¿Qué es un SGSI?

Qué es un sistema de gestión de seguridad de la información

Un SGSI es la manera en que una organización decide, organiza y controla todo lo que hace para proteger su información. Incluye quién es responsable de cada tema, qué riesgos se identificaron, qué controles se aplican para tratarlos y cómo se verifica que esos controles funcionan.

La palabra clave es “gestión”. Así como un sistema de gestión de calidad (ISO 9001) no es una máquina sino una forma de trabajar, un SGSI no es un firewall, un antivirus ni una plataforma. Las herramientas son parte de los controles; el sistema es lo que decide cuáles hacen falta, quién las administra y cómo se revisan.

Un SGSI no cubre solo la información digital. También incluye documentos en papel, conversaciones, el conocimiento de las personas y los procesos que dependen de proveedores.

Los tres objetivos de un SGSI

Todo SGSI busca preservar tres propiedades de la información. Un incidente de seguridad es, en el fondo, la pérdida de alguna de ellas.

• Confidencialidad

  Que solo accedan quienes están autorizados. Ejemplo: que la base de clientes de una fintech no termine publicada por una credencial filtrada.

• Integridad

  Que la información sea exacta y no se altere sin control. Ejemplo: que nadie pueda modificar la cuenta bancaria de destino de un pago a proveedores sin dejar rastro.

• Disponibilidad

  Que la información y los sistemas estén accesibles cuando se necesitan. Ejemplo: que un ransomware no detenga la facturación de una distribuidora durante una semana.

El equilibrio entre las tres depende de cada negocio. Para un laboratorio, la confidencialidad de los resultados es crítica; para una empresa de energía, la disponibilidad de sus sistemas de operación suele estar primero.

Qué compone un SGSI

Aunque cada SGSI se adapta a su organización, todos comparten los mismos bloques. Estos son los que exige ISO 27001 y el documento o registro que suele respaldar cada uno:

Cómo funciona un SGSI: un ciclo, no un proyecto

Un SGSI funciona como un ciclo de mejora continua que se repite todos los años. La forma habitual de explicarlo es el ciclo PDCA (planificar, hacer, verificar, actuar): la versión actual de ISO 27001 ya no lo nombra, pero sus cláusulas siguen esa lógica.

1. Planificar. Entender el contexto, definir el alcance, analizar los riesgos y decidir cómo tratarlos.
2. Hacer. Implementar los controles, capacitar a las personas y operar los procesos definidos.
3. Verificar. Medir, revisar evidencias, hacer la auditoría interna y presentar resultados a la dirección.
4. Actuar. Corregir lo que falló, ajustar los controles y actualizar los riesgos para el ciclo siguiente.

Por eso un SGSI nunca está “terminado”. La empresa cambia (contrata personas, suma proveedores, lanza productos) y el sistema tiene que acompañar esos cambios.

Cómo se relaciona el SGSI con ISO 27001

ISO/IEC 27001 es la norma internacional que establece los requisitos que debe cumplir un SGSI. Sus cláusulas 4 a 10 describen cómo construirlo y gestionarlo, y su Anexo A ofrece 93 controles de referencia. ISO/IEC 27002, por su parte, es una guía que explica cómo implementar esos controles.

Una empresa puede tener un SGSI sin estar certificada. Pero cuando un cliente, una licitación o un socio pide demostrarlo, la certificación es la forma reconocida de hacerlo. Más detalles en ¿Qué es la certificación ISO 27001?

El SGSI en Latinoamérica: qué tener en cuenta

La norma es la misma en todo el mundo, pero el contexto de la región cambia la forma de implementarla.

Las leyes piden medidas de seguridad, no un SGSI

Las leyes de protección de datos, como la Ley 25.326 en Argentina, la Ley 21.719 en Chile (vigente desde diciembre de 2026), la LFPDPPP en México (nueva ley de 2025), la Ley 1581 en Colombia, la Ley 29733 en Perú o la LGPD en Brasil, exigen aplicar medidas de seguridad adecuadas sobre los datos personales. Ninguna obliga a una empresa privada a tener un SGSI (en el sector público hay excepciones: en Perú, por ejemplo, las entidades del Estado deben aplicar la NTP-ISO/IEC 27001), pero un sistema bien gestionado es una de las formas más ordenadas de cumplir con esa obligación y de demostrarlo.

