En la actualidad las organizaciones se enfrentan a amenazas y riesgos en lo que respecta a la seguridad que pueden surgir por distintas fuentes, aquí podemos encontrar por ejemplo nuevos negocios y nuevas herramientas que se relacionan con la tecnología de la información y comunicación, directores generales y directores informáticos de la organización deben aplicar.

Las herramientas deberán aplicarse según los objetivos que la empresa haya fijado en su ruta de trabajo, con seguridad y con ello garantizar la confidencialidad, integridad y disponibilidad.

Para proteger la información se deben realizar implementaciones, como el mantenimiento y mejora de medidas de seguridad para cualquier tipo de organización que desee conseguir objetivos planteados y que estos objetivos cumplan con la legislación, aumentando el prestigio e imagen de la compañía.

La norma ISO27001, Sistema de Gestión de Seguridad de la Información, es una solución de mejora continua la cual es la apropiada para poder evaluar los distintos riesgos y establecer una serie de estrategias y controles oportunos para asegurar la protección y poder defender la información. 

El Sistema de Gestión de Seguridad de la Información, se encuentra fundamentado en la norma ISO 27001, este sigue el enfoque que se basa en procesos que utilizan el ciclo de mejora continua, que consiste en planificar-hacer-verificar-actuar.

El objetivo de la norma ISO 27001 es analizar y gestionar riesgos basados en procesos. Resulta útil el análisis y gestión de riesgos basados en los procesos ya que evalúa y controla a la organización en relación a los diferentes riesgos a los que se encuentra sometido el sistema de información.

Los procesos se establecen en activos TIC que ofrecen soporte a éstos. Por lo que, se exige la realización de un análisis y gestión de riesgos de sistemas de información de una forma realista y orientada a objetivos planteados por la organización.

Cuando ya se encuentran evaluados los riegos y aplicados todos los controles de la ISO 27001, siempre queda un riesgo residual que los altos mandos de la empresa deben aprobar y que a continuación, será revisado por lo menos una vez al año. 

Tenemos que destacar que el Sistema de Gestión de Seguridad de la Información ISO 27001 además de contar con el ciclo continuo, tiene también indicadores y métricas para realizar mediciones de la eficiencia de diferentes controles utilizados, aportando datos reales cada día de la seguridad de los sistemas de información. 

La norma ISO 27001 es un sistema activo, que se encuentra integrado en la organización, orientado a los objetivos empresariales y con una proyección de vistas al futuro. Es primordial resaltar cada vez que se introduce una nueva herramienta de TIC a la organización que tiene que actualizar el análisis de riesgos, es decir, disminuir riegos por medio de medidas de control ajustadas y considerando los costes del control.

En la actualidad, cada día son más empresas que se encuentran certificadas con la norma ISO 27001, lo que fomenta es que las actividades de protección de la información en las organizaciones aumentan la seguridad de la información, imagen y confianza antes los consumidores.