De acuerdo con este modelo (PDCA), la metodología de implantación de un SGSI en una PYME contempla los pasos que se detallan en las siguientes etapas. Para cada una de ellas se identifican las acciones clave a llevar a cabo.

Establecimiento del SGSI

• Inicio del Proyecto
  • Asegurar el compromiso de la Dirección.
  • Seleccionar y entrenar a los miembros del equipo inicial que participan en el proyecto.
• Definición del SGSI
  • Identificación del alcance del SGSI y de la Política de Seguridad del SGSI.
  • Recopilar los documentos de seguridad existentes en la organización.
  • Preparar los procedimientos relacionados con la gestión y la operación del SGSI.
• Análisis de Riesgos
  • Definición de una metodología para la clasificación de los riesgos.
  • Creación de un inventario de activos.
  • Evaluación de los activos a ser protegidos.
  • Identificación y evaluación de amenazas y vulnerabilidades de los activos.
  • Cálculo del valor de riesgo asociado a cada activo.
• Gestión de Riesgos
  • Identificar y evaluar alternativas posibles para tratar los riesgos.
  • Seleccionar e implantar los controles correctos que le permitan a la organización reducir el riesgo a un nivel aceptable.
  • Redactar el documento de declaración de aplicabilidad (documento de selección de controles), que debe ser firmado por Dirección.
  • Identificar los riesgos residuales que han quedado sin cubrir y obtener la firma de Dirección.
  • Preparar el Plan de Tratamiento de Riesgos Preparar procedimientos para implantar los controles.

Implantación y Operación

• Implantación del SGSI
  • Implantar el plan de tratamiento de riesgos.
  • Implantar políticas y procedimientos del SGSI.
  • Implantar los controles seleccionados.
• Formación y sensibilización
  • Impartir formación entre los empleados sobre los nuevos procedimientos que se van a implantar.
  • Concienciar a la plantilla de la importancia que el proyecto de seguridad tiene para la Organización.

Monitorización y Revisión

• Monitorización del SGSI
  • Ejecutar procedimientos de monitorización para detectar errores de proceso, identificar fallos de seguridad de forma rápida y acciones a realizar.
• Revisión del SGSI
  • Revisiones periódicas de la política y alcance del SGSI, así como de su eficacia.
  • Revisiones de los niveles de riesgos residuales y riegos aceptables.
  • Auditorías internas/externas del SGSI.

Mantenimiento y Mejora

• Mantenimiento del SGSI
  • Comunicar resultados de las auditorías a las partes interesadas.
  • Adoptar acciones correctivas y preventivas.
• Mejora Continua
  • Medir el rendimiento del SGSI.
  • Implantar las mejoras identificadas en las revisiones del SGSI.