Implementar un Sistema de Gestión de Seguridad de la Información (SGSI) exitoso requiere comprensión profunda del giro del negocio, compromiso de todos los niveles organizacionales y realismo en cuanto a las condiciones del entorno interno y externo. Sin embargo, en la práctica, muchas organizaciones enfrentan dificultades al interpretar y aplicar los requisitos de la norma.

A continuación, se detallan los errores más frecuentes durante la implementación de un SGSI, junto con su impacto y ejemplos representativos:

Definir un alcance demasiado amplio o inadecuado

Uno de los primeros errores consiste en establecer un alcance del SGSI que abarca todos los procesos de la organización, sin considerar prioridades o capacidades reales. El alcance debe centrarse en los procesos misionales o servicios más críticos, aquellos cuyo compromiso impactaría directamente la operación, la continuidad del negocio o su reputación.

Cuando se incluye toda la organización sin criterio, los recursos se diluyen y el sistema se vuelve inmanejable. Es preferible comenzar con un alcance estratégico y ampliarlo progresivamente conforme el sistema madura.

Redactar gran cantidad de políticas sin aplicarlas

Otro error común es crear manuales o políticas extensas (de 50 o 60 páginas) que terminan sin cumplirse en la práctica. Un SGSI efectivo se basa en políticas claras, concisas y aplicables. La documentación no debe ser un requisito formal, sino una herramienta viva que guíe las operaciones.

De nada sirve contar con políticas de seguridad exhaustivas si el personal no las conoce o si no existen mecanismos para asegurar su cumplimiento.

Elaborar procedimientos que no reflejan la realidad operativa

Es habitual encontrar procedimientos o controles inadecuados para el contexto real de la organización, como incluir configuraciones de seguridad para servidores inexistentes o definir un Centro de Operaciones de Seguridad (SOC) sin contar con un oficial de seguridad. Estos errores surgen cuando se copian modelos genéricos o se busca cumplir con la norma sin analizar las condiciones reales de la empresa.

Un procedimiento solo es útil si puede ejecutarse y sostenerse en la práctica.

No asignar recursos suficientes al SGSI

Un SGSI puede diseñarse correctamente en papel, pero si no cuenta con los recursos humanos, tecnológicos y financieros necesarios, no podrá operar. Sin personal capacitado, herramientas adecuadas ni tiempo asignado, el sistema se vuelve ineficaz.

El apoyo de la alta dirección y la asignación de recursos son elementos esenciales para que el SGSI sea un sistema vivo y no un requisito simbólico.

Generar un exceso de documentación sin implementación

Muchos SGSI se convierten en sistemas de papel, con una gran cantidad de documentos que nunca se aplican o revisan. El valor del SGSI radica en su ejecución: en la gestión de riesgos, la respuesta ante incidentes y la mejora continua.

Un sistema que solo existe para cumplir con un requisito contractual o normativo carece de efectividad y pierde su propósito: proteger la información y fortalecer la resiliencia organizacional.

Descuidar la capacitación y sensibilización del personal

La formación continua es el motor que mantiene vivo al SGSI. Cuando los empleados desconocen las políticas, los procedimientos o su papel en la seguridad de la información, los controles técnicos y administrativos pierden eficacia.

La capacitación debe adaptarse a cada nivel organizacional y combinar teoría con práctica, fomentando una cultura de seguridad en toda la empresa.

No dar seguimiento a la mejora continua

Otro error crítico es no hacer seguimiento a los planes de acción, auditorías internas o revisiones por la dirección. ISO/IEC 27001 exige un ciclo de mejora continua (Planificar–Hacer–Verificar–Actuar). Si los hallazgos de auditoría o los planes de tratamiento de riesgos no se gestionan, el SGSI se estanca.

El seguimiento sistemático garantiza la evolución del sistema y demuestra compromiso con la calidad y la seguridad.

En conjunto, estos errores evidencian que el desafío principal no está en entender la norma, sino en adaptarla correctamente al contexto de cada organización. Evitarlos permite construir un SGSI sostenible, alineado con los objetivos estratégicos y capaz de generar confianza en clientes, socios y entes reguladores.

Bibliografía:

International Organization for Standardization (ISO).
ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection — Information security management systems — Requirements.

Humphreys, E. (2016).
Implementing the ISO/IEC 27001 Information Security Management System.