Definición del comportamiento de cada uno de lo actores que está en contacto con la información de la organización, tanto a nivel interno como externo y enmarcados en los estándares internacionales para un sistema de gestión de la información.

Identificación de las responsabilidades para la protección de activos y cumplimiento de procesos de seguridad en relación a los roles al interior de la organización.

La evaluación de riesgos de la organización, teniendo en cuenta toda la estrategia de negocio y los objetivos de la organización. Identificación de las amenazas a los activos de información y las vulnerabilidades. Evaluación de probabilidades de ocurrencia y posibles impactos.

Determinación de los recursos humanos, técnicos y económicos requeridos para la operación del negocio en relación a la implementación de un Sistema de Gestió de Seguridad de la Información. Evaluación de las competencias profesionales requeridas para el proceso.

Concientizar a los colaboradores y a los contratistas de sus responsabilidades dentro de la seguridad de la información, y los medios por los cuales se puede cumplir, esto alineado con las políticas de seguridad de la organización.

Evaluación periódica del Sistema de Gestión de la Información con que cuenta la compañía para verificar su eficacia y determinar así los elementos que deben ser monitoreados y medidos, así como la definición de los encargados y documentando los hallazgos.

Realización periódica de auditorías internas para verificar que el SGSI es efectivo y se ajusta tanto a ISO / IEC 27001: 2013 como a los requerimientos de la organización.

En torno a las llamadas «no conformidades» se desarrollan acciones concretas y se realizan mediciones para obtener los resultados posterior a estas implementaciones.