Se denomina activos de información a todos aquellos que otorgan valor a la organización y por lo tanto deben protegerse. ISO/IEC 27001:2013: Antes de gestionar los riesgos, se deben identificar y evaluar los activos de información (tangibles e intangibles) dentro de cada proceso definido en el Alcance del SGSI. Los activos de información pueden ser: archivos, base de datos, contratos y acuerdos, documentos de sistemas, manuales de usuario, material de capacitaciones, aplicaciones o software, equipos informáticos, servicios informáticos y comunicaciones. Tipos de activos según MAGERIT v3.0: Datos: Cualquier dato que se genere, recoja, gestione, transmite o distribuya en la organización . Aplicaciones: Software que se utiliza para la gestión de información. Servicios internos: Los que un área suministra a otra. Servicios externos: Aquellos que la organización suministra a clientes o usuarios. Equipos informáticos: Hardware que permite hospedar datos, aplicaciones ...

Esta norma internacional proporciona los requisitos para establecer, implementar, mantener y mejorar de manera continua un Sistema de Gestión de Seguridad de la Información (SGSI). Es importante que el SGSI esté integrado a los procesos y a la estructura de gestión de la organización, su implementación puede ser escalada según las necesidades de la organización. El propósito de un SGSI es garantizar que los riesgos de seguridad de la información sean conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada, sistemática y estructurada. La ISO/IEC 27001:2013 está basado en el ciclo de mejora continua o Deming (Plan, Do, Check, Act) ver aqui . Un SGSI se fundamenta principalmente en la identificación y análisis de las principales amenazas, para a partir de este punto de partida poder establecer una evaluación y planificación de los riesgos. Identificación del riesgo Se debe identificar los riesgos de cada uno de los procesos definidos en el...