI.

Los plazos de aceptación de documentos individuales en el transcurso de la implementación del SGCN son los siguientes: Documento

Commented [DK18]: Borrar este texto y esta tabla si la gestión de la continuidad del negocio no forma parte del proyecto.

Plazos de aceptación del documento

*

Commented [DK19]: Enumerar todos los documentos de la sección anterior relacionados con la c ontinuidad del negocio.

La presentación final de los resultados del proyecto está prevista para el [fecha].

3.4.

Organización del proyecto

3.4.1.

Promotor del proyecto

Cada proyecto tiene asignado un "promotor", que no participa activamente en el mismo. El gerente del proyecto del proyecto debe informar regularmente al promotor del proyecto acerca del estado del mismo; éste interviene si el proyecto está paralizado. El [nombre, cargo] ha sido designado promotor del proyecto. 3.4.2.

Commented [DK20]: Lo mejor sería que esta persona pertenezca a la alta dirección.

Gerente del proyecto

La función del gerente del proyecto es coordinar el proyecto, garantizar los recursos necesarios para su implementación del proyecto, informar al promotor sobre el progreso del proyecto y realizar trabajos administrativos relacionados con el mismo. La autoridad del gerente del proyecto debe ser tal que garantice la implementación ininterrumpida del proyecto dentro de los plazos establecidos. El [nombre, cargo] ha sido designado gerente del proyecto. 3.4.3.

Equipo del proyecto

La función del equipo del proyecto es ayudar en diversos aspectos de la implementación del proyecto, realizar tareas preestablecidas y tomar decisiones sobre diversos temas que requieren un enfoque multidisciplinario. El equipo del proyecto se reúne antes de completar cada versión final de Plan del proyecto para la implementación del SGSI [SGCN]



Página 5 de 7

Commented [DK21]: Generalmente se trata de una persona responsable de la seguridad de la información (por ej., el Gerente de seguridad) o de la cont inuidad del negocio (por ej. un Coordinador de continuidad del negocio). Commented [DK22]: En el caso de organizaciones más pequeñas que no necesitan designar un equipo para el proyecto, se puede borrar este punto.

Organization name


un documento de la sección 2 de este Plan del proyecto y, en otros casos, cuando el gerente del proyecto lo considere necesario. Cuadro de participantes del proyecto Nombre Unidad organizativa

3.5.

Cargo

Teléfono

Correo electrónico

Principales riesgos del proyecto

Los principales riesgos en la implementación del proyecto son los siguientes: 1. Extensión de los plazos en la fase de evaluación de riesgos. 2. Extensión de los plazos durante el desarrollo de los planes de continuidad del negocio. 3. Realización de actividades que producen gastos innecesarios y pérdidas de tiempo. 4. Selección de demasiados controles y/o muy caros.

Commented [DK23]: Modificar en concordancia con los riesgos evaluados.

Algunas medidas para reducir los riesgos mencionados anteriormente son las siguientes: El gerente del proyecto supervisa que todas las actividades del proyecto sean realizadas dentro de los plazos definidos y solicita a tiempo la intervención del promotor del proyecto. Contratación de un consultor que asegure que los tiempos y los recursos no sean utilizados en actividades que no son importantes para el proyecto y que las actividades individuales no sean encaminadas en una dirección incorrecta. Contratación de un consultor que proponga los controles más rentables.

Commented [DK24]: Modificar de acuerdo a la experiencia sobre proyectos anteriores.







3.6.

Herramientas para implementación del proyecto y generación de informes

Se creará, en la red local, una carpeta compartida que incluya todos los documentos generados durante el proyecto. Todos los miembros del equipo del proyecto tendrán acceso a esos documentos. Sólo el gerente del proyecto [y miembros del equipo del proyecto]estarán autorizados a realizar modificaciones y a borrar archivos. El gerente del proyecto elaborará mensualmente un informe sobre la implementación del proyecto y se lo enviará al promotor del proyecto.

4. Gestión de registros guardados en base a este documento Nombre del registro

Ubicación de archivo

Persona responsable del archivo

Controles para la protección del registro

Tiempo de retención

Informe de implementación del proyecto (en formato electrónico)

Carpeta compartida para actividades relacionadas

Gerente del proyecto

Sólo el gerente del proyecto está autorizado a editar datos

Los informes son almacenados por el plazo




Página 6 de 7

Commented [DK25]: Adaptar al proceso estándar de implementación del proyecto de la organización.

Commented [DK26]: Eliminar si se considera innecesario.

Organization name


con el proyecto

de 3 años.

5. Validez y gestión de documentos Este documento es válido hasta el [fecha]. El propietario de este documento es el [cargo]. Al evaluar la efectividad y adecuación de este documento, es necesario tener en cuenta los siguientes criterios: 



Si todos los empleados involucrados en el proyecto realizan sus actividades en conformidad con este documento. Si se cumplen todos los plazos del proyecto.

[cargo] [nombre]

_________________________ [firma]


Commented [DK27]: Sólo es necesario si el Procedimiento para control de documentos y registros establece que los documentos en papel deben ser firmados.



Página 7 de 7

ISO 27001_Plan_del_proyecto_ES.docx

Recommend Documents