Equipos chicos, roles compartidos

En muchas empresas de la región no existe un área de seguridad. El SGSI puede funcionar igual: un responsable con tiempo asignado, referentes de cada área y la dirección involucrada. Lo importante es que cada responsabilidad tenga un nombre, no el tamaño del equipo.

Mucha nube y muchos proveedores

Buena parte de la infraestructura vive en proveedores como AWS, Google Cloud o Microsoft. El SGSI debe dejar claro qué controla el proveedor y qué sigue siendo responsabilidad de la empresa, como los accesos, las configuraciones y los datos. Lo mismo vale para las herramientas SaaS que usa el equipo.

Certificar con organismos acreditados

Cuando llegue el momento de la auditoría, conviene elegir un organismo certificador acreditado para ISO 27001 por un firmante del acuerdo de reconocimiento de IAF, para que el certificado sea reconocido por los clientes. La acreditación puede ser local, como la del OAA en Argentina, el INN en Chile, la EMA en México, el ONAC en Colombia o el INACAL en Perú, o extranjera, como la de UKAS (Reino Unido) o ANAB (Estados Unidos).

Cómo implementar un SGSI paso a paso

1. Conseguí el compromiso de la dirección. Sin un sponsor con poder de decisión, el SGSI queda relegado a un tema del área técnica.
2. Definí el alcance. Empezá por lo que tus clientes evalúan: un producto, un servicio o un proceso. Se puede ampliar después.
3. Inventariá la información y los activos. Qué datos manejás, dónde están, qué sistemas y proveedores intervienen y quién es responsable.
4. Analizá los riesgos. Definí una metodología simple, identificá amenazas y vulnerabilidades y priorizá según impacto y probabilidad.
5. Decidí el tratamiento y los controles. Elegí los controles del Anexo A que aplican, justificá las exclusiones y armá la Declaración de Aplicabilidad.
6. Implementá y documentá. Aprobá las políticas, poné en marcha los controles, capacitá al equipo y empezá a guardar evidencia desde el primer día.
7. Verificá y corregí. Hacé una auditoría interna y una revisión por la dirección, y resolvé las no conformidades antes de la auditoría de certificación.

Errores frecuentes al construir un SGSI

• Copiar plantillas genéricas

  Políticas que no reflejan cómo trabaja la empresa terminan incumplidas, y el auditor lo detecta.

• Tratarlo como un proyecto de IT

  El SGSI involucra a recursos humanos, legales, compras y la dirección, no solo al equipo técnico.

• Definir un alcance demasiado amplio

  Querer cubrir toda la empresa desde el principio multiplica el trabajo y demora la certificación.

• Juntar la evidencia al final

  Reconstruir meses de registros antes de la auditoría es caro y poco creíble.

• Olvidarse de los proveedores

  Muchos incidentes empiezan en un tercero que tenía más acceso del necesario.

• Abandonarlo después de certificar

  Las auditorías de seguimiento anuales detectan rápido un sistema que dejó de operarse.

Cómo mantener vivo un SGSI

Un SGSI se sostiene con actividades recurrentes. La norma no fija frecuencias: pide realizarlas a intervalos planificados y que la organización los defina. Este calendario es una referencia habitual:

Automatizar la recolección de evidencia y asignar cada actividad a un responsable con fecha evita que el sistema dependa de la memoria de una persona.

Un SGSI como base para otros marcos

Un SGSI bien construido no sirve solo para ISO 27001. Su gestión de riesgos, sus políticas y su evidencia se reutilizan para SOC 2, ISO 27701, ISO 42001 o los requisitos que trasladan clientes europeos alcanzados por NIS2 o DORA. Cubre una parte importante del trabajo, pero no la totalidad: cada marco tiene requisitos propios que hay que analizar y completar